Recopila registros del túnel de Zscaler

En este documento, se explica cómo exportar los registros del túnel de Zscaler configurando un feed de Google Security Operations y cómo los campos de registro se asignan a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta Descripción general de la transferencia de datos a Google SecOps.

Una implementación típica consta de Zscaler Tunnel y el feed de webhook de Google SecOps configurado para enviar registros a Google SecOps. Cada implementación para el cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Túnel de Zscaler: Es la plataforma desde la que recopilas registros.

• Feed de Google SecOps: Es el feed de Google SecOps que recupera registros del túnel de Zscaler y los escribe en Google SecOps.

• Google SecOps: Conserva y analiza los registros.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta ZSCALER_TUNNEL.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Acceso a la consola de Zscaler Internet Access Para obtener más información, consulta la Ayuda de ZIA para el acceso seguro a Internet y SaaS.
• Zscaler Tunnel versión 1.0 o 2.0
• Todos los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.
• Es la clave de API necesaria para completar la configuración del feed en Google Security Operations. Para obtener más información, consulta Cómo configurar claves de API.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros del túnel de Zscaler.
5. Selecciona Webhook como el Tipo de origen.
6. Selecciona Zscaler Tunnel como el Tipo de registro.
7. Haz clic en Siguiente.
8. Opcional: Especifica valores para los siguientes parámetros de entrada:
   1. Delimitador de división: Es el delimitador que se usa para separar las líneas de los registros (déjalo en blanco si no se usa un delimitador).
   2. Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   3. Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
9. Haz clic en Siguiente.
10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Delimitador de división: Es el delimitador que se usa para separar las líneas de registro, como \n.

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del recurso: Es el espacio de nombres del recurso.
• Etiquetas de transferencia: Es la etiqueta que se aplica a los eventos de este feed.
• Haz clic en Siguiente.
• Revisa la configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
• Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.

Configura el túnel de Zscaler

1. En la consola de Zscaler Internet Access, ve a Administration > Nanolog Streaming Service > Cloud NSS Feeds.
2. Haz clic en Agregar feed de NSS de Cloud.
3. Ingresa un nombre para el feed en el campo Nombre del feed.
4. Selecciona NSS for Tunnel en NSS Type.
5. Selecciona el estado en la lista Estado para activar o desactivar el feed de NSS.
6. Mantén el valor Ilimitado en el menú desplegable Tasa de SIEM. Cambia el valor para suprimir el flujo de salida debido a licencias o a otras restricciones.
7. Selecciona Otro en la lista Tipo de SIEM.
8. Selecciona Inhabilitada en la lista Autenticación de OAuth 2.0.
9. Ingresa un límite de tamaño para la carga útil de una solicitud HTTP individual según la práctica recomendada del SIEM en Max Batch Size (por ejemplo, 512 KB).

10. Ingresa la URL HTTPS del extremo de API de Chronicle en la URL de la API con el siguiente formato:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Es la región en la que se aloja tu instancia de Google SecOps (por ejemplo, US).
    • GOOGLE_PROJECT_NUMBER: Número de proyecto de BYOP (obtén este número de C4).
    • LOCATION: Región de Google SecOps (por ejemplo, US).
    • CUSTOMER_ID: ID de cliente de Google SecOps (obtén este ID de C4).
    • FEED_ID: Es el ID del feed que se muestra en la IU del feed en el webhook nuevo creado.

    URL de API de muestra:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Haz clic en Agregar encabezado HTTP y, luego, agrega encabezados HTTP con el siguiente formato:

    • Header 1: Key1: X-goog-api-key y Value1: Clave de API generada en las credenciales de API de Google Cloud BYOP.
    • Header 2: Key2: X-Webhook-Access-Key y Value2: clave secreta de la API generada en la "CLAVE SECRETA" del webhook.

12. Selecciona Túnel en la lista Tipos de registros.

13. Selecciona JSON en la lista Tipo de salida del feed.

14. Establece Feed Escape Character en , \ ".

15. Para agregar un campo nuevo al Formato de salida del feed, selecciona Personalizado en la lista Tipo de salida del feed.

16. Copia y pega el Formato de salida del feed y agrega campos nuevos. Asegúrate de que los nombres de las claves coincidan con los nombres de los campos reales.

    Los siguientes son los formatos de salida del feed predeterminados:

    • Para la fase 1 de IKE:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","destinationport":"%d{dstport}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","spi_in":"%lu{spi_in}","spi_out":"%lu{spi_out}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","recordid":"%d{recordid}"\}\}
      

    • Para la fase 2 de IKE:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","sourceportstart":"%d{srcportstart}","destinationportstart":"%d{destportstart}","srcipstart":"%s{srcipstart}","srcipend":"%s{srcipend}","destinationipstart":"%s{destipstart}","destinationipend":"%s{destipend}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","lifebytes":"%d{lifebytes}","spi":"%d{spi}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","protocol":"%s{protocol}","tunnelprotocol":"%s{tunnelprotocol}","policydirection":"%s{policydirection}","recordid":"%d{recordid}"\}\}
      

    • Para el evento de túnel:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","event":"%s{event}","eventreason":"%s{eventreason}","recordid":"%d{recordid}"\}\}
      

    • Por ejemplo:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","txbytes":"%lu{txbytes}","rxbytes":"%lu{rxbytes}","dpdrec":"%d{dpdrec}","recordid":"%d{recordid}"\}\}
      

17. Selecciona la zona horaria para el campo Hora en el archivo de salida en la lista Zona horaria. De forma predeterminada, la zona horaria se establece en la de tu organización.

18. Revisa la configuración.

19. Haz clic en Guardar para probar la conectividad. Si la conexión se realiza correctamente, aparecerá una marca de verificación verde junto con el mensaje Test Connectivity Successful: OK (200).

Para obtener más información sobre los feeds de Google SecOps, consulta la documentación de los feeds de Google SecOps. Para obtener información sobre los requisitos de cada tipo de feed, consulta Configuración de feeds por tipo.

Si tienes problemas para crear feeds, comunícate con el equipo de asistencia de Google SecOps.

Formatos de registro del túnel de Zscaler compatibles

El analizador de Zscaler Tunnel admite registros en formato JSON.

Registros de muestra del túnel de Zscaler compatibles

• JSON

  {
    "sourcetype": "zscalernss-tunnel",
    "event": {
      "datetime": "Sun Jan 21 06:17:00 2024",
      "Recordtype": "Tunnel Samples",
      "tunneltype": "IPSec IKEv2",
      "user": "dummy-user@dummydomain.net",
      "location": "PLWSE06",
      "sourceip": "198.51.100.0",
      "destinationip": "198.51.100.1",
      "sourceport": "0",
      "txbytes": "12560",
      "rxbytes": "0",
      "dpdrec": "0",
      "recordid": "7326416289073594372"
    }
  }
  

Tabla de asignación de UDM

Referencia de asignación de campos: ZSCALER_TUNNEL

En la siguiente tabla, se enumeran los campos de registro del tipo de registro ZSCALER_TUNNEL y sus campos de UDM correspondientes.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.