Zscaler 방화벽 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google Security Operations 기술 지원 서비스 가이드라인 및 Google Security Operations 서비스 특정 약관을 참조하세요.

이 문서에서는 Google Security Operations 피드를 설정하여 Zscaler 방화벽 로그를 내보내는 방법과 로그 필드가 Google SecOps 통합 데이터 모델 (UDM) 필드에 매핑되는 방식을 설명합니다.

자세한 내용은 Google SecOps에 데이터 수집 개요를 참고하세요.

일반적인 배포는 Zscaler 방화벽 및 Google SecOps에 로그를 전송하도록 구성된 Google SecOps Webhook 피드로 구성됩니다. 고객 배포마다 다를 수 있으며 더 복잡할 수도 있습니다.

배포에는 다음 구성요소가 포함됩니다.

• Zscaler 방화벽: 로그를 수집하는 플랫폼입니다.

• Google SecOps 피드: Zscaler 방화벽에서 로그를 가져오고 로그를 Google SecOps에 작성하는 Google SecOps 피드입니다.

• Google SecOps: 로그를 보관하고 분석합니다.

수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 ZSCALER_FIREWALL 수집 라벨이 있는 파서에 적용됩니다.

시작하기 전에

• Zscaler Internet Access 콘솔에 액세스할 수 있는지 확인합니다. 자세한 내용은 보안 인터넷 및 SaaS 액세스 ZIA 도움말을 참고하세요.
• Zscaler 방화벽 2024 이상을 사용하고 있는지 확인합니다.
• 배포 아키텍처의 모든 시스템이 UTC 시간대로 구성되었는지 확인합니다.
• Google SecOps에서 피드 설정을 완료하는 데 필요한 API 키가 있는지 확인합니다. 자세한 내용은 API 키 설정을 참고하세요.

Zscaler 방화벽 로그를 수집하도록 Google SecOps에서 수집 피드 설정

1. SIEM 설정 > 피드로 이동합니다.
2. 새로 추가를 클릭합니다.
3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Zscaler 방화벽 로그).
4. 소스 유형으로 Webhook을 선택합니다.
5. 로그 유형으로 ZScaler NGFW를 선택합니다.
6. 다음을 클릭합니다.
7. 선택사항: 다음 입력 파라미터의 값을 입력합니다.
   1. 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 구분 기호입니다. 구분자가 사용되지 않는 경우 비워 둡니다.
   2. 애셋 네임스페이스: 애셋 네임스페이스입니다.
   3. 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
8. 다음을 클릭합니다.
9. 새 피드 구성을 검토한 다음 제출을 클릭합니다.
10. 보안 비밀 키 생성을 클릭하여 이 피드를 인증하기 위한 보안 비밀 키를 생성합니다.

Zscaler 방화벽 설정

1. Zscaler 인터넷 액세스 콘솔에서 관리 > Nanolog 스트리밍 서비스 > Cloud NSS 피드를 클릭한 다음 Cloud NSS 피드 추가를 클릭합니다.
2. Add Cloud NSS Feed(Cloud NSS 피드 추가) 창이 표시됩니다. Cloud NSS 피드 추가 창에 세부정보를 입력합니다.
3. 피드 이름 필드에 피드 이름을 입력합니다.
4. NSS 유형에서 방화벽용 NSS를 선택합니다.
5. 상태 목록에서 상태를 선택하여 NSS 피드를 활성화 또는 비활성화합니다.
6. SIEM 요금 드롭다운의 값을 무제한으로 유지합니다. 라이선스 또는 기타 제약 조건으로 인해 출력 스트림을 억제하려면 값을 변경합니다.
7. SIEM 유형 목록에서 기타를 선택합니다.
8. OAuth 2.0 인증 목록에서 사용 중지됨을 선택합니다.
9. 최대 일괄 크기에 SIEM 권장사항에 따라 개별 HTTP 요청 페이로드의 크기 제한을 입력합니다. 예: 512KB

10. API URL에 Chronicle API 엔드포인트의 HTTPS URL을 다음 형식으로 입력합니다.

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Chronicle 인스턴스가 호스팅되는 리전입니다. 예를 들어 미국은 US입니다.
    • GOOGLE_PROJECT_NUMBER: BYOP 프로젝트 번호입니다. C4에서 가져옵니다.
    • LOCATION: Chronicle 리전입니다. 예를 들어 미국은 US입니다.
    • CUSTOMER_ID: Chronicle 고객 ID입니다. C4에서 가져옵니다.
    • FEED_ID: 생성된 새 webhook의 피드 UI에 표시되는 피드 ID입니다.
    • 샘플 API URL:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. HTTP 헤더 추가를 클릭하여 키와 값이 있는 HTTP 헤더를 추가합니다.

