Recolha registos da firewall do Zscaler

Este documento descreve como pode exportar registos da firewall da Zscaler configurando um feed do Google Security Operations e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google SecOps.

Uma implementação típica consiste na firewall da Zscaler e no feed de webhook do Google SecOps configurado para enviar registos para o Google SecOps. Cada implementação do cliente pode ser diferente e mais complexa.

A implementação contém os seguintes componentes:

• Zscaler Firewall: a plataforma a partir da qual recolhe registos.

• Feed do Google SecOps: o feed do Google SecOps que obtém registos da firewall da Zscaler e escreve registos no Google SecOps.

• Google SecOps: retém e analisa os registos.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento ZSCALER_FIREWALL.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Acesso à consola do Zscaler Internet Access. Para mais informações, consulte o artigo Acesso seguro à Internet e ao SaaS: ajuda do ZIA.
• Zscaler Firewall 2024 ou posterior
• Todos os sistemas na arquitetura de implementação estão configurados com o fuso horário UTC.
• A chave da API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte o artigo Configurar chaves de API.

Configure feeds

Para configurar este tipo de registo, siga estes passos:

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Clique no pacote de feeds Zscaler.
4. Localize o tipo de registo necessário e clique em Adicionar novo feed.

5. Introduza valores para os seguintes parâmetros de entrada:

   • Tipo de origem: webhook (recomendado)
   • Delimitador de divisão: o caráter usado para separar linhas de registos. Deixe em branco se não for usado nenhum delimitador.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Espaço de nomes do recurso: espaço de nomes associado ao feed.
   • Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

6. Clique em Criar feed.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Configure a firewall do Zscaler

1. Na consola do Zscaler Internet Access, clique em Administração > Serviço de streaming de nanologs > Feeds NSS na nuvem e, de seguida, clique em Adicionar feed NSS na nuvem.
2. É apresentada a janela Adicionar feed NSS na nuvem. Na janela Adicionar feed NSS da nuvem, introduza os detalhes.
3. Introduza um nome para o feed no campo Nome do feed.
4. Selecione NSS para firewall em Tipo de NSS.
5. Selecione o estado na lista Estado para ativar ou desativar o feed NSS.
6. Mantenha o valor no menu pendente Taxa de SIEM como Ilimitado. Para suprimir o fluxo de saída devido a licenciamento ou outras restrições, altere o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativado na lista Autenticação OAuth 2.0.
9. Introduza um limite de tamanho para uma carga útil de pedido HTTP individual de acordo com a prática recomendada do SIEM em Tamanho máximo do lote. Por exemplo, 512 KB.

10. Introduza o URL HTTPS do ponto final da API Chronicle no URL da API no seguinte formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região onde a sua instância do Chronicle está alojada. Por exemplo, US.
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP. Obtenha-o a partir do C4.
    • LOCATION: região do Chronicle. Por exemplo, US.
    • CUSTOMER_ID: ID de cliente do Chronicle. Obtenha a partir de C4.
    • FEED_ID: ID do feed apresentado na IU do feed no novo webhook criado
    • URL da API de exemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e, de seguida, adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Key1: X-goog-api-key e Value1: chave da API gerada nas credenciais da API do Google Cloud BYOP.
    • Header 2: Key2: X-Webhook-Access-Key e Value2: chave secreta da API gerada na "CHAVE SECRETA" do webhook.

12. Selecione Registos de firewall na lista Tipos de registos.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina o caráter de escape do feed como , \ ".

15. Para adicionar um novo campo ao formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Certifique-se de que os nomes das chaves correspondem aos nomes dos campos reais.

17. Segue-se o formato de saída do feed predefinido:

      \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. Selecione o fuso horário para o campo Hora no ficheiro de saída na lista Fuso horário. Por predefinição, o fuso horário é definido como o fuso horário da sua organização.

19. Reveja as definições configuradas.

20. Clique em Guardar para testar a conetividade. Se a ligação for bem-sucedida, é apresentada uma marca de verificação verde acompanhada da mensagem Test Connectivity Successful: OK (200).

Para mais informações sobre os feeds do Google SecOps, consulte a documentação dos feeds do Google SecOps. Para obter informações sobre os requisitos de cada tipo de feed, consulte o artigo Configuração do feed por tipo.

Se tiver problemas ao criar feeds, contacte o apoio técnico da Google SecOps.

Formatos de registo da firewall do Zscaler suportados

O analisador do Zscaler Firewall suporta registos no formato JSON.

Registos de exemplo da firewall do Zscaler suportados

• JSON:

  {
    "sourcetype": "zscalernss-fw",
    "event": {
      "datetime": "Tue Apr 11 00:44:01 2023",
      "user": "abc@test.com",
      "department": "Optum%20Tech%20UHC%20Technology",
      "locationname": "Road%20Warrior",
      "cdport": "443",
      "csport": "50407",
      "sdport": "443",
      "ssport": "36223",
      "csip": "198.51.100.8",
      "cdip": "198.51.100.7",
      "ssip": "198.51.100.9",
      "sdip": "198.51.100.10",
      "tsip": "198.51.100.11",
      "tunsport": "0",
      "tuntype": "ZscalerClientConnector",
      "action": "Allow",
      "dnat": "No",
      "stateful": "Yes",
      "aggregate": "Yes",
      "nwsvc": "ZSCALER_PROXY_NW_SERVICES",
      "nwapp": "sharepoint_document",
      "proto": "TCP",
      "ipcat": "Miscellaneous or Unknown",
      "destcountry": "Other",
      "avgduration": "239296",
      "rulelabel": "Default%20Firewall%20Filtering%20Rule",
      "inbytes": "286134",
      "outbytes": "515005",
      "duration": "6461",
      "durationms": "6461000",
      "numsessions": "27",
      "ipsrulelabel": "None",
      "threatcat": "None",
      "threatname": "None",
      "deviceowner": "dummydeviceowner",
      "devicehostname": "dummyhostname"
    }
  }
  

Referência de mapeamento de campos

A tabela seguinte apresenta os campos de registo do ZSCALER_FIREWALL tipo de registo e os respetivos campos UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.