Raccogli i log di Zscaler Tunnel

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Questo documento spiega come esportare i log di Zscaler Tunnel configurando un feed di Google Security Operations e come i campi dei log vengono mappati ai campi del modello di dati unificato (UDM) di Google SecOps.

Per ulteriori informazioni, consulta la panoramica dell'importazione dei dati in Google SecOps.

Un deployment tipico è costituito da Zscaler Tunnel e dal feed webhook di Google SecOps configurato per inviare i log a Google SecOps. Ogni implementazione del cliente può essere diversa e potrebbe essere più complessa.

Il deployment contiene i seguenti componenti:

• Zscaler Tunnel: la piattaforma da cui raccogli i log.

• Feed Google SecOps: il feed Google SecOps che recupera i log da Zscaler Tunnel e li scrive in Google SecOps.

• Google SecOps: conserva e analizza i log.

Un'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta ZSCALER_TUNNEL.

Prima di iniziare

• Assicurati di avere accesso alla console Zscaler Internet Access. Per ulteriori informazioni, consulta la guida di ZIA per l'accesso sicuro a internet e ai servizi SaaS.
• Assicurati di utilizzare la versione 1.0 o 2.0 di Zscaler Tunnel.
• Assicurati che tutti i sistemi nell'architettura di deployment siano configurati con il fuso orario UTC.
• Assicurati di disporre della chiave API necessaria per completare la configurazione del feed in Google SecOps. Per ulteriori informazioni, vedi Configurare le chiavi API.

Configura un feed di importazione in Google SecOps per importare i log di Zscaler Tunnel

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo.
3. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Log tunnel Zscaler).
4. Seleziona Webhook come Tipo di origine.
5. Seleziona Zscaler Tunnel come Tipo di log.
6. Fai clic su Avanti.
7. (Facoltativo) Specifica i valori per i seguenti parametri di input:
   1. Delimitatore di separazione: il delimitatore utilizzato per separare le righe dei log (lascia vuoto se non viene utilizzato un delimitatore).
   2. Spazio dei nomi degli asset: lo spazio dei nomi degli asset.
   3. Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
8. Fai clic su Avanti.
9. Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.
10. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.

Configurare il tunnel Zscaler

1. Nella console Zscaler Internet Access, vai ad Amministrazione > Nanolog Streaming Service > Cloud NSS Feeds.
2. Fai clic su Aggiungi feed NSS cloud.
3. Inserisci un nome per il feed nel campo Nome feed.
4. Seleziona NSS per tunnel in Tipo NSS.
5. Seleziona lo stato dall'elenco Stato per attivare o disattivare il feed NSS.
6. Mantieni il valore nel menu a discesa Tariffa SIEM impostato su Illimitato. Per eliminare lo stream di output a causa di licenze o altri vincoli, modifica il valore.
7. Seleziona Altro nell'elenco Tipo SIEM.
8. Seleziona Disattivata nell'elenco Autenticazione OAuth 2.0.
9. Inserisci un limite di dimensioni per il payload di una singola richiesta HTTP in base alle best practice del SIEM in Dimensione batch massima (ad esempio 512 KB).

10. Inserisci l'URL HTTPS dell'endpoint dell'API Chronicle nell'URL API nel seguente formato:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: regione in cui è ospitata l'istanza Google SecOps (ad esempio US).
    • GOOGLE_PROJECT_NUMBER: numero del progetto BYOP (richiedilo al team C4).
    • LOCATION: regione Google SecOps (ad esempio US).
    • CUSTOMER_ID: ID cliente Google SecOps (richiedilo a C4).
    • FEED_ID: ID feed visualizzato nell'interfaccia utente del feed nel nuovo webhook creato.

    URL API di esempio:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Fai clic su Aggiungi intestazione HTTP per aggiungere altre intestazioni HTTP con chiavi e valori.

    Ad esempio:

    • Chiave: X-goog-api-key
    • Valore: chiave API generata nelle Google Cloud credenziali API di BYOP

12. Seleziona Tunnel nell'elenco Tipi di log.

13. Seleziona JSON nell'elenco Tipo di output del feed.

14. Imposta Carattere di escape del feed su , \ ".

15. Per aggiungere un nuovo campo al Formato di output del feed,seleziona Personalizzato nell'elenco Tipo di output del feed.

16. Copia e incolla il Formato di output del feed e aggiungi nuovi campi. Assicurati che i nomi delle chiavi corrispondano ai nomi effettivi dei campi.

