Recoger registros de cortafuegos de Zscaler

En este documento se describe cómo puede exportar registros de firewall de Zscaler configurando un feed de Google Security Operations y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta el artículo Descripción general de la ingesta de datos en Google SecOps.

Una implementación típica consta de Zscaler Firewall y el feed de webhook de Google SecOps configurado para enviar registros a Google SecOps. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Firewall de Zscaler: la plataforma desde la que recoge los registros.

• Feed de Google SecOps: el feed de Google SecOps que obtiene registros de Zscaler Firewall y escribe registros en Google SecOps.

• Google SecOps: conserva y analiza los registros.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión ZSCALER_FIREWALL.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Acceso a la consola de Zscaler Internet Access. Para obtener más información, consulta la ayuda de ZIA sobre acceso seguro a Internet y SaaS.
• Zscaler Firewall 2024 o versiones posteriores
• Todos los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.
• La clave de API necesaria para completar la configuración de la feed en Google Security Operations. Para obtener más información, consulta Configurar claves de API.

Configurar feeds

Para configurar este tipo de registro, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. Haga clic en el paquete de feeds Zscaler.
4. Busca el tipo de registro que necesites y haz clic en Añadir nuevo feed.

5. Introduce los valores de los siguientes parámetros de entrada:

   • Tipo de fuente: webhook (recomendado)
   • Delimitador de división: carácter que se usa para separar las líneas de registro. Déjelo en blanco si no se usa ningún delimitador.

   Opciones avanzadas

   • Nombre del feed: un valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres de recursos: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

6. Haga clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

Configurar el cortafuegos de Zscaler

1. En la consola de Zscaler Internet Access, haga clic en Administración > Servicio de streaming de Nanolog > Feeds de NSS en la nube y, a continuación, en Añadir feed de NSS en la nube.
2. Aparecerá la ventana Añadir feed de NSS de Cloud. En la ventana Añadir feed de NSS en la nube, introduce los detalles.
3. Escribe un nombre para el feed en el campo Nombre del feed.
4. Seleccione NSS for Firewall (NSS para cortafuegos) en NSS Type (Tipo de NSS).
5. Seleccione el estado en la lista Estado para activar o desactivar el feed de NSS.
6. En el menú desplegable Tasa de SIEM, deja el valor Ilimitada. Para suprimir el flujo de salida debido a licencias u otras restricciones, cambia el valor.
7. Seleccione Otro en la lista Tipo de SIEM.
8. Selecciona Inhabilitado en la lista Autenticación de OAuth 2.0.
9. Introduce un límite de tamaño para la carga útil de una solicitud HTTP individual según la práctica recomendada del SIEM en Tamaño máximo del lote. Por ejemplo, 512 KB.

10. Introduce la URL HTTPS del endpoint de la API de Chronicle en el campo URL de la API con el siguiente formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: región en la que se aloja tu instancia de Chronicle. Por ejemplo, "US".
    • GOOGLE_PROJECT_NUMBER: número de proyecto de BYOP. Obtén este valor de C4.
    • LOCATION: región de Chronicle. Por ejemplo, "US".
    • CUSTOMER_ID: ID de cliente de Chronicle. Obtenido de C4.
    • FEED_ID: ID de feed que se muestra en la interfaz de usuario del feed cuando se crea un webhook
    • URL de API de ejemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Haga clic en Añadir encabezado HTTP y, a continuación, añada encabezados HTTP con el siguiente formato:

    • Header 1: Clave1: X-goog-api-key y Valor1: clave de API generada en las credenciales de API de Google Cloud BYOP.
    • Header 2: Clave2: X-Webhook-Access-Key y Valor2: clave secreta de la API generada en "CLAVE SECRETA" del webhook.

12. Selecciona Registros de cortafuegos en la lista Tipos de registro.

13. Seleccione JSON en la lista Tipo de salida del feed.

14. Asigna el valor , \ " a Carácter de escape del feed.

15. Para añadir un campo al Formato de salida del feed,seleccione Personalizado en la lista Tipo de salida del feed.

16. Copia y pega el Formato de salida del feed y añade campos nuevos. Asegúrate de que los nombres de las claves coincidan con los nombres de los campos.

17. A continuación, se muestra el formato de salida de la feed predeterminado:

      \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. Seleccione la zona horaria del campo Hora del archivo de salida en la lista Zona horaria. De forma predeterminada, la zona horaria es la de tu organización.

19. Revisa los ajustes configurados.

20. Haz clic en Guardar para probar la conectividad. Si la conexión se realiza correctamente, aparecerá una marca de verificación verde junto con el mensaje Prueba de conectividad correcta: OK (200).

Para obtener más información sobre los feeds de Google SecOps, consulta la documentación de los feeds de Google SecOps. Para obtener información sobre los requisitos de cada tipo de feed, consulta el artículo Configuración de feeds por tipo.

Si tienes problemas al crear feeds, ponte en contacto con el equipo de Asistencia de SecOps de Google.

Formatos de registro de cortafuegos de Zscaler admitidos

El analizador de Zscaler Firewall admite registros en formato JSON.

Registros de ejemplo de cortafuegos de Zscaler admitidos

• JSON:

  {
    "sourcetype": "zscalernss-fw",
    "event": {
      "datetime": "Tue Apr 11 00:44:01 2023",
      "user": "abc@test.com",
      "department": "Optum%20Tech%20UHC%20Technology",
      "locationname": "Road%20Warrior",
      "cdport": "443",
      "csport": "50407",
      "sdport": "443",
      "ssport": "36223",
      "csip": "198.51.100.8",
      "cdip": "198.51.100.7",
      "ssip": "198.51.100.9",
      "sdip": "198.51.100.10",
      "tsip": "198.51.100.11",
      "tunsport": "0",
      "tuntype": "ZscalerClientConnector",
      "action": "Allow",
      "dnat": "No",
      "stateful": "Yes",
      "aggregate": "Yes",
      "nwsvc": "ZSCALER_PROXY_NW_SERVICES",
      "nwapp": "sharepoint_document",
      "proto": "TCP",
      "ipcat": "Miscellaneous or Unknown",
      "destcountry": "Other",
      "avgduration": "239296",
      "rulelabel": "Default%20Firewall%20Filtering%20Rule",
      "inbytes": "286134",
      "outbytes": "515005",
      "duration": "6461",
      "durationms": "6461000",
      "numsessions": "27",
      "ipsrulelabel": "None",
      "threatcat": "None",
      "threatname": "None",
      "deviceowner": "dummydeviceowner",
      "devicehostname": "dummyhostname"
    }
  }
  

Referencia de asignación de campos

En la siguiente tabla se enumeran los campos de registro del tipo de registro ZSCALER_FIREWALL y sus campos de UDM correspondientes.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.