Zscaler Firewall ログを収集する

以下でサポートされています。

Google SecOpsSIEM

注: この機能には、Google Security Operations Service 固有の規約のpre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google Security Operations 技術サポート サービス ガイドラインと Google Security Operations サービス固有の規約をご覧ください。

このドキュメントでは、Google Security Operations フィードを設定して Zscaler Firewall のログをエクスポートする方法と、ログフィールドが Google SecOps Unified Data Model（UDM）フィールドにマッピングされる方法について説明します。

詳細については、Google SecOps へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Zscaler ファイアウォールと、Google SecOps にログを送信するように構成された Google SecOps Webhook フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Zscaler Firewall: ログを収集するプラットフォーム。

• Google SecOps フィード: Zscaler Firewall からログを取得して Google SecOps に書き込む Google SecOps フィード。

• Google SecOps: ログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。 このドキュメントの情報は、取り込みラベル ZSCALER_FIREWALL が付加されたパーサーに適用されます。

始める前に

• Zscaler Internet Access コンソールにアクセスできることを確認します。詳細については、インターネットと SaaS への安全なアクセス（ZIA）のヘルプをご覧ください。
• Zscaler Firewall 2024 以降を使用していることを確認します。
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンで構成されていることを確認します。
• Google SecOps でフィードの設定を完了するために必要な API キーがあることを確認します。詳細については、API キーの設定をご覧ください。

Google SecOps で取り込みフィードを設定して、Zscaler Firewall のログを取り込む

1. [SIEM 設定] > [フィード] に移動します。
2. [新しく追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Zscaler ファイアウォール ログ）。
4. [ソースタイプ] として [Webhook] を選択します。
5. [ログタイプ] で [ZScaler NGFW] を選択します。
6. [次へ] をクリックします。
7. 省略可: 次の入力パラメータの値を入力します。
   1. 分割区切り文字: ログ行を区切るために使用される区切り文字。区切り文字を使用しない場合は空白のままにします。
   2. アセットの名前空間: アセットの名前空間。
   3. 取り込みラベル: このフィードのイベントに適用されるラベル。
8. [次へ] をクリックします。
9. 新しいフィードの設定を確認し、[送信] をクリックします。
10. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

Zscaler ファイアウォールを設定する

1. Zscaler Internet Access コンソールで、[Administration] > [Nanolog Streaming Service] > [Cloud NSS Feeds] をクリックし、[Add Cloud NSS Feed] をクリックします。
2. [Add Cloud NSS Feed] ウィンドウが表示されます。[Cloud NSS フィードの追加] ウィンドウで詳細を入力します。
3. [フィード名] フィールドに、フィードの名前を入力します。
4. [NSS Type] で [NSS for Firewall] を選択します。
5. [ステータス] リストからステータスを選択して、NSS フィードを有効または無効にします。
6. [SIEM Rate] プルダウンの値は [無制限] のままにします。ライセンスなどの制約により出力ストリームを抑制するには、値を変更します。
7. [SIEM Type] リストで [Other] を選択します。
8. [OAuth 2.0 Authentication] リストで [Disabled] を選択します。
9. [最大バッチサイズ] に、SIEM のベスト プラクティスに沿った個々の HTTP リクエスト ペイロードのサイズの上限を入力します。たとえば、512 KB です。

10. API URL に、次の形式で Chronicle API エンドポイントの HTTPS URL を入力します。

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Chronicle インスタンスがホストされているリージョン。たとえば、US です。
    • GOOGLE_PROJECT_NUMBER: BYOP プロジェクト番号。C4 から取得します。
    • LOCATION: Chronicle リージョン。たとえば、US です。
    • CUSTOMER_ID: Chronicle のお客様 ID。C4 から取得します。
    • FEED_ID: 作成した新しい Webhook のフィード UI に表示されるフィード ID
    • API の URL の例:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. [HTTP ヘッダーを追加] をクリックして、キーと値を含む HTTP ヘッダーを追加します。

    たとえば、Header 1: Key1: X-goog-api-key、Value1: Google Cloud BYOP の API 認証情報で生成された API キー。

