Mengumpulkan log Zscaler Tunnel

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Dokumen ini menjelaskan cara mengekspor log Zscaler Tunnel dengan menyiapkan feed Google Security Operations dan cara kolom log dipetakan ke kolom Unified Data Model (UDM) Google SecOps.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan penyerapan data ke Google SecOps.

Deployment standar terdiri dari Zscaler Tunnel dan feed Webhook Google SecOps yang dikonfigurasi untuk mengirim log ke Google SecOps. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• Zscaler Tunnel: Platform tempat Anda mengumpulkan log.

• Feed Google SecOps: Feed Google SecOps yang mengambil log dari Zscaler Tunnel dan menulis log ke Google SecOps.

• Google SecOps: Mempertahankan dan menganalisis log.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label ZSCALER_TUNNEL.

Sebelum memulai

• Pastikan Anda memiliki akses ke konsol Akses Internet Zscaler. Untuk informasi selengkapnya, lihat Bantuan ZIA Akses Internet dan SaaS yang Aman.
• Pastikan Anda menggunakan Zscaler Tunnel versi 1.0 atau versi 2.0.
• Pastikan semua sistem dalam arsitektur deployment dikonfigurasi dengan zona waktu UTC.
• Pastikan Anda memiliki kunci API yang diperlukan untuk menyelesaikan penyiapan feed di Google SecOps. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan kunci API.

Menyiapkan feed transfer di Google SecOps untuk menyerap log Zscaler Tunnel

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Log Tunnel Zscaler).
4. Pilih Webhook sebagai Jenis Sumber.
5. Pilih Zscaler Tunnel sebagai Jenis Log.
6. Klik Berikutnya.
7. Opsional: Tentukan nilai untuk parameter input berikut:
   1. Pemisah pemisahan: pemisah yang digunakan untuk memisahkan baris log (kosongkan jika pemisah tidak digunakan).
   2. Namespace aset: namespace aset.
   3. Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.
10. Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.

Menyiapkan Tunnel Zscaler

1. Di konsol Zscaler Internet Access, buka Administration > Nanolog Streaming Service > Cloud NSS Feeds.
2. Klik Tambahkan Feed NSS Cloud.
3. Masukkan nama untuk feed di kolom Feed Name.
4. Pilih NSS for Tunnel di NSS Type.
5. Pilih status dari daftar Status untuk mengaktifkan atau menonaktifkan feed NSS.
6. Tetapkan nilai di drop-down SIEM Rate sebagai Unlimited. Untuk menyembunyikan aliran output karena pemberian lisensi atau batasan lainnya, ubah nilainya.
7. Pilih Lainnya di daftar Jenis SIEM.
8. Pilih Nonaktif di daftar Autentikasi OAuth 2.0.
9. Masukkan batas ukuran untuk setiap payload permintaan HTTP ke praktik terbaik SIEM di Max Batch Size (misalnya, 512 KB).

10. Masukkan URL HTTPS endpoint Chronicle API di URL API dalam format berikut:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: region tempat instance Google SecOps Anda dihosting (misalnya, US).
    • GOOGLE_PROJECT_NUMBER: Nomor project BYOP (dapatkan dari C4).
    • LOCATION: Region Google SecOps (misalnya, US).
    • CUSTOMER_ID: ID pelanggan Google SecOps (dapatkan dari C4).
    • FEED_ID: ID feed yang ditampilkan di UI Feed pada webhook baru yang dibuat.

    Contoh URL API:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Klik Tambahkan Header HTTP untuk menambahkan header HTTP lainnya dengan kunci dan nilai.

    Contoh:

    • Kunci: X-goog-api-key
    • Nilai: Kunci API yang dibuat di Google Cloud Kredensial API BYOP

12. Pilih Tunnel di daftar Jenis Log.

13. Pilih JSON di daftar Jenis Output Feed.

14. Tetapkan Feed Escape Character ke , \ ".

15. Untuk menambahkan kolom baru ke Format Output Feed,pilih Kustom di daftar Jenis Output Feed.

16. Salin-tempel Format Output Feed dan tambahkan kolom baru. Pastikan nama kunci cocok dengan nama kolom yang sebenarnya.