    Di seguito sono riportati i formati di output del feed predefiniti:

    • Per la fase 1 di IKE:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","destinationport":"%d{dstport}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","spi_in":"%lu{spi_in}","spi_out":"%lu{spi_out}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","recordid":"%d{recordid}"\}\}
      

    • Per IKE fase 2:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","sourceportstart":"%d{srcportstart}","destinationportstart":"%d{destportstart}","srcipstart":"%s{srcipstart}","srcipend":"%s{srcipend}","destinationipstart":"%s{destipstart}","destinationipend":"%s{destipend}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","lifebytes":"%d{lifebytes}","spi":"%d{spi}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","protocol":"%s{protocol}","tunnelprotocol":"%s{tunnelprotocol}","policydirection":"%s{policydirection}","recordid":"%d{recordid}"\}\}
      

    • Per l'evento Tunnel:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","event":"%s{event}","eventreason":"%s{eventreason}","recordid":"%d{recordid}"\}\}
      

    • Per Sample:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","txbytes":"%lu{txbytes}","rxbytes":"%lu{rxbytes}","dpdrec":"%d{dpdrec}","recordid":"%d{recordid}"\}\}
      

17. Seleziona il fuso orario per il campo Ora nel file di output nell'elenco Fuso orario. Per impostazione predefinita, il fuso orario è impostato su quello della tua organizzazione.

18. Rivedi le impostazioni configurate.

19. Fai clic su Salva per verificare la connettività. Se la connessione è riuscita, viene visualizzata una spunta verde accompagnata dal messaggio Test di connettività riuscito: OK (200).

Per ulteriori informazioni sui feed di Google SecOps, consulta la documentazione dei feed di Google SecOps. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo.

Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google SecOps.

Tabella di mappatura UDM

Riferimento alla mappatura dei campi: ZSCALER_TUNNEL

La tabella seguente elenca i campi del log del tipo di log ZSCALER_TUNNEL e i relativi campi UDM.

Log field	UDM mapping	Logic
algo	additional.fields[algo]
authtype	additional.fields[authtype]
authentication	additional.fields[authentication]
dd	additional.fields[dd]
day	additional.fields[day]
destinationportstart	additional.fields[destinationportstart]
dpdrec	additional.fields[dpdrec]
eventreason	additional.fields[eventreason]
hh	additional.fields[hh]
ikeversion	additional.fields[ikeversion]
lifebytes	additional.fields[lifebytes]
mm	additional.fields[mm]
mon	additional.fields[mon]
mth	additional.fields[mth]
olocationname	additional.fields[olocationname]
ovpncredentialname	additional.fields[ovpncredentialname]
ss	additional.fields[ss]
sourcetype	additional.fields[sourcetype]
spi_in	additional.fields[spi_in]
spi_out	additional.fields[spi_out]
sourceportstart	additional.fields[sourceportstart]
tz	additional.fields[tz]
tunnelprotocol	additional.fields[tunnelprotocol]
tunneltype	additional.fields[tunneltype]
vendorname	additional.fields[vendorname]
yyyy	additional.fields[yyyy]
spi	additional.fields[spi]
event	metadata.description
datetime	metadata.event_timestamp
	metadata.event_type	If (the srcipstart log field value is not empty or the srcipend log field value is not empty or the sourceip log field value is not empty) and (the destinationipstart log field value is not empty or the destinationip log field value is not empty or the destinationipend log field value is not empty), then the metadata.event_type UDM field is set to NETWORK_CONNECTION. Else, if the srcipstart log field value is not empty or the srcipend log field value is not empty or the sourceip log field value is not empty, then the metadata.event_type UDM field is set to STATUS_UPDATE. Else, the metadata.event_type UDM field is set to GENERIC_EVENT.
Recordtype	metadata.product_event_type
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to ZSCALER_TUNNEL.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to ZSCALER.
	network.direction	If the policydirection log field value matches the regular expression pattern (?i)Inbound, then the network.direction UDM field is set to INBOUND. Else, if the policydirection log field value matches the regular expression pattern (?i)Outbound, then the network.direction UDM field is set to OUTBOUND.
protocol	network.ip_protocol	If the protocol log field value contain one of the following values, then the protocol log field is mapped to the network.ip_protocol UDM field. TCP EIGRP ESP ETHERIP GRE ICMP IGMP IP6IN4 PIM UDP VRRP
rxbytes	network.received_bytes
rxpackets	network.received_packets
txbytes	network.sent_bytes
txpackets	network.sent_packets
lifetime	network.session_duration.seconds
srcipstart	principal.ip
sourceip	principal.ip
srcipend	principal.ip
location	principal.location.name
sourceport	principal.port
user	principal.user.userid
destinationipstart	target.ip
destinationip	target.ip
destinationipend'	target.ip
destinationport	target.port

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.