Zscaler Tunnel ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Zscaler Tunnel のログをエクスポートする方法と、ログフィールドが Google SecOps 統合データモデル（UDM）フィールドにマッピングされる方法について説明します。

詳細については、Google SecOps へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Zscaler Tunnel と、Google SecOps にログを送信するように構成された Google SecOps Webhook フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Zscaler Tunnel: ログを収集するプラットフォーム。

• Google SecOps フィード: Zscaler Tunnel からログを取得して Google SecOps に書き込む Google SecOps フィード。

• Google SecOps: ログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。 このドキュメントの情報は、ZSCALER_TUNNEL ラベルが付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認します。

• Zscaler Internet Access コンソールへのアクセス権。詳細については、インターネットと SaaS への安全なアクセス ZIA のヘルプをご覧ください。
• Zscaler Tunnel バージョン 1.0 またはバージョン 2.0
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンで構成されている。
• Google Security Operations でフィードの設定を完了するために必要な API キー。詳細については、API キーの設定をご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Zscaler Tunnel Logs）。
5. [ソースの種類] として [Webhook] を選択します。
6. [ログタイプ] として [Zscaler Tunnel] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を指定します。
   1. Split delimiter: ログ行を区切るために使用される区切り文字（区切り文字が使用されていない場合は空白のままにします）。
   2. アセットの名前空間: アセットの名前空間。
   3. Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
11. [シークレット キーを生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: アセットの名前空間。
• Ingestion labels: このフィードのイベントに適用されるラベル。
• [次へ] をクリックします。
• [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。
• [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

Zscaler Tunnel を設定する

1. Zscaler Internet Access コンソールで、[管理> Nanolog ストリーミング サービス > クラウド NSS フィード] に移動します。
2. [クラウド NSS フィードを追加] をクリックします。
3. [フィード名] フィールドにフィードの名前を入力します。
4. [NSS タイプ] で [NSS for Tunnel] を選択します。
5. [ステータス] リストからステータスを選択して、NSS フィードを有効または無効にします。
6. [SIEM レート] プルダウンの値は [無制限] のままにします。ライセンスなどの制約により出力ストリームを抑制するには、値を変更します。
7. [SIEM タイプ] リストで [その他] を選択します。
8. [OAuth 2.0 認証] リストで [無効] を選択します。
9. 個々の HTTP リクエスト ペイロードのサイズ上限を SIEM のベスト プラクティスとして [最大バッチサイズ] に入力します（例: 512 KB）。

10. Chronicle API エンドポイントの HTTPS URL を次の形式で API URL に入力します。

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Google SecOps インスタンスがホストされているリージョン（例: US）。
    • GOOGLE_PROJECT_NUMBER: BYOP プロジェクト番号（C4 から取得）。
    • LOCATION: Google SecOps リージョン（例: US）。
    • CUSTOMER_ID: Google SecOps のお客様 ID（C4 から取得）。
    • FEED_ID: 新しい Webhook の作成時にフィード UI に表示されるフィード ID。

    API URL の例:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. [HTTP ヘッダーを追加] をクリックし、次の形式で HTTP ヘッダーを追加します。

    • Header 1: Key1: X-goog-api-key、Value1: Google Cloud BYOP の API 認証情報で生成された API キー。
    • Header 2: Key2: X-Webhook-Access-Key と Value2: ウェブフックの [SECRET KEY] で生成された API シークレット キー。

12. [ログタイプ] リストで [トンネル] を選択します。

13. [フィード出力タイプ] リストで [JSON] を選択します。

14. [Feed Escape Character] を , \ " に設定します。

15. フィード出力形式に新しいフィールドを追加するには、[フィード出力タイプ] リストで [カスタム] を選択します。

16. [フィード出力形式] をコピーして貼り付け、新しいフィールドを追加します。キー名が実際のフィールド名と一致していることを確認します。

    デフォルトの [フィード出力形式] は次のとおりです。

    • IKE フェーズ 1 の場合:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","destinationport":"%d{dstport}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","spi_in":"%lu{spi_in}","spi_out":"%lu{spi_out}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","recordid":"%d{recordid}"\}\}
      

    • IKE フェーズ 2 の場合:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","sourceportstart":"%d{srcportstart}","destinationportstart":"%d{destportstart}","srcipstart":"%s{srcipstart}","srcipend":"%s{srcipend}","destinationipstart":"%s{destipstart}","destinationipend":"%s{destipend}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","lifebytes":"%d{lifebytes}","spi":"%d{spi}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","protocol":"%s{protocol}","tunnelprotocol":"%s{tunnelprotocol}","policydirection":"%s{policydirection}","recordid":"%d{recordid}"\}\}
      

    • Tunnel Event の場合:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","event":"%s{event}","eventreason":"%s{eventreason}","recordid":"%d{recordid}"\}\}
      

    • サンプル:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","txbytes":"%lu{txbytes}","rxbytes":"%lu{rxbytes}","dpdrec":"%d{dpdrec}","recordid":"%d{recordid}"\}\}
      

17. [タイムゾーン] リストで、出力ファイルの [時間] フィールドのタイムゾーンを選択します。デフォルトでは、タイムゾーンは組織のタイムゾーンに設定されています。

18. 構成された設定を確認します。

19. [保存] をクリックして接続をテストします。接続に成功すると、緑色のチェックマークと [Test Connectivity Successful: OK (200)] というメッセージが表示されます。

Google SecOps フィードの詳細については、Google SecOps フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google SecOps サポートにお問い合わせください。

サポートされている Zscaler トンネルログ形式

Zscaler Tunnel パーサーは JSON 形式のログをサポートしています。

サポートされている Zscaler Tunnel のサンプルログ

• JSON

  {
    "sourcetype": "zscalernss-tunnel",
    "event": {
      "datetime": "Sun Jan 21 06:17:00 2024",
      "Recordtype": "Tunnel Samples",
      "tunneltype": "IPSec IKEv2",
      "user": "dummy-user@dummydomain.net",
      "location": "PLWSE06",
      "sourceip": "198.51.100.0",
      "destinationip": "198.51.100.1",
      "sourceport": "0",
      "txbytes": "12560",
      "rxbytes": "0",
      "dpdrec": "0",
      "recordid": "7326416289073594372"
    }
  }
  

UDM マッピング テーブル

フィールド マッピング リファレンス: ZSCALER_TUNNEL

次の表に、ZSCALER_TUNNEL ログタイプのログ フィールドと、対応する UDM フィールドを示します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。