이 페이지는 Cloud Translation API를 통해 번역되었습니다.

Zscaler 인터넷 액세스 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Google Security Operations 피드를 설정하여 Zscaler 인터넷 액세스 로그를 내보내는 방법과 로그 필드가 Google SecOps 통합 데이터 모델 (UDM) 필드에 매핑되는 방식을 설명합니다.

자세한 내용은 Google SecOps에 데이터 수집 개요를 참고하세요.

일반적인 배포는 Zscaler Internet Access와 Google SecOps에 로그를 전송하도록 구성된 Google SecOps Webhook 피드로 구성됩니다. 고객 배포마다 다를 수 있으며 더 복잡할 수도 있습니다.

배포에는 다음 구성요소가 포함됩니다.

Zscaler 인터넷 액세스: 로그를 수집하는 플랫폼입니다.
Google SecOps 피드: Zscaler Internet Access에서 로그를 가져오고 로그를 Google SecOps에 작성하는 Google SecOps 피드입니다.
Google SecOps: 로그를 보관하고 분석합니다.

수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 ZSCALER_INTERNET_ACCESS 수집 라벨이 있는 파서에 적용됩니다.

시작하기 전에

Zscaler Internet Access 콘솔에 액세스할 수 있는지 확인합니다. 자세한 내용은 보안 인터넷 및 SaaS 액세스 ZIA 도움말을 참고하세요.
Zscaler Internet Access 2024 이상을 사용하고 있는지 확인합니다.
배포 아키텍처의 모든 시스템이 UTC 시간대로 구성되었는지 확인합니다.
Google SecOps에서 피드 설정을 완료하는 데 필요한 API 키가 있는지 확인합니다. 자세한 내용은 API 키 설정을 참고하세요.

Zscaler 인터넷 액세스 로그를 수집하도록 Google Security Operations에서 수집 피드 설정

SIEM 설정 > 피드로 이동합니다.
새로 추가를 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다 (예: Zscaler 인터넷 액세스 로그).
소스 유형으로 Webhook을 선택합니다.
로그 유형으로 Zscaler 인터넷 액세스 감사 로그를 선택합니다.
다음을 클릭합니다.
선택사항: 다음 입력 파라미터의 값을 입력합니다.
1. 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 구분 기호입니다. 구분자가 사용되지 않는 경우 비워 둡니다.
2. 애셋 네임스페이스: 애셋 네임스페이스입니다.
3. 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
새 피드 구성을 검토한 다음 제출을 클릭합니다.
보안 비밀 키 생성을 클릭하여 이 피드를 인증하기 위한 보안 비밀 키를 생성합니다.

Zscaler 인터넷 액세스 설정

Zscaler 인터넷 액세스 콘솔에서 관리 > Nanolog 스트리밍 서비스 > Cloud NSS 피드를 클릭한 다음 Cloud NSS 피드 추가를 클릭합니다.
Add Cloud NSS Feed(Cloud NSS 피드 추가) 창이 표시됩니다. Cloud NSS 피드 추가 창에 세부정보를 입력합니다.
피드 이름 필드에 피드 이름을 입력합니다.
NSS 유형에서 웹용 NSS를 선택합니다.
상태 목록에서 상태를 선택하여 NSS 피드를 활성화 또는 비활성화합니다.
SIEM 요금 드롭다운의 값을 무제한으로 유지합니다. 라이선스 또는 기타 제약 조건으로 인해 출력 스트림을 억제하려면 값을 변경합니다.
SIEM 유형 목록에서 기타를 선택합니다.
OAuth 2.0 인증 목록에서 사용 중지됨을 선택합니다.
최대 일괄 크기에 SIEM 권장사항에 따라 개별 HTTP 요청 페이로드의 크기 제한을 입력합니다. 예: 512KB
API URL에 Chronicle API 엔드포인트의 HTTPS URL을 다음 형식으로 입력합니다.
```
  https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
```
- CHRONICLE_REGION: Chronicle 인스턴스가 호스팅되는 리전입니다. 예를 들어 미국은 US입니다.
- GOOGLE_PROJECT_NUMBER: BYOP 프로젝트 번호입니다. C4에서 가져옵니다.
- LOCATION: Chronicle 리전입니다. 예를 들어 미국은 US입니다.
- CUSTOMER_ID: Chronicle 고객 ID입니다. C4에서 가져옵니다.
- FEED_ID: 생성된 새 webhook의 피드 UI에 표시되는 피드 ID입니다.
- 샘플 API URL:
```
https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
```
HTTP 헤더 추가를 클릭하여 키와 값이 있는 HTTP 헤더를 추가합니다.
예를 들어 헤더 1: Key1: X-goog-api-key 및 Value1: Google Cloud BYOP의 API 사용자 인증 정보에서 생성된 API 키입니다.
로그 유형 목록에서 관리자 감사 로그를 선택합니다.
피드 출력 유형 목록에서 JSON을 선택합니다.
피드 이스케이프 문자를 , \ "로 설정합니다.
피드 출력 형식에 새 필드를 추가하려면 피드 출력 유형 목록에서 맞춤을 선택합니다.
피드 출력 형식을 복사하여 붙여넣고 새 필드를 추가합니다. 키 이름이 실제 필드 이름과 일치하는지 확인합니다.