    예를 들어 헤더 1: Key1: X-goog-api-key 및 Value1: Google Cloud BYOP의 API 사용자 인증 정보에서 생성된 API 키입니다.

12. 로그 유형 목록에서 방화벽 로그를 선택합니다.

13. 피드 출력 유형 목록에서 JSON을 선택합니다.

14. 피드 이스케이프 문자를 , \ "로 설정합니다.

15. 피드 출력 형식에 새 필드를 추가하려면 피드 출력 유형 목록에서 맞춤을 선택합니다.

16. 피드 출력 형식을 복사하여 붙여넣고 새 필드를 추가합니다. 키 이름이 실제 필드 이름과 일치하는지 확인합니다.

17. 다음은 기본 피드 출력 형식입니다.

      \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}
    

18. 시간대 목록에서 출력 파일의 시간 필드에 사용할 시간대를 선택합니다. 기본적으로 시간대는 조직의 시간대로 설정됩니다.

19. 구성된 설정을 검토합니다.

20. 저장을 클릭하여 연결을 테스트합니다. 연결에 성공하면 Test Connectivity Successful: OK (200)(연결 테스트 완료: OK(200))라는 메시지와 함께 녹색 체크표시가 표시됩니다.

Google SecOps 피드에 대한 자세한 내용은 Google SecOps 피드 문서를 참고하세요. 각 피드 유형의 요구사항은 유형별 피드 구성을 참조하세요.

피드를 만들 때 문제가 발생하면 Google SecOps 지원팀에 문의하세요.

필드 매핑 참조

다음 표에는 ZSCALER_FIREWALL 로그 유형의 로그 필드와 해당 UDM 필드가 나와 있습니다.

