Coletar registros de DLP do Zscaler

Este documento explica como exportar registros de DLP da Zscaler configurando um feed do Google Security Operations e como os campos de registro são mapeados para os campos do Modelo de Dados Unificado (UDM) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste no DLP da Zscaler e no feed de webhook do Google SecOps configurado para enviar registros ao Google SecOps. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• DLP da Zscaler: a plataforma de coleta de registros.

• Feed do Google SecOps: busca registros da DLP da Zscaler e grava registros no Google SecOps.

• Google Security Operations: retém e analisa os registros.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo ZSCALER_DLP.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Acesso ao console do Zscaler Internet Access. Para mais informações, consulte Ajuda do ZIA sobre acesso seguro à Internet e ao SaaS.
• Zscaler DLP 2024 ou mais recente
• Todos os sistemas na arquitetura de implantação são configurados com o fuso horário UTC.
• A chave de API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte Como configurar chaves de API.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros de DLP da Zscaler.
5. Selecione Webhook como o Tipo de origem.
6. Selecione DLP da Zscaler como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: especifique valores para os seguintes parâmetros de entrada:
   1. Delimitador de divisão: o delimitador usado para separar as linhas de registros (deixe em branco se nenhum delimitador for usado).
   2. Namespace do recurso: o namespace do recurso.
   3. Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
9. Clique em Próxima.
10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.
11. Clique em Gerar chave secreta para autenticar este feed.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: o namespace do recurso.
• Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
• Clique em Próxima.
• Revise a configuração do feed na tela Finalizar e clique em Enviar.
• Clique em Gerar chave secreta para autenticar o feed.
• Clique em Próxima.
• Revise a configuração do feed na tela Finalizar e clique em Enviar.

Configurar a DLP do Zscaler

1. No console do Zscaler Internet Access, acesse Administração > Serviço de streaming Nanolog > Feeds do NSS na nuvem.
2. Clique em Adicionar feed do NSS do Cloud.
3. Digite um nome para o feed no campo Nome do feed.
4. Selecione NSS para Web em Tipo de NSS.
5. Selecione o status na lista Status para ativar ou desativar o feed do NSS.
6. Mantenha o valor no menu Taxa do SIEM como Ilimitada. Para suprimir o fluxo de saída devido a restrições de licenciamento ou outras, mude o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativado na lista Autenticação do OAuth 2.0.
9. Insira um limite de tamanho para um payload de solicitação HTTP individual na prática recomendada do SIEM em Tamanho máximo do lote (por exemplo, 512 KB).

10. Insira o URL HTTPS do endpoint de API do Chronicle no URL da API no seguinte formato:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região em que sua instância do Google SecOps está hospedada (por exemplo, US).
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP (obtido no C4).
    • LOCATION: região do Google SecOps (por exemplo, US).
    • CUSTOMER_ID: ID do cliente do Google SecOps (obtido no C4).
    • FEED_ID: ID do feed mostrado na interface do feed no novo webhook criado.

    Exemplo de URL da API:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Key1:X-goog-api-key e Value1:chave de API gerada nas credenciais de API do BYOP Google Cloud .
    • Header 2: Key2:X-Webhook-Access-Key e Value2:chave secreta da API gerada em "SECRET KEY" do webhook.

12. Selecione DLP de endpoint na lista Tipos de registro.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina Caractere de escape do feed como , \ ".

15. Para adicionar um novo campo ao Formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Verifique se os nomes das chaves correspondem aos nomes dos campos.

    Este é o formato de saída do feed padrão:

    \{ "sourcetype" : "zscalernss-edlp", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","login":"%s{user}","dept":"%s{department}","filetypename":"%s{filetypename}","filemd5":"%s{filemd5}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpcounts}","dlpenginenames":"%s{dlpengnames}","channel":"%s{channel}","actiontaken":"%s{actiontaken}","severity":"%s{severity}","rulename":"%s{triggeredrulelabel}","itemdstname":"%s{itemdstname}"\}\}
    

17. Selecione o fuso horário do campo Hora no arquivo de saída na lista Fuso horário. Por padrão, o fuso horário é definido como o da sua organização.

18. Revise as configurações definidas.

19. Clique em Salvar para testar a conectividade. Se a conexão for bem-sucedida, uma marca de seleção verde acompanhada da mensagem Teste de conectividade bem-sucedido: OK (200) vai aparecer.

Para mais informações sobre feeds do Google SecOps, consulte a documentação sobre feeds do Google SecOps. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google SecOps.

Formatos de registro do Zscaler DLP compatíveis

O analisador de DLP da Zscaler é compatível com registros no formato JSON.

Registros de amostra da DLP do Zscaler compatíveis

• JSON:

  {
    "sourcetype": "zscalernss-edlp",
    "event": {
      "time": "Thu Jun 20 21:14:56 2024",
      "recordid": "7382697059455533057",
      "login": "dummy@domain.com",
      "dept": "General Group",
      "filetypename": "xlsx",
      "filemd5": "9a2d0d62c22994a98f65939ddcd3eb8f",
      "dlpdictnames": "Social Security Number (US): Detect leakage of United States Social Security Numbers|Credit Cards: Detect leakage of credit card information|Aadhaar Card Number (India): Detect Leakage of Indian Aadhaar Card Numbers",
      "dlpdictcount": "1428|141|81",
      "dlpenginenames": "Dummy Engine|cc|PCI|GLBA|HIPAA",
      "channel": "Removable Storage",
      "actiontaken": "Confirm Allow",
      "severity": "High Severity",
      "rulename": "Endpoint_DLP_",
      "itemdstname": "Removable Storage"
    }
  }
  

Tabela de mapeamento do UDM

A tabela a seguir lista os campos de registro do tipo ZSCALER_DLP e os campos correspondentes da UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.