Recopilar registros de operaciones de Zoom

Disponible en:

En este documento se explica cómo ingerir registros de operaciones de Zoom en Google Security Operations mediante Amazon S3. El analizador transforma los registros sin procesar en un modelo de datos unificado (UDM). Extrae campos del mensaje de registro sin procesar, limpia y normaliza los datos, y asigna la información extraída a los campos de UDM correspondientes. De esta forma, enriquece los datos para analizarlos y correlacionarlos en un sistema SIEM.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Acceso privilegiado a Zoom
  • Acceso privilegiado a AWS (S3, IAM, Lambda y EventBridge)

Requisitos previos para recopilar registros de operaciones de Zoom (IDs, claves de API, IDs de organización y tokens)

  1. Inicia sesión en Zoom App Marketplace.
  2. Ve a Desarrollar > Crear aplicación > OAuth de servidor a servidor.
  3. Crea la aplicación y añade el siguiente permiso: report:read:operation_logs:admin (o report:read:admin).
  4. En Credenciales de la aplicación, copia y guarda los siguientes detalles en una ubicación segura:
    • ID de cuenta.
    • ID de cliente.
    • Secreto de cliente.

Configurar un segmento de AWS S3 y IAM para Google SecOps

  1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
  2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, zoom-operation-logs).
  3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
  4. Selecciona el Usuario creado.
  5. Selecciona la pestaña Credenciales de seguridad.
  6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
  7. Selecciona Servicio de terceros como Caso práctico.
  8. Haz clic en Siguiente.
  9. Opcional: añade una etiqueta de descripción.
  10. Haz clic en Crear clave de acceso.
  11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
  12. Haz clic en Listo.
  13. Selecciona la pestaña Permisos.
  14. En la sección Políticas de permisos, haz clic en Añadir permisos.
  15. Selecciona Añadir permisos.
  16. Seleccione Adjuntar políticas directamente.
  17. Busca y selecciona la política AmazonS3FullAccess.
  18. Haz clic en Siguiente.
  19. Haz clic en Añadir permisos.

Configurar la política y el rol de gestión de identidades y accesos para las subidas de S3

  1. En la consola de AWS, ve a IAM > Policies > Create policy > pestaña JSON.

  2. Introduce la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutZoomOperationLogs",
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/zoom/operationlogs/*"
    },
    {
      "Sid": "AllowStateReadWrite",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/zoom/operationlogs/state.json"
    }
  ]
}
    • Sustituye zoom-operation-logs si has introducido otro nombre de segmento.

  3. Haz clic en Siguiente > Crear política.

  4. Ve a IAM > Roles > Crear rol > Servicio de AWS > Lambda.

  5. Adjunte la política que acaba de crear.

  6. Dale el nombre WriteZoomOperationLogsToS3Role al rol y haz clic en Crear rol.

Crear la función Lambda

  1. En la consola de AWS, ve a Lambda > Funciones > Crear función.
  2. Haz clic en Crear desde cero.
  3. Proporciona los siguientes detalles de configuración:
Ajuste Valor
Nombre zoom_operationlogs_to_s3
Tiempo de ejecución Python 3.13
Arquitectura x86_64
Rol de ejecución WriteZoomOperationLogsToS3Role

  1. Una vez creada la función, abra la pestaña Código, elimine el stub e introduzca el siguiente código(zoom_operationlogs_to_s3.py):

    #!/usr/bin/env python3
import os, json, gzip, io, uuid, datetime as dt, base64, urllib.parse, urllib.request
import boto3

# ---- Environment ----
S3_BUCKET = os.environ["S3_BUCKET"]
S3_PREFIX = os.environ.get("S3_PREFIX", "zoom/operationlogs/")
STATE_KEY = os.environ.get("STATE_KEY", S3_PREFIX + "state.json")
ZOOM_ACCOUNT_ID = os.environ["ZOOM_ACCOUNT_ID"]
ZOOM_CLIENT_ID = os.environ["ZOOM_CLIENT_ID"]
ZOOM_CLIENT_SECRET = os.environ["ZOOM_CLIENT_SECRET"]
PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "300"))  # API default 30; max may vary
TIMEOUT = int(os.environ.get("TIMEOUT", "30"))

TOKEN_URL = "https://zoom.us/oauth/token"
REPORT_URL = "https://api.zoom.us/v2/report/operationlogs"

s3 = boto3.client("s3")