12. [Log Types] リストで [ファイアウォール ログ] を選択します。

13. [フィード出力タイプ] リストで [JSON] を選択します。

14. [フィード エスケープ文字] を , \ " に設定します。

15. [フィード出力形式] に新しいフィールドを追加するには、[フィード出力タイプ] リストで [カスタム] を選択します。

16. フィード出力形式をコピーして貼り付け、新しいフィールドを追加します。キー名が実際のフィールド名と一致していることを確認します。

17. デフォルトのフィード出力形式は次のとおりです。

      \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. [タイムゾーン] リストで、出力ファイルの [時間] フィールドのタイムゾーンを選択します。デフォルトでは、タイムゾーンは組織のタイムゾーンに設定されます。

19. 構成された設定を確認します。

20. [保存] をクリックして接続をテストします。接続に成功すると、緑色のチェックマークと「Test Connectivity Successful: OK (200)」というメッセージが表示されます。

Google SecOps フィードの詳細については、Google SecOps フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google SecOps サポートにお問い合わせください。

フィールド マッピング リファレンス

次の表に、ZSCALER_FIREWALL ログタイプのログ フィールドと、対応する UDM フィールドを示します。

Log field	UDM mapping	Logic
fwd_gw_name	intermediary.resource.name
	intermediary.resource.resource_type	If the fwd_gw_name log field value is not empty or the ofwd_gw_name log field value is not empty, then the intermediary.resource.resource_type UDM field is set to GATEWAY.
ofwd_gw_name	intermediary.security_result.detection_fields[ofwd_gw_name]
ordr_rulename	intermediary.security_result.detection_fields[ordr_rulename]
orulelabel	intermediary.security_result.detection_fields[orulelabel]
rdr_rulename	intermediary.security_result.rule_name
rulelabel	intermediary.security_result.rule_name
erulelabel	intermediary.security_result.rule_name
bypass_etime	metadata.collected_timestamp
datetime	metadata.event_timestamp
epochtime	metadata.event_timestamp
	metadata.event_type	If the sdport log field value is equal to 80 or the sdport log field value is equal to 443 and the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty and the cdip log field value is not empty or the sdip log field value is not empty, then the metadata.event_type UDM field is set to NETWORK_HTTP. Else, if the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty and the cdip log field value is not empty or the sdip log field value is not empty, then the metadata.event_type UDM field is set to NETWORK_CONNECTION. Else, if the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty, then the metadata.event_type UDM field is set to STATUS_UPDATE. Else, the metadata.event_type UDM field is set to GENERIC_EVENT.
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to Firewall.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to Zscaler.
proto	network.ip_protocol	If the proto log field value contain one of the following values, then the proto log field is mapped to the network.ip_protocol UDM field. TCP UDP ICMP GRE IP6IN4 IGMP
inbytes	network.received_bytes
outbytes	network.sent_bytes
avgduration	network.session_duration.nanos	If the durationms log field value is empty and the avgduration log field value is not empty, then the avgduration log field is mapped to the network.session_duration.nanos UDM field.
durationms	network.session_duration.nanos	If the durationms log field value is not empty, then the durationms log field is mapped to the network.session_duration.nanos UDM field.
duration	network.session_duration.seconds
	principal.asset.asset_id	If the devicename log field value is not empty, then the Zscaler:devicename log field is mapped to the principal.asset.asset_id UDM field.
devicemodel	principal.asset.hardware.model
devicehostname	principal.asset.hostname	If the devicehostname log field value is not empty, then the devicehostname log field is mapped to the principal.asset.hostname UDM field.
	principal.asset.platform_software.platform	If the deviceostype log field value matches the regular expression pattern (?i)iOS, then the principal.asset.platform_software.platform UDM field is set to IOS. Else, if the deviceostype log field value matches the regular expression pattern (?i)Android, then the principal.asset.platform_software.platform UDM field is set to ANDROID. Else, if the deviceostype log field value matches the regular expression pattern (?i)Windows, then the principal.asset.platform_software.platform UDM field is set to WINDOWS. Else, if the deviceostype log field value matches the regular expression pattern (?i)MAC, then the principal.asset.platform_software.platform UDM field is set to MAC. Else, if the deviceostype log field value matches the regular expression pattern (?i)Other, then the principal.asset.platform_software.platform UDM field is set to UNKNOWN_PLATFORM.
deviceosversion	principal.asset.platform_software.platform_version
external_deviceid	principal.asset.product_object_id
csip	principal.ip
tsip	principal.ip
srcip_country	principal.location.country_or_region
location	principal.location.name
locationname	principal.location.name
ssip	principal.nat_ip
ssport	principal.nat_port
csport	principal.port
dept	principal.user.department
department	principal.user.department
login	principal.user.email_addresses	The login field is extracted from login log field using the Grok pattern, and the login log field is mapped to the principal.user.email_addresses UDM field.
user	principal.user.email_addresses	The user field is extracted from user log field using the Grok pattern, and the user log field is mapped to the principal.user.email_addresses UDM field.
deviceowner	principal.user.userid
	security_result.action	If the action log field value matches the regular expression pattern ^Allow.*, then the security_result.action UDM field is set to ALLOW. Else, if the action log field value matches the regular expression pattern ^Drop.* or ^Block.*, then the security_result.action UDM field is set to BLOCK. Else, if the action log field value is equal to Reset, then the security_result.action UDM field is set to BLOCK.
action	security_result.action_details
	security_result.category	If the ipcat log field value is not empty or the oipcat log field value is not empty, then the security_result.category UDM field is set to NETWORK_CATEGORIZED_CONTENT.
ipcat	security_result.category_details	The ipcat log field is mapped to the security_result.category_details UDM field.
threatcat	security_result.category_details	If the threatcat log field value is not equal to None, then the threatcat log field is mapped to the security_result.category_details UDM field.
	security_result.detection_fields[bypassed_session]	If the bypassed_session log field value is equal to 0, then the security_result.detection_fields.bypassed_session UDM field is set to the traffic did not bypass Zscaler Client Connector. Else, if the bypassed_session log field value is equal to 1, then the security_result.detection_fields.bypassed_session UDM field is set to the traffic bypassed Zscaler Client Connector.
odevicehostname	security_result.detection_fields[odevicehostname]
odevicename	security_result.detection_fields[odevicename]
odeviceowner	security_result.detection_fields[odeviceowner]
oipcat	security_result.detection_fields[oipcat]
oipsrulelabel	security_result.detection_fields[oipsrulelabel]
numsessions	security_result.detection_fields[numsessions]
	security_result.rule_labels [ips_custom_signature]	If the ips_custom_signature log field value is equal to 0, then the security_result.rule_labels.ips_custom_signature UDM field is set to non-custom IPS rule. Else, if the ips_custom_signature log field value is equal to 1, then the security_result.rule_labels.ips_custom_signature UDM field is set to custom IPS rule.
ipsrulelabel	security_result.rule_name	If the ipsrulelabel log field value is not equal to None, then the ipsrulelabel log field is mapped to the security_result.rule_name UDM field.
threatname	security_result.threat_name	If the threatname log field value is not equal to None, then the threatname log field is mapped to the security_result.threat_name UDM field.
ethreatname	security_result.threat_name	If the ethreatname log field value is not equal to None, then the ethreatname log field is mapped to the security_result.threat_name UDM field.
nwapp	target.application
cdfqdn	target.domain.name
sdip	target.ip
datacentercity	target.location.city
destcountry	target.location.country_or_region
datacentercountry	target.location.country_or_region
datacenter	target.location.name
cdip	target.nat_ip
cdport	target.nat_port
sdport	target.port
odnatlabel	target.security_result.detection_fields[odnatlabel]
dnat	target.security_result.rule_labels[dnat]
dnatrulelabel	target.security_result.rule_name
aggregate	additional.fields[aggregate]
day	additional.fields[day]
dd	additional.fields[dd]
deviceappversion	additional.fields[deviceappversion]
eedone	additional.fields[eedone]
flow_type	additional.fields[flow_type]
hh	additional.fields[hh]
mm	additional.fields[mm]
mon	additional.fields[mon]
mth	additional.fields[mth]
nwsvc	additional.fields[nwsvc]
ocsip	additional.fields[ocsip]
ozpa_app_seg_name	additional.fields[ozpa_app_seg_name]
ss	additional.fields[ss]
sourcetype	additional.fields[sourcetype]
stateful	additional.fields[stateful]
tz	additional.fields[tz]
tuntype	additional.fields[traffic_forwarding_method]
tunsport	additional.fields[tunsport]
yyyy	additional.fields[yyyy]
zpa_app_seg_name	additional.fields[zpa_app_seg_name]
ztunnelversion	additional.fields[ztunnelversion]