收集 Zscaler Internet Access 記錄

支援的國家/地區：

本文說明如何設定 Google Security Operations 資訊提供，匯出 Zscaler Internet Access 記錄，以及記錄欄位如何對應至 Google SecOps 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料擷取至 Google SecOps 總覽」。

一般部署作業包含 Zscaler Internet Access 和 Google SecOps Webhook 資訊提供，設定為將記錄傳送至 Google SecOps。每個客戶的部署作業可能有所不同，也可能更複雜。

部署作業包含下列元件：

  • Zscaler Internet Access：收集記錄的平台。

  • Google SecOps 資訊提供：從 Zscaler Internet Access 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 資訊提供。

  • Google SecOps：保留及分析記錄檔。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 ZSCALER_INTERNET_ACCESS 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

  • 存取 Zscaler Internet Access 控制台。詳情請參閱「Secure Internet and SaaS Access ZIA Help」。
  • Zscaler Internet Access 2024 以上版本
  • 部署架構中的所有系統都已設定為世界標準時間時區。
  • 在 Google Security Operations 中完成動態饋給設定時，需要使用 API 金鑰。詳情請參閱「設定 API 金鑰」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

  • 「SIEM 設定」>「動態消息」
  • 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給的名稱，例如「Zscaler Internet Access Logs」(Zscaler 網際網路存取記錄)。
  5. 選取「Webhook」做為「來源類型」。
  6. 選取「Zscaler Internet Access Audit Logs」做為「記錄類型」。
  7. 點選「下一步」。
  8. 選用：輸入下列輸入參數的值：
    1. 分割分隔符號：用於分隔記錄行的分隔符號。如未使用分隔符號，請將此欄位留空。
    2. 資產命名空間：資產命名空間。
    3. 擷取標籤：要套用至這個動態饋給事件的標籤。
  9. 點選「下一步」。
  10. 檢查新的動態消息設定，然後按一下「提交」。
  11. 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。

從內容中心設定動態饋給

為下列欄位指定值：

  • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。

進階選項

  • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
  • 來源類型：將記錄收集到 Google SecOps 的方法。
  • 資產命名空間：資產命名空間。
  • 擷取標籤：套用至這個動態饋給事件的標籤。
  • 點選「下一步」。
  • 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。
  • 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。

設定 Zscaler Internet Access

  1. 在 Zscaler Internet Access 控制台中，依序點選「Administration」(管理) >「Nanolog Streaming Service」(Nanolog 串流服務) >「Cloud NSS Feeds」(Cloud NSS 資訊提供)，然後點選「Add Cloud NSS Feed」(新增 Cloud NSS 資訊提供)。
  2. 系統會隨即顯示「新增 Cloud NSS 饋給」視窗。在「新增 Cloud NSS 動態饋給」視窗中輸入詳細資料。
  3. 在「動態饋給名稱」欄位中輸入動態饋給名稱。
  4. 在「NSS Type」中選取「NSS for Web」。
  5. 從「狀態」清單中選取狀態，即可啟用或停用 NSS 動態饋給。
  6. 將「SIEM Rate」下拉式選單的值保留為「Unlimited」。如要因授權或其他限制而抑制輸出串流，請變更值。
  7. 在「SIEM Type」(SIEM 類型) 清單中選取「Other」(其他)。
  8. 在「OAuth 2.0 Authentication」清單中選取「Disabled」。
  9. 在「Max Batch Size」(批次大小上限) 中，輸入個別 HTTP 要求酬載的大小上限，以符合 SIEM 的最佳做法。例如 512 KB。

  10. 在「API URL」中，以以下格式輸入 Chronicle API 端點的 HTTPS 網址：

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    • CHRONICLE_REGION：Chronicle 執行個體的主機代管區域。例如「US」。
    • GOOGLE_PROJECT_NUMBER：自帶專案編號。請從 C4 取得這項資訊。
    • LOCATION：Chronicle 區域。例如「US」。
    • CUSTOMER_ID：Chronicle 客戶 ID。從 C4 取得。
    • FEED_ID：建立新 Webhook 時，動態饋給 UI 中顯示的動態饋給 ID

    • API 網址範例：

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs

  11. 按一下「新增 HTTP 標頭」，然後新增 HTTP 標頭，格式如下：

    • Header 1：Key1： X-goog-api-key 和 Value1：在 Google Cloud BYOP 的 API 憑證中產生的 API 金鑰。
    • Header 2：Key2： X-Webhook-Access-Key 和 Value2：在網路鉤子的「SECRET KEY」上產生的 API 密鑰。

  12. 在「記錄類型」清單中選取「管理員稽核記錄」。

  13. 在「動態饋給輸出類型」清單中選取「JSON」。

  14. 將「動態饋給逸出字元」設為 , \ "。

  15. 如要將新欄位新增至動態饋給輸出格式，請在「動態饋給輸出類型」清單中選取「自訂」。

  16. 複製並貼上「動態饋給輸出格式」，然後新增欄位。確認鍵名與實際欄位名稱相符。

  17. 以下是預設的動態饋給輸出格式：

      \{ "sourcetype" : "zscalernss-audit", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","action":"%s{action}","category":"%s{category}","subcategory":"%s{subcategory}","resource":"%s{resource}","interface":"%s{interface}","adminid":"%s{adminid}","clientip":"%s{clientip}","result":"%s{result}","errorcode":"%s{errorcode}","auditlogtype":"%s{auditlogtype}","preaction":%s{preaction},"postaction":%s{postaction}\}\}