# ---- Helpers ----

def _http(req: urllib.request.Request):
    return urllib.request.urlopen(req, timeout=TIMEOUT)

def get_token() -> str:
    params = urllib.parse.urlencode({
        "grant_type": "account_credentials",
        "account_id": ZOOM_ACCOUNT_ID,
    }).encode()
    basic = base64.b64encode(f"{ZOOM_CLIENT_ID}:{ZOOM_CLIENT_SECRET}".encode()).decode()
    req = urllib.request.Request(
        TOKEN_URL,
        data=params,
        headers={
            "Authorization": f"Basic {basic}",
            "Content-Type": "application/x-www-form-urlencoded",
            "Accept": "application/json",
            "Host": "zoom.us",
        },
        method="POST",
    )
    with _http(req) as r:
        body = json.loads(r.read())
        return body["access_token"]

def get_state() -> dict:
    try:
        obj = s3.get_object(Bucket=S3_BUCKET, Key=STATE_KEY)
        return json.loads(obj["Body"].read())
    except Exception:
        # initial state: start today
        today = dt.date.today().isoformat()
        return {"cursor_date": today, "next_page_token": None}

def put_state(state: dict):
    state["updated_at"] = dt.datetime.utcnow().isoformat() + "Z"
    s3.put_object(Bucket=S3_BUCKET, Key=STATE_KEY, Body=json.dumps(state).encode())

def write_chunk(items: list[dict], ts: dt.datetime) -> str:
    key = f"{S3_PREFIX}{ts:%Y/%m/%d}/zoom-operationlogs-{uuid.uuid4()}.json.gz"
    buf = io.BytesIO()
    with gzip.GzipFile(fileobj=buf, mode="w") as gz:
        for rec in items:
            gz.write((json.dumps(rec) + "n").encode())
    buf.seek(0)
    s3.upload_fileobj(buf, S3_BUCKET, key)
    return key

def fetch_page(token: str, from_date: str, to_date: str, next_page_token: str | None) -> dict:
    q = {
        "from": from_date,
        "to": to_date,
        "page_size": str(PAGE_SIZE),
    }
    if next_page_token:
        q["next_page_token"] = next_page_token
    url = REPORT_URL + "?" + urllib.parse.urlencode(q)
    req = urllib.request.Request(url, headers={
        "Authorization": f"Bearer {token}",
        "Accept": "application/json",
    })
    with _http(req) as r:
        return json.loads(r.read())

def lambda_handler(event=None, context=None):
    token = get_token()
    state = get_state()

    cursor_date = state.get("cursor_date")  # YYYY-MM-DD
    # API requires from/to in yyyy-mm-dd, max one month per request
    from_date = cursor_date
    to_date = cursor_date

    total_written = 0
    next_token = state.get("next_page_token")

    while True:
        page = fetch_page(token, from_date, to_date, next_token)
        items = page.get("operation_logs", []) or []
        if items:
            write_chunk(items, dt.datetime.utcnow())
            total_written += len(items)
        next_token = page.get("next_page_token")
        if not next_token:
            break

    # Advance to next day if we've finished this date
    today = dt.date.today().isoformat()
    if cursor_date < today:
        nxt = (dt.datetime.fromisoformat(cursor_date) + dt.timedelta(days=1)).date().isoformat()
        state["cursor_date"] = nxt
        state["next_page_token"] = None
    else:
        # stay on today; continue later with next_page_token=None
        state["next_page_token"] = None

    put_state(state)
    return {"ok": True, "written": total_written, "date": from_date}

if __name__ == "__main__":
    print(lambda_handler())

  2. Ve a Configuración > Variables de entorno > Editar > Añadir nueva variable de entorno.

  3. Introduce las siguientes variables de entorno y sustituye los valores por los tuyos:

    Clave Valor de ejemplo
    S3_BUCKET zoom-operation-logs
    S3_PREFIX zoom/operationlogs/
    STATE_KEY zoom/operationlogs/state.json
    ZOOM_ACCOUNT_ID <your-zoom-account-id>
    ZOOM_CLIENT_ID <your-zoom-client-id>
    ZOOM_CLIENT_SECRET <your-zoom-client-secret>
    PAGE_SIZE 300
    TIMEOUT 30

  4. Una vez creada la función, permanece en su página (o abre Lambda > Funciones > tu-función).

  5. Seleccione la pestaña Configuración.

  6. En el panel Configuración general, haz clic en Editar.

  7. Cambia Tiempo de espera a 5 minutos (300 segundos) y haz clic en Guardar.

Crear una programación de EventBridge

  1. Ve a Amazon EventBridge > Scheduler.
  2. Haz clic en Crear programación.
  3. Proporcione los siguientes detalles de configuración:
    • Programación periódica: Precio (15 min).
    • Destino: tu función Lambda zoom_operationlogs_to_s3.
    • Nombre: zoom-operationlogs-schedule-15min.
  4. Haz clic en Crear programación.

Opcional: Crear un usuario y claves de gestión de identidades y accesos de solo lectura para Google SecOps

  1. En la consola de AWS, ve a IAM > Usuarios > Añadir usuarios.
  2. Haz clic en Add users (Añadir usuarios).
  3. Proporcione los siguientes detalles de configuración:
    • Usuario: secops-reader.
    • Tipo de acceso: Clave de acceso (acceso programático).
  4. Haz clic en Crear usuario.
  5. Asigna una política de lectura mínima (personalizada): Usuarios > secops-reader > Permisos > Añadir permisos > Asignar políticas directamente > Crear política.