    Berikut adalah Format Output Feed default:

    • Untuk IKE Fase 1:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","destinationport":"%d{dstport}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","spi_in":"%lu{spi_in}","spi_out":"%lu{spi_out}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","recordid":"%d{recordid}"\}\}
      

    • Untuk IKE Tahap 2:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"IPSEC IKEV %d{ikeversion}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","sourceportstart":"%d{srcportstart}","destinationportstart":"%d{destportstart}","srcipstart":"%s{srcipstart}","srcipend":"%s{srcipend}","destinationipstart":"%s{destipstart}","destinationipend":"%s{destipend}","lifetime":"%d{lifetime}","ikeversion":"%d{ikeversion}","lifebytes":"%d{lifebytes}","spi":"%d{spi}","algo":"%s{algo}","authentication":"%s{authentication}","authtype":"%s{authtype}","protocol":"%s{protocol}","tunnelprotocol":"%s{tunnelprotocol}","policydirection":"%s{policydirection}","recordid":"%d{recordid}"\}\}
      

    • Untuk Peristiwa Tunnel:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","event":"%s{event}","eventreason":"%s{eventreason}","recordid":"%d{recordid}"\}\}
      

    • Untuk Contoh:

      \{ "sourcetype" : "zscalernss-tunnel", "event" : \{"datetime":"%s{datetime}","Recordtype":"%s{tunnelactionname}","tunneltype":"%s{tunneltype}","user":"%s{vpncredentialname}","location":"%s{elocationname}","sourceip":"%s{sourceip}","destinationip":"%s{destvip}","sourceport":"%d{srcport}","txbytes":"%lu{txbytes}","rxbytes":"%lu{rxbytes}","dpdrec":"%d{dpdrec}","recordid":"%d{recordid}"\}\}
      

17. Pilih zona waktu untuk kolom Time dalam file output di daftar Timezone. Secara default, zona waktu ditetapkan ke zona waktu organisasi Anda.

18. Tinjau setelan yang dikonfigurasi.

19. Klik Simpan untuk menguji konektivitas. Jika koneksi berhasil, tanda centang hijau yang disertai pesan Uji Konektivitas Berhasil: OK (200) akan muncul.

Untuk informasi selengkapnya tentang feed Google SecOps, lihat dokumentasi feed Google SecOps. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis feed, lihat Konfigurasi feed menurut jenis.

Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Google SecOps.

Tabel Pemetaan UDM

Referensi pemetaan kolom: ZSCALER_TUNNEL

Tabel berikut mencantumkan kolom log dari jenis log ZSCALER_TUNNEL dan kolom UDM yang sesuai.

Log field	UDM mapping	Logic
algo	additional.fields[algo]
authtype	additional.fields[authtype]
authentication	additional.fields[authentication]
dd	additional.fields[dd]
day	additional.fields[day]
destinationportstart	additional.fields[destinationportstart]
dpdrec	additional.fields[dpdrec]
eventreason	additional.fields[eventreason]
hh	additional.fields[hh]
ikeversion	additional.fields[ikeversion]
lifebytes	additional.fields[lifebytes]
mm	additional.fields[mm]
mon	additional.fields[mon]
mth	additional.fields[mth]
olocationname	additional.fields[olocationname]
ovpncredentialname	additional.fields[ovpncredentialname]
ss	additional.fields[ss]
sourcetype	additional.fields[sourcetype]
spi_in	additional.fields[spi_in]
spi_out	additional.fields[spi_out]
sourceportstart	additional.fields[sourceportstart]
tz	additional.fields[tz]
tunnelprotocol	additional.fields[tunnelprotocol]
tunneltype	additional.fields[tunneltype]
vendorname	additional.fields[vendorname]
yyyy	additional.fields[yyyy]
spi	additional.fields[spi]
event	metadata.description
datetime	metadata.event_timestamp
	metadata.event_type	If (the srcipstart log field value is not empty or the srcipend log field value is not empty or the sourceip log field value is not empty) and (the destinationipstart log field value is not empty or the destinationip log field value is not empty or the destinationipend log field value is not empty), then the metadata.event_type UDM field is set to NETWORK_CONNECTION. Else, if the srcipstart log field value is not empty or the srcipend log field value is not empty or the sourceip log field value is not empty, then the metadata.event_type UDM field is set to STATUS_UPDATE. Else, the metadata.event_type UDM field is set to GENERIC_EVENT.
Recordtype	metadata.product_event_type
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to ZSCALER_TUNNEL.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to ZSCALER.
	network.direction	If the policydirection log field value matches the regular expression pattern (?i)Inbound, then the network.direction UDM field is set to INBOUND. Else, if the policydirection log field value matches the regular expression pattern (?i)Outbound, then the network.direction UDM field is set to OUTBOUND.
protocol	network.ip_protocol	If the protocol log field value contain one of the following values, then the protocol log field is mapped to the network.ip_protocol UDM field. TCP EIGRP ESP ETHERIP GRE ICMP IGMP IP6IN4 PIM UDP VRRP
rxbytes	network.received_bytes
rxpackets	network.received_packets
txbytes	network.sent_bytes
txpackets	network.sent_packets
lifetime	network.session_duration.seconds
srcipstart	principal.ip
sourceip	principal.ip
srcipend	principal.ip
location	principal.location.name
sourceport	principal.port
user	principal.user.userid
destinationipstart	target.ip
destinationip	target.ip
destinationipend'	target.ip
destinationport	target.port

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.