Recoger registros DNS de Zscaler

En este documento se describe cómo puede exportar registros de DNS de Zscaler configurando un feed de Google Security Operations y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta el artículo Descripción general de la ingesta de datos en Google SecOps.

Una implementación típica consta de Zscaler DNS y el feed de webhook de Google SecOps configurado para enviar registros a Google SecOps. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• DNS de Zscaler: la plataforma desde la que recoges los registros.

• Feed de Google SecOps: el feed de Google SecOps que obtiene registros de Zscaler DNS y escribe registros en Google SecOps.

• Google SecOps: conserva y analiza los registros.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión ZSCALER_DNS.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Acceso a la consola de Zscaler Internet Access. Para obtener más información, consulta la ayuda de ZIA sobre acceso seguro a Internet y SaaS.
• Zscaler DNS 2024 o una versión posterior
• Todos los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.
• La clave de API necesaria para completar la configuración de la fuente en Google Security Operations. Para obtener más información, consulta Configurar claves de API.

Configurar feeds

Para configurar este tipo de registro, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. Haga clic en el paquete de feeds Zscaler.
4. Busca el tipo de registro que necesites y haz clic en Añadir nuevo feed.

5. Introduce los valores de los siguientes parámetros de entrada:

   • Tipo de fuente: webhook (recomendado)
   • Delimitador de división: carácter que se usa para separar las líneas de registro. Déjelo en blanco si no se usa ningún delimitador.

   Opciones avanzadas

   • Nombre del feed: valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres de recursos: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

6. Haga clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

Configurar el DNS de Zscaler

1. En la consola de Zscaler Internet Access, haz clic en Administración > Servicio de streaming de Nanolog > Feeds de NSS en la nube y, a continuación, en Añadir feed de NSS en la nube.
2. Aparecerá la ventana Añadir feed de NSS de Cloud. En la ventana Add Cloud NSS Feed (Añadir feed de NSS de Cloud), introduce los detalles.
3. Escribe un nombre para el feed en el campo Nombre del feed.
4. Selecciona NSS for DNS (NSS para DNS) en NSS Type (Tipo de NSS).
5. Seleccione el estado en la lista Estado para activar o desactivar el feed de NSS.
6. En el menú desplegable Tasa de SIEM, deja el valor Ilimitado. Para suprimir el flujo de salida debido a licencias u otras restricciones, cambia el valor.
7. Seleccione Otro en la lista Tipo de SIEM.
8. Selecciona Inhabilitado en la lista Autenticación de OAuth 2.0.
9. Introduce un límite de tamaño para la carga útil de una solicitud HTTP individual según la práctica recomendada del SIEM en Tamaño máximo del lote. Por ejemplo, 512 KB.

10. Introduce la URL HTTPS del endpoint de la API de Chronicle en el campo URL de la API con el siguiente formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: región en la que se aloja tu instancia de Chronicle. Por ejemplo, "US".
    • GOOGLE_PROJECT_NUMBER: número de proyecto de BYOP. Obtén este valor de C4.
    • LOCATION: región de Chronicle. Por ejemplo, "US".
    • CUSTOMER_ID: ID de cliente de Chronicle. Obtenido de C4.
    • FEED_ID: ID de feed que se muestra en la interfaz de usuario del feed cuando se crea un webhook
    • URL de API de ejemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Haga clic en Añadir encabezado HTTP y, a continuación, añada encabezados HTTP con el siguiente formato:

    • Header 1: Clave1: X-goog-api-key y Valor1: clave de API generada en las credenciales de API de Google Cloud BYOP.
    • Header 2: Clave2: X-Webhook-Access-Key y Valor2: clave secreta de la API generada en "CLAVE SECRETA" del webhook.

12. Seleccione Registros DNS en la lista Tipos de registro.

13. Seleccione JSON en la lista Tipo de salida del feed.

14. Asigna el valor , \ " a Carácter de escape del feed.

15. Para añadir un campo al Formato de salida del feed,seleccione Personalizado en la lista Tipo de salida del feed.

16. Copia y pega el Formato de salida del feed y añade campos nuevos. Asegúrate de que los nombres de las claves coincidan con los nombres de los campos.

17. A continuación, se muestra el formato de salida de la feed predeterminado:

      \{ "sourcetype" : "zscalernss-dns", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","location":"%s{elocation}","reqaction":"%s{reqaction}","resaction":"%s{resaction}","reqrulelabel":"%s{reqrulelabel}","resrulelabel":"%s{resrulelabel}","dns_reqtype":"%s{reqtype}","dns_req":"%s{req}","dns_resp":"%s{res}","srv_dport":"%d{sport}","durationms":"%d{durationms}","clt_sip":"%s{cip}","srv_dip":"%s{sip}","category":"%s{domcat}","respipcategory":"%s{respipcat}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. Seleccione la zona horaria del campo Hora del archivo de salida en la lista Zona horaria. De forma predeterminada, la zona horaria es la de tu organización.

19. Revisa los ajustes configurados.

20. Haz clic en Guardar para probar la conectividad. Si la conexión se realiza correctamente, aparecerá una marca de verificación verde junto con el mensaje Prueba de conectividad correcta: OK (200).

Para obtener más información sobre los feeds de Google SecOps, consulta la documentación de los feeds de Google SecOps. Para obtener información sobre los requisitos de cada tipo de feed, consulta el artículo Configuración de feeds por tipo.

Si tienes problemas al crear feeds, ponte en contacto con el equipo de Asistencia de SecOps de Google.

Formatos de registro DNS de Zscaler admitidos

El analizador de DNS de Zscaler admite registros en formato JSON.

Registros de muestra de DNS de Zscaler admitidos

• JSON

  {
    "sourcetype": "zscalernss-dns",
    "event": {
      "srv_dport": "53",
      "durationms": "1306",
      "clt_sip": "1.1.1.1",
      "respipcategory": "Other",
      "datetime": "Sun Sep 18 22:41:05 2020",
      "reqaction": "Allow",
      "resaction": "Allow",
      "resrulelabel": "None",
      "category": "Finance",
      "devicehostname": "dummy_hostname",
      "user": "test.123@test.com",
      "location": "dummy",
      "deviceowner": "212582",
      "department": "Output%20Solutions",
      "reqrulelabel": "Default Firewall DNS Rule",
      "dns_reqtype": "SRV",
      "dns_req": "dummy.domains.com",
      "dns_resp": "NXDOMAIN",
      "srv_dip": "1.1.1.1"
    }
  }
  
  

Referencia de asignación de campos

Referencia de asignación de campos: ZSCALER_DNS

En la siguiente tabla se enumeran los campos de registro del tipo de registro ZSCALER_DNS y sus campos de UDM correspondientes.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.