다음은 기본 피드 출력 형식입니다.

  \{ "sourcetype" : "zscalernss-audit", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","action":"%s{action}","category":"%s{category}","subcategory":"%s{subcategory}","resource":"%s{resource}","interface":"%s{interface}","adminid":"%s{adminid}","clientip":"%s{clientip}","result":"%s{result}","errorcode":"%s{errorcode}","auditlogtype":"%s{auditlogtype}","preaction":%s{preaction},"postaction":%s{postaction}\}\}

시간대 목록에서 출력 파일의 시간 필드에 사용할 시간대를 선택합니다. 기본적으로 시간대는 조직의 시간대로 설정됩니다.
구성된 설정을 검토합니다.
저장을 클릭하여 연결을 테스트합니다. 연결에 성공하면 Test Connectivity Successful: OK (200)(연결 테스트 완료: OK(200))라는 메시지와 함께 녹색 체크표시가 표시됩니다.

Google SecOps 피드에 대한 자세한 내용은 Google Security Operations 피드 문서를 참고하세요. 각 피드 유형의 요구사항은 유형별 피드 구성을 참조하세요.

피드를 만들 때 문제가 발생하면 Google Security Operations 지원팀에 문의하세요.

필드 매핑 참조

다음 표에는 ZSCALER_INTERNET_ACCESS 로그 유형의 로그 필드와 해당 UDM 필드가 나와 있습니다.

Log field	UDM mapping	Logic
	`metadata.event_type`	The `metadata.event_type` UDM field is set to `STATUS_UPDATE`.
	`metadata.product_name`	The `metadata.product_name` UDM field is set to `Admin Audit`.
	`metadata.vendor_name`	The `metadata.vendor_name` UDM field is set to `Zscaler`.
`sourcetype`	`additional.fields[sourcetype]`
`time`	`metadata.event_timestamp`
`recordid`	`metadata.product_log_id`
`action`	`security_result.action_details`
`category`	`target.security_result.category_details`
`subcategory`	`target.security_result.category_details`
`resource`	`target.resource.name`
`interface`	`principal.resource.attribute.labels[interface]`
`adminid`	`principal.user.userid`
`clientip`	`principal.ip`
	`security_result.action`	If the `event.result` log field value is equal to `SUCCESS`, then the `security_result.action` UDM field is set to `ALLOW`. Else, if the `event.result` log field value is equal to `FAILURE`, then the `security_result.action` UDM field is set to `BLOCK`.
`errorcode`	`security_result.summary`
`auditlogtype`	`additional.fields[auditlogtype]`
`preaction`	`principal.resource.attribute.labels`	Iterate through preaction object: The `preaction object key` is mapped to the `principal.resource.attribute.labels.key` UDM field and `preaction object value` is mapped to the `principal.resource.attribute.labels.value` UDM field.
`postaction`	`principal.resource.attribute.labels`	Iterate through postaction object: The `postaction object key` is mapped to the `principal.resource.attribute.labels.key` UDM field and `postaction object value` is mapped to the `principal.resource.attribute.labels.value` UDM field.