Coletar registros de auditoria do Zscaler ZPA

Este documento explica como exportar registros de auditoria do Zscaler ZPA configurando o agente do Bindplane e como os campos de registro são mapeados para os campos do Modelo de Dados Unificado (UDM) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste na auditoria do Zscaler ZPA e no agente do Bindplane configurado para enviar registros ao Google Security Operations. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• Auditoria do ZPA da Zscaler: a plataforma de onde você coleta registros.

• Agente do Bindplane: busca registros da auditoria do Zscaler ZPA e os envia para as Operações de segurança do Google.

• Google SecOps: retém e analisa os registros.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo ZSCALER_ZPA_AUDIT.

Antes de começar

• Verifique se você está usando o Zscaler ZPA Audit 2024 ou uma versão mais recente.
• Verifique se você tem acesso ao console do Zscaler Private Access. Para mais informações, consulte a Ajuda do acesso privado seguro (ZPA).
• Confira se todos os sistemas na arquitetura de implantação estão configurados com o fuso horário UTC.

Configurar o receptor de registros no Zscaler Private Access

Siga estas etapas para configurar e gerenciar o receptor de registros no Zscaler Private Access:

Adicionar um receptor de registros

1. Selecione Configuração e controle > Infraestrutura particular > Serviço de streaming de registros > Receptores de registros e clique em Adicionar receptor de registros.
2. Na guia Receptor de registros, faça o seguinte:
   1. No campo Nome, insira o nome do receptor de registros.
   2. No campo Descrição, insira uma descrição.
   3. No campo Domínio ou endereço IP, insira o nome de domínio totalmente qualificado (FQDN) ou o endereço IP do receptor de registros.
   4. No campo Porta TCP, insira o número da porta TCP usada pelo receptor de registros.
   5. Selecione o tipo de criptografia em Criptografia TLS para ativar ou desativar a criptografia do tráfego entre o conector de app e o receptor de registros. Por padrão, essa configuração fica desativada.
   6. Na lista Grupos do App Connector, escolha os grupos que podem encaminhar registros ao receptor e clique em Concluído.
   7. Clique em Próxima.

3. Na guia Fluxo de registros, faça o seguinte:

   1. Selecione um Tipo de registro no menu.
   2. Selecione um modelo de registro no menu.

   3. Copie e cole o Conteúdo do fluxo de registros e adicione novos campos. Verifique se os nomes das chaves correspondem aos nomes dos campos.

      Confira a seguir o Conteúdo do fluxo de registros padrão para o tipo de registro de auditoria:

      {"ModifiedTime":%j{modifiedTime:iso8601},"CreationTime":%j{creationTime:iso8601},"ModifiedBy":%d{modifiedBy},"RequestID":%j{requestId},"SessionID":%j{sessionId},"AuditOldValue":%j{auditOldValue},"AuditNewValue":%j{auditNewValue},"AuditOperationType":%j{auditOperationType},"ObjectType":%j{objectType},"ObjectName":%j{objectName},"ObjectID":%d{objectId},"CustomerID":%d{customerId},"User":%j{modifiedByUser},"ClientAuditUpdate":%d{clientAuditUpdate}}\n
      

   4. Em Atributos SAML, clique em Selecionar IdP e escolha a configuração de IdP que você quer incluir na política.

   5. No menu Segmentos de aplicativo, selecione os segmentos que você quer incluir e clique em Concluído.

   6. No menu Grupos de segmentos, selecione os grupos que você quer incluir e clique em Concluído.

   7. No menu Tipos de cliente, selecione os tipos que você quer incluir e clique em Concluído.

   8. No menu Status da sessão, selecione os códigos de status que você quer excluir e clique em Concluído.

   9. Clique em Próxima.

4. Na guia Revisar, confira a configuração do receptor de registros e clique em Salvar.

Observação:o analisador ZSCALER_ZPA_AUDIT Gold só aceita o formato de registro JSON. Portanto, selecione JSON como Modelo de registro no menu ao configurar o fluxo de registros.

Copiar um receptor de registros

1. Selecione Controle > Infraestrutura particular > Serviço de streaming de registros > Receptores de registros.
2. Na tabela, localize o receptor de registros que você quer modificar e clique em Copiar.
3. Na janela Adicionar receptor de registros, modifique os campos conforme necessário. Para saber mais sobre cada campo, consulte o procedimento na seção Adicionar um receptor de registros.
4. Clique em Salvar.

Editar um receptor de registros

1. Selecione Controle > Infraestrutura particular > Serviço de streaming de registros > Receptores de registros.
2. Na tabela, localize o receptor de registros que você quer modificar e clique em Editar.
3. Na janela Editar receptor de registros, modifique os campos conforme necessário. Para saber mais sobre cada campo, consulte o procedimento na seção Adicionar um receptor de registros.
4. Clique em Salvar.

Excluir um receptor de registros

1. Selecione Controle > Infraestrutura particular > Serviço de streaming de registros > Receptores de registros.
2. Na tabela, localize o receptor de registros que você quer modificar e clique em Excluir.
3. Na janela Confirmação, clique em Excluir.

Encaminhar registros para o Google SecOps usando o agente do Bindplane

1. Instale e configure uma máquina virtual Linux.
2. Instale e configure o agente do Bindplane no Linux para encaminhar registros ao Google SecOps. Para mais informações sobre como instalar e configurar o agente do Bindplane, consulte as instruções de instalação e configuração do agente do Bindplane.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google SecOps.

Formatos de registro de auditoria do Zscaler ZPA compatíveis

O analisador de auditoria do ZPA da Zscaler é compatível com registros no formato JSON.

Exemplos de registros de auditoria do Zscaler ZPA compatíveis

• JSON:

  {
    "ModifiedTime": "",
    "CreationTime": "2024-06-29T05:06:34.000Z",
    "ModifiedBy": 216193796315021769,
    "RequestID": "ed500dfb-c66d-4ec2-b97e-ec2018c811f4",
    "SessionID": "v2t27ixe6qs21cffpzy6jx1zv",
    "AuditOldValue": "",
    "AuditNewValue": "{\\"loginAttempt\\":\\"2024-06-29 05: 06: 34 UTC\\",\\"remoteIP\\":\\"198.51.100.0\\"}",
    "AuditOperationType": "Sign In",
    "ObjectType": "Authentication",
    "ObjectName": "",
    "ObjectID": 0,
    "CustomerID": dummy_customer_id,
    "User": "abc.xyz.com",
    "ClientAuditUpdate": 0
  }
  

Tabela de mapeamento do UDM

Referência de mapeamento de campo: ZSCALER_ZPA_AUDIT

A tabela a seguir lista os campos de registro do tipo ZSCALER_ZPA_AUDIT e os campos correspondentes da UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.