  18. 在「Timezone」(時區)清單中，選取輸出檔案「Time」(時間) 欄位的時區。根據預設，時區會設為貴機構的時區。

  19. 查看已設定的設定。

  20. 按一下「儲存」，測試連線。如果連線成功，畫面會顯示綠色勾號，以及「Test Connectivity Successful: OK (200)」(測試連線成功：OK (200)) 訊息。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。

如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

支援的 Zscaler Internet Access 記錄格式

Zscaler Internet Access 剖析器支援 JSON 格式的記錄。

支援的 Zscaler Internet Access 記錄檔範例

  • JSON

    {
  "sourcetype": "zscalernss-audit",
  "event": {
    "time": "Wed May 29 17:45:03 2024",
    "recordid": "6095",
    "action": "UPDATE",
    "category": "ACCESS_CONTROL_RESOURCE",
    "subcategory": "URL_CATEGORY",
    "resource": "Custom SSL Bypass",
    "interface": "UI",
    "adminid": "abc@xyz.com",
    "clientip": "198.51.100.1",
    "result": "SUCCESS",
    "errorcode": "None",
    "auditlogtype": "ZIA",
    "preaction": "{"id":{"val":130%2c"mask":255%2c"parent":"CUSTOM_SUPERCATEGORY"%2c"deprecated":false%2c"backendName":"custom_03"%2c"name":"CUSTOM_03"%2c"userConfiguredName":""}%2c"configuredName":"Custom%20SSL%20Bypass"%2c"superCategory":"USER_DEFINED"%2c"keywords":[]%2c"keywordsRetainingParentCategory":[]%2c"customUrlsToAdd":[]%2c"customUrlsToDelete":[]%2c"urlsRetainingParentCategoryToAdd":[]%2c"urlsRetainingParentCategoryToDelete":[]%2c"customIpRangesToAdd":[]%2c"customIpRangesToDelete":[]%2c"ipRangesRetainingParentCategoryToAdd":[]%2c"ipRangesRetainingParentCategoryToDelete":[]%2c"customCategory":true%2c"editable":true%2c"description":"https: //help.zscaler.com/zia/url-format-guidelines"%2c"type":"URL_CATEGORY"%2c"customUrlsCount":1%2c"urlsRetainingParentCategoryCount":60%2c"customIpRangesCount":0%2c"ipRangesRetainingParentCategoryCount":0%2c"urlsToAdd":[]%2c"urlsToDelete":[]%2c"dbCategorizedUrlsToAdd":[]%2c"dbCategorizedUrlsToDelete":[]}","postaction":"{"id":{"val":130%2c"mask":255%2c"parent":"CUSTOM_SUPERCATEGORY"%2c"deprecated":false%2c"backendName":"custom_03"%2c"name":"CUSTOM_03"%2c"userConfiguredName":""}%2c"configuredName":"Custom%20SSL%20Bypass"%2c"superCategory":"USER_DEFINED"%2c"customUrlsToAdd":[]%2c"customUrlsToDelete":[]%2c"urlsRetainingParentCategoryToAdd":["webcast.temoinproduction.com"]%2c"urlsRetainingParentCategoryToDelete":[]%2c"customIpRangesToAdd":[]%2c"customIpRangesToDelete":[]%2c"ipRangesRetainingParentCategoryToAdd":[]%2c"ipRangesRetainingParentCategoryToDelete":[]%2c"customCategory":true%2c"editable":true%2c"description":"https://help.zscaler.com/zia/url-format-guidelines"%2c"type":"URL_CATEGORY"%2c"customUrlsCount":1%2c"urlsRetainingParentCategoryCount":61%2c"customIpRangesCount":0%2c"ipRangesRetainingParentCategoryCount":0%2c"urlsToAdd":[]%2c"urlsToDelete":[]%2c"dbCategorizedUrlsToAdd":[]%2c"dbCategorizedUrlsToDelete":[]}"}
}

欄位對應參考資料

下表列出 ZSCALER_INTERNET_ACCESS 記錄類型的記錄欄位，以及對應的 UDM 欄位。

Log field UDM mapping Logic
metadata.event_type The metadata.event_type UDM field is set to STATUS_UPDATE.
metadata.product_name The metadata.product_name UDM field is set to Admin Audit.
metadata.vendor_name The metadata.vendor_name UDM field is set to Zscaler.
sourcetype additional.fields[sourcetype]
time metadata.event_timestamp
recordid metadata.product_log_id
action security_result.action_details
category target.security_result.category_details
subcategory target.security_result.category_details
resource target.resource.name
interface principal.resource.attribute.labels[interface]
adminid principal.user.userid
clientip principal.ip
security_result.action If the event.result log field value is equal to SUCCESS, then the security_result.action UDM field is set to ALLOW.

Else, if the event.result log field value is equal to FAILURE, then the security_result.action UDM field is set to BLOCK.
errorcode security_result.summary
auditlogtype additional.fields[auditlogtype]
preaction principal.resource.attribute.labels Iterate through preaction object: The preaction object key is mapped to the principal.resource.attribute.labels.key UDM field and preaction object value is mapped to the principal.resource.attribute.labels.value UDM field.
postaction principal.resource.attribute.labels Iterate through postaction object: The postaction object key is mapped to the principal.resource.attribute.labels.key UDM field and postaction object value is mapped to the principal.resource.attribute.labels.value UDM field.

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。