Recolha registos de DNS do Zscaler

Este documento descreve como pode exportar registos de DNS do Zscaler configurando um feed do Google Security Operations e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google SecOps.

Uma implementação típica consiste no DNS da Zscaler e no feed de webhook do Google SecOps configurado para enviar registos para o Google SecOps. Cada implementação do cliente pode ser diferente e mais complexa.

A implementação contém os seguintes componentes:

• DNS do Zscaler: a plataforma a partir da qual recolhe registos.

• Feed do Google SecOps: o feed do Google SecOps que obtém registos do DNS do Zscaler e escreve registos no Google SecOps.

• Google SecOps: retém e analisa os registos.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento ZSCALER_DNS.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Acesso à consola do Zscaler Internet Access. Para mais informações, consulte o artigo Acesso seguro à Internet e ao SaaS: ajuda do ZIA.
• Zscaler DNS 2024 ou posterior
• Todos os sistemas na arquitetura de implementação estão configurados com o fuso horário UTC.
• A chave da API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte o artigo Configurar chaves de API.

Configure feeds

Para configurar este tipo de registo, siga estes passos:

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Clique no pacote de feeds Zscaler.
4. Localize o tipo de registo necessário e clique em Adicionar novo feed.

5. Introduza valores para os seguintes parâmetros de entrada:

   • Tipo de origem: webhook (recomendado)
   • Delimitador de divisão: o caráter usado para separar linhas de registos. Deixe em branco se não for usado nenhum delimitador.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Espaço de nomes do recurso: espaço de nomes associado ao feed.
   • Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

6. Clique em Criar feed.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Configure o DNS do Zscaler

1. Na consola do Zscaler Internet Access, clique em Administração > Serviço de streaming de nanologs > Feeds NSS na nuvem e, de seguida, clique em Adicionar feed NSS na nuvem.
2. É apresentada a janela Adicionar feed NSS na nuvem. Na janela Adicionar feed NSS da nuvem, introduza os detalhes.
3. Introduza um nome para o feed no campo Nome do feed.
4. Selecione NSS para DNS em Tipo de NSS.
5. Selecione o estado na lista Estado para ativar ou desativar o feed NSS.
6. Mantenha o valor no menu pendente Taxa de SIEM como Ilimitado. Para suprimir o fluxo de saída devido a licenciamento ou outras restrições, altere o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativado na lista Autenticação OAuth 2.0.
9. Introduza um limite de tamanho para uma carga útil de pedido HTTP individual de acordo com a prática recomendada do SIEM em Tamanho máximo do lote. Por exemplo, 512 KB.

10. Introduza o URL HTTPS do ponto final da API Chronicle no URL da API no seguinte formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região onde a sua instância do Chronicle está alojada. Por exemplo, US.
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP. Obtenha-o a partir do C4.
    • LOCATION: região do Chronicle. Por exemplo, US.
    • CUSTOMER_ID: ID de cliente do Chronicle. Obtenha a partir de C4.
    • FEED_ID: ID do feed apresentado na IU do feed no novo webhook criado
    • URL da API de exemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e, de seguida, adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Key1: X-goog-api-key e Value1: chave da API gerada nas credenciais da API do Google Cloud BYOP.
    • Header 2: Key2: X-Webhook-Access-Key e Value2: chave secreta da API gerada na "CHAVE SECRETA" do webhook.

12. Selecione Registos DNS na lista Tipos de registos.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina o caráter de escape do feed como , \ ".

15. Para adicionar um novo campo ao formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Certifique-se de que os nomes das chaves correspondem aos nomes dos campos reais.

17. Segue-se o formato de saída do feed predefinido:

      \{ "sourcetype" : "zscalernss-dns", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","location":"%s{elocation}","reqaction":"%s{reqaction}","resaction":"%s{resaction}","reqrulelabel":"%s{reqrulelabel}","resrulelabel":"%s{resrulelabel}","dns_reqtype":"%s{reqtype}","dns_req":"%s{req}","dns_resp":"%s{res}","srv_dport":"%d{sport}","durationms":"%d{durationms}","clt_sip":"%s{cip}","srv_dip":"%s{sip}","category":"%s{domcat}","respipcategory":"%s{respipcat}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. Selecione o fuso horário para o campo Hora no ficheiro de saída na lista Fuso horário. Por predefinição, o fuso horário é definido como o fuso horário da sua organização.

19. Reveja as definições configuradas.

20. Clique em Guardar para testar a conetividade. Se a ligação for bem-sucedida, é apresentada uma marca de verificação verde acompanhada da mensagem Test Connectivity Successful: OK (200).

Para mais informações sobre os feeds do Google SecOps, consulte a documentação dos feeds do Google SecOps. Para obter informações sobre os requisitos de cada tipo de feed, consulte o artigo Configuração do feed por tipo.

Se tiver problemas ao criar feeds, contacte o apoio técnico da Google SecOps.

Formatos de registos de DNS do Zscaler suportados

O analisador DNS do Zscaler suporta registos no formato JSON.

Registos de exemplo de DNS do Zscaler suportados

• JSON

  {
    "sourcetype": "zscalernss-dns",
    "event": {
      "srv_dport": "53",
      "durationms": "1306",
      "clt_sip": "1.1.1.1",
      "respipcategory": "Other",
      "datetime": "Sun Sep 18 22:41:05 2020",
      "reqaction": "Allow",
      "resaction": "Allow",
      "resrulelabel": "None",
      "category": "Finance",
      "devicehostname": "dummy_hostname",
      "user": "test.123@test.com",
      "location": "dummy",
      "deviceowner": "212582",
      "department": "Output%20Solutions",
      "reqrulelabel": "Default Firewall DNS Rule",
      "dns_reqtype": "SRV",
      "dns_req": "dummy.domains.com",
      "dns_resp": "NXDOMAIN",
      "srv_dip": "1.1.1.1"
    }
  }
  
  

Referência de mapeamento de campos

Referência de mapeamento de campos: ZSCALER_DNS

A tabela seguinte apresenta os campos de registo do ZSCALER_DNS tipo de registo e os respetivos campos UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.