  6. En el editor de JSON, introduce la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::zoom-operation-logs"
    }
  ]
}

  7. Asigna el nombre secops-reader-policy.

  8. Ve a Crear política > busca o selecciona > Siguiente > Añadir permisos.

  9. Ve a Credenciales de seguridad > Claves de acceso > Crear clave de acceso.

  10. Descarga el archivo CSV (estos valores se introducen en el feed).

Configurar un feed en Google SecOps para ingerir registros de operaciones de Zoom

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en + Añadir nuevo feed.
  3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Zoom Operation Logs).
  4. Selecciona Amazon S3 V2 como Tipo de fuente.
  5. Seleccione Registros de operaciones de Zoom como Tipo de registro.
  6. Haz clic en Siguiente.
  7. Especifique los valores de los siguientes parámetros de entrada:
    • URI de S3: s3://zoom-operation-logs/zoom/operationlogs/
    • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
    • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
    • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
    • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
    • Espacio de nombres de recursos: el espacio de nombres de recursos.
    • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
  8. Haz clic en Siguiente.
  9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
acción metadata.product_event_type El campo de registro sin procesar "action" se asigna a este campo de UDM.
category_type additional.fields.key El campo de registro sin procesar "category_type" se asigna a este campo de UDM.
category_type additional.fields.value.string_value El campo de registro sin procesar "category_type" se asigna a este campo de UDM.
Departamento target.user.department El campo de registro sin procesar "Department" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Descripción target.user.role_description El campo de registro sin procesar "Description" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Nombre visible target.user.user_display_name El campo de registro sin procesar "Nombre visible" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Dirección de correo electrónico target.user.email_addresses El campo de registro sin procesar "Email Address" (Dirección de correo electrónico), extraído del campo "operation_detail", se asigna a este campo de UDM.
Nombre target.user.first_name El campo de registro sin procesar "Nombre" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Cargo target.user.title El campo de registro sin procesar "Job Title" (Cargo) (extraído del campo "operation_detail") se asigna a este campo de UDM.
Apellidos target.user.last_name El campo de registro sin procesar "Last Name" (Apellidos), extraído del campo "operation_detail", se asigna a este campo de UDM.
Ubicación target.location.name El campo de registro sin procesar "Location" (Ubicación), extraído del campo "operation_detail" (Detalle de la operación), se asigna a este campo de UDM.
operation_detail metadata.description El campo de registro sin procesar "operation_detail" se asigna a este campo de UDM.
operator principal.user.email_addresses El campo de registro sin procesar "operator" se asigna a este campo de UDM si coincide con una expresión regular de correo electrónico.
operator principal.user.userid El campo de registro sin procesar "operator" se asigna a este campo de UDM si no coincide con una expresión regular de correo electrónico.
Room Name target.user.attribute.labels.value El campo de registro sin procesar "Room Name" (Nombre de la sala), extraído del campo "operation_detail" (Detalle de la operación), se asigna a este campo de UDM.
Nombre de función target.user.attribute.roles.name El campo de registro sin procesar "Nombre del rol" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Tiempo metadata.event_timestamp.seconds El campo de registro sin procesar "time" se analiza y se asigna a este campo de UDM.
Tipo target.user.attribute.labels.value El campo de registro sin procesar "Type" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Rol de usuario target.user.attribute.roles.name El campo de registro sin procesar "User Role" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Tipo de usuario target.user.attribute.labels.value El campo de registro sin procesar "User Type" (extraído del campo "operation_detail") se asigna a este campo de UDM.
metadata.log_type El valor "ZOOM_OPERATION_LOGS" se asigna a este campo de metadatos definidos por el usuario.
metadata.vendor_name El valor "ZOOM" se asigna a este campo UDM.
metadata.product_name El valor "ZOOM_OPERATION_LOGS" se asigna a este campo de metadatos definidos por el usuario.
metadata.event_type El valor se determina según la siguiente lógica:
1. Si el campo "event_type" no está vacío, se usa su valor.
2. Si los campos "operator", "email" o "email2" no están vacíos, el valor se asigna a "USER_UNCATEGORIZED".
3. De lo contrario, se le asigna el valor "GENERIC_EVENT".
json_data about.user.attribute.labels.value El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. Los campos "assistant" y "options" de cada elemento de la matriz JSON analizada se asignan al campo "value" de la matriz "labels" del UDM.
json_data about.user.userid El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. El campo "userId" de cada elemento de la matriz JSON analizada (excepto el primero) se asigna al campo "userid" del objeto "about.user" del UDM.
json_data target.user.attribute.labels.value El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. Los campos "assistant" y "options" del primer elemento de la matriz JSON analizada se asignan al campo "value" de la matriz "labels" del UDM.
json_data target.user.userid El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. El campo "userId" del primer elemento de la matriz JSON analizada se asigna al campo "userid" del objeto "target.user" del UDM.
correo electrónico target.user.email_addresses El campo de registro sin procesar "email" (extraído del campo "operation_detail") se asigna a este campo de UDM.
email2 target.user.email_addresses El campo de registro sin procesar "email2" (