Log field	UDM mapping	Logic
fwd_gw_name	intermediary.resource.name
	intermediary.resource.resource_type	If the fwd_gw_name log field value is not empty or the ofwd_gw_name log field value is not empty, then the intermediary.resource.resource_type UDM field is set to GATEWAY.
ofwd_gw_name	intermediary.security_result.detection_fields[ofwd_gw_name]
ordr_rulename	intermediary.security_result.detection_fields[ordr_rulename]
orulelabel	intermediary.security_result.detection_fields[orulelabel]
rdr_rulename	intermediary.security_result.rule_name
rulelabel	intermediary.security_result.rule_name
erulelabel	intermediary.security_result.rule_name
bypass_etime	metadata.collected_timestamp
datetime	metadata.event_timestamp
epochtime	metadata.event_timestamp
	metadata.event_type	If the sdport log field value is equal to 80 or the sdport log field value is equal to 443 and the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty and the cdip log field value is not empty or the sdip log field value is not empty, then the metadata.event_type UDM field is set to NETWORK_HTTP. Else, if the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty and the cdip log field value is not empty or the sdip log field value is not empty, then the metadata.event_type UDM field is set to NETWORK_CONNECTION. Else, if the csip log field value is not empty or the tsip log field value is not empty or the ssip log field value is not empty, then the metadata.event_type UDM field is set to STATUS_UPDATE. Else, the metadata.event_type UDM field is set to GENERIC_EVENT.
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to Firewall.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to Zscaler.
proto	network.ip_protocol	If the proto log field value contain one of the following values, then the proto log field is mapped to the network.ip_protocol UDM field. TCP UDP ICMP GRE IP6IN4 IGMP
inbytes	network.received_bytes
outbytes	network.sent_bytes
avgduration	network.session_duration.nanos	If the durationms log field value is empty and the avgduration log field value is not empty, then the avgduration log field is mapped to the network.session_duration.nanos UDM field.
durationms	network.session_duration.nanos	If the durationms log field value is not empty, then the durationms log field is mapped to the network.session_duration.nanos UDM field.
duration	network.session_duration.seconds
	principal.asset.asset_id	If the devicename log field value is not empty, then the Zscaler:devicename log field is mapped to the principal.asset.asset_id UDM field.
devicemodel	principal.asset.hardware.model
devicehostname	principal.asset.hostname	If the devicehostname log field value is not empty, then the devicehostname log field is mapped to the principal.asset.hostname UDM field.
	principal.asset.platform_software.platform	If the deviceostype log field value matches the regular expression pattern (?i)iOS, then the principal.asset.platform_software.platform UDM field is set to IOS. Else, if the deviceostype log field value matches the regular expression pattern (?i)Android, then the principal.asset.platform_software.platform UDM field is set to ANDROID. Else, if the deviceostype log field value matches the regular expression pattern (?i)Windows, then the principal.asset.platform_software.platform UDM field is set to WINDOWS. Else, if the deviceostype log field value matches the regular expression pattern (?i)MAC, then the principal.asset.platform_software.platform UDM field is set to MAC. Else, if the deviceostype log field value matches the regular expression pattern (?i)Other, then the principal.asset.platform_software.platform UDM field is set to UNKNOWN_PLATFORM.
deviceosversion	principal.asset.platform_software.platform_version
external_deviceid	principal.asset.product_object_id
csip	principal.ip
tsip	principal.ip
srcip_country	principal.location.country_or_region
location	principal.location.name
locationname	principal.location.name
ssip	principal.nat_ip
ssport	principal.nat_port
csport	principal.port
dept	principal.user.department
department	principal.user.department
login	principal.user.email_addresses	The login field is extracted from login log field using the Grok pattern, and the login log field is mapped to the principal.user.email_addresses UDM field.
user	principal.user.email_addresses	The user field is extracted from user log field using the Grok pattern, and the user log field is mapped to the principal.user.email_addresses UDM field.
deviceowner	principal.user.userid
	security_result.action	If the action log field value matches the regular expression pattern ^Allow.*, then the security_result.action UDM field is set to ALLOW. Else, if the action log field value matches the regular expression pattern ^Drop.* or ^Block.*, then the security_result.action UDM field is set to BLOCK. Else, if the action log field value is equal to Reset, then the security_result.action UDM field is set to BLOCK.
action	security_result.action_details
	security_result.category	If the ipcat log field value is not empty or the oipcat log field value is not empty, then the security_result.category UDM field is set to NETWORK_CATEGORIZED_CONTENT.
ipcat	security_result.category_details	The ipcat log field is mapped to the security_result.category_details UDM field.
threatcat	security_result.category_details	If the threatcat log field value is not equal to None, then the threatcat log field is mapped to the security_result.category_details UDM field.
	security_result.detection_fields[bypassed_session]	If the bypassed_session log field value is equal to 0, then the security_result.detection_fields.bypassed_session UDM field is set to the traffic did not bypass Zscaler Client Connector. Else, if the bypassed_session log field value is equal to 1, then the security_result.detection_fields.bypassed_session UDM field is set to the traffic bypassed Zscaler Client Connector.
odevicehostname	security_result.detection_fields[odevicehostname]
odevicename	security_result.detection_fields[odevicename]
odeviceowner	security_result.detection_fields[odeviceowner]
oipcat	security_result.detection_fields[oipcat]
oipsrulelabel	security_result.detection_fields[oipsrulelabel]
numsessions	security_result.detection_fields[numsessions]
	security_result.rule_labels [ips_custom_signature]	If the ips_custom_signature log field value is equal to 0, then the security_result.rule_labels.ips_custom_signature UDM field is set to non-custom IPS rule. Else, if the ips_custom_signature log field value is equal to 1, then the security_result.rule_labels.ips_custom_signature UDM field is set to custom IPS rule.
ipsrulelabel	security_result.rule_name	If the ipsrulelabel log field value is not equal to None, then the ipsrulelabel log field is mapped to the security_result.rule_name UDM field.
threatname	security_result.threat_name	If the threatname log field value is not equal to None, then the threatname log field is mapped to the security_result.threat_name UDM field.
ethreatname	security_result.threat_name	If the ethreatname log field value is not equal to None, then the ethreatname log field is mapped to the security_result.threat_name UDM field.
nwapp	target.application
cdfqdn	target.domain.name
sdip	target.ip
datacentercity	target.location.city
destcountry	target.location.country_or_region
datacentercountry	target.location.country_or_region
datacenter	target.location.name
cdip	target.nat_ip
cdport	target.nat_port
sdport	target.port
odnatlabel	target.security_result.detection_fields[odnatlabel]
dnat	target.security_result.rule_labels[dnat]
dnatrulelabel	target.security_result.rule_name
aggregate	additional.fields[aggregate]
day	additional.fields[day]
dd	additional.fields[dd]
deviceappversion	additional.fields[deviceappversion]
eedone	additional.fields[eedone]
flow_type	additional.fields[flow_type]
hh	additional.fields[hh]
mm	additional.fields[mm]
mon	additional.fields[mon]
mth	additional.fields[mth]
nwsvc	additional.fields[nwsvc]
ocsip	additional.fields[ocsip]
ozpa_app_seg_name	additional.fields[ozpa_app_seg_name]
ss	additional.fields[ss]
sourcetype	additional.fields[sourcetype]
stateful	additional.fields[stateful]
tz	additional.fields[tz]
tuntype	additional.fields[traffic_forwarding_method]
tunsport	additional.fields[tunsport]
yyyy	additional.fields[yyyy]
zpa_app_seg_name	additional.fields[zpa_app_seg_name]
ztunnelversion	additional.fields[ztunnelversion]