Coletar registros do firewall da Zscaler

Neste documento, descrevemos como exportar registros do firewall da Zscaler configurando um feed do Google Security Operations e como os campos de registro são mapeados para os campos do modelo unificado de dados (UDM, na sigla em inglês) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste no firewall da Zscaler e no feed de webhook do Google SecOps configurado para enviar registros ao Google SecOps. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• Firewall do Zscaler: a plataforma de onde você coleta registros.

• Feed do Google SecOps: o feed do Google SecOps que busca registros do firewall da Zscaler e grava registros no Google SecOps.

• Google SecOps: retém e analisa os registros.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão ZSCALER_FIREWALL.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Acesso ao console do Zscaler Internet Access. Para mais informações, consulte Ajuda do ZIA sobre acesso seguro à Internet e ao SaaS.
• Zscaler Firewall 2024 ou mais recente
• Todos os sistemas na arquitetura de implantação são configurados com o fuso horário UTC.
• A chave de API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte Como configurar chaves de API.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed. Por exemplo, Registros do firewall ZScaler.
5. Selecione Webhook como o Tipo de origem.
6. Selecione ZScaler NGFW como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: insira valores para os seguintes parâmetros de entrada:
   1. Delimitador de divisão: o delimitador usado para separar as linhas de registros. Deixe em branco se um delimitador não for usado.
   2. Namespace do recurso: o namespace do recurso.
   3. Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
9. Clique em Próxima.
10. Revise a nova configuração de feed e clique em Enviar.
11. Clique em Gerar chave secreta para autenticar este feed.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: o namespace do recurso.
• Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
• Clique em Próxima.
• Revise a configuração do feed na tela Finalizar e clique em Enviar.
• Clique em Gerar chave secreta para autenticar o feed.

Configurar o firewall do Zscaler

1. No console do Zscaler Internet Access, clique em Administração > Serviço de streaming do Nanolog > Feeds do NSS na nuvem e em Adicionar feed do NSS na nuvem.
2. A janela Adicionar feed do NSS na nuvem vai aparecer. Na janela Adicionar feed do NSS da nuvem, insira os detalhes.
3. Digite um nome para o feed no campo Nome do feed.
4. Selecione NSS para firewall em Tipo de NSS.
5. Selecione o status na lista Status para ativar ou desativar o feed do NSS.
6. Mantenha o valor no menu suspenso Taxa de SIEM como Ilimitada. Para suprimir o fluxo de saída devido a restrições de licenciamento ou outras, mude o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativado na lista Autenticação do OAuth 2.0.
9. Insira um limite de tamanho para uma carga útil de solicitação HTTP individual na prática recomendada do SIEM em Tamanho máximo do lote. Por exemplo, 512 KB.

10. Insira o URL HTTPS do endpoint de API do Chronicle no URL da API no seguinte formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região em que a instância do Chronicle está hospedada. Por exemplo, US.
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP. Obtenha isso do C4.
    • LOCATION: região do Chronicle. Por exemplo, US.
    • CUSTOMER_ID: ID do cliente do Chronicle. Obtenha do C4.
    • FEED_ID: ID do feed mostrado na interface do usuário do feed no novo webhook criado
    • Exemplo de URL da API:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Key1:X-goog-api-key e Value1:chave de API gerada nas credenciais de API do BYOP Google Cloud .
    • Header 2: Key2:X-Webhook-Access-Key e Value2:chave secreta da API gerada em "SECRET KEY" do webhook.

12. Selecione Registros de firewall na lista Tipos de registro.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina Caractere de escape do feed como , \ ".

15. Para adicionar um novo campo ao Formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Verifique se os nomes das chaves correspondem aos nomes dos campos.

17. Confira a seguir o Formato de saída do feed padrão:

      \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. Selecione o fuso horário do campo Hora no arquivo de saída na lista Fuso horário. Por padrão, o fuso horário é definido como o da sua organização.

19. Revise as configurações definidas.

20. Clique em Salvar para testar a conectividade. Se a conexão for bem-sucedida, uma marca de seleção verde acompanhada da mensagem Teste de conectividade bem-sucedido: OK (200) vai aparecer.

Para mais informações sobre feeds do Google SecOps, consulte a documentação sobre feeds do Google SecOps. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google SecOps.

Formatos de registro do firewall do Zscaler compatíveis

O analisador do firewall da Zscaler é compatível com registros no formato JSON.

Registros de amostra do firewall da Zscaler compatíveis

• JSON:

  {
    "sourcetype": "zscalernss-fw",
    "event": {
      "datetime": "Tue Apr 11 00:44:01 2023",
      "user": "abc@test.com",
      "department": "Optum%20Tech%20UHC%20Technology",
      "locationname": "Road%20Warrior",
      "cdport": "443",
      "csport": "50407",
      "sdport": "443",
      "ssport": "36223",
      "csip": "198.51.100.8",
      "cdip": "198.51.100.7",
      "ssip": "198.51.100.9",
      "sdip": "198.51.100.10",
      "tsip": "198.51.100.11",
      "tunsport": "0",
      "tuntype": "ZscalerClientConnector",
      "action": "Allow",
      "dnat": "No",
      "stateful": "Yes",
      "aggregate": "Yes",
      "nwsvc": "ZSCALER_PROXY_NW_SERVICES",
      "nwapp": "sharepoint_document",
      "proto": "TCP",
      "ipcat": "Miscellaneous or Unknown",
      "destcountry": "Other",
      "avgduration": "239296",
      "rulelabel": "Default%20Firewall%20Filtering%20Rule",
      "inbytes": "286134",
      "outbytes": "515005",
      "duration": "6461",
      "durationms": "6461000",
      "numsessions": "27",
      "ipsrulelabel": "None",
      "threatcat": "None",
      "threatname": "None",
      "deviceowner": "dummydeviceowner",
      "devicehostname": "dummyhostname"
    }
  }
  

Referência de mapeamento de campos

A tabela a seguir lista os campos de registro do tipo ZSCALER_FIREWALL e os campos correspondentes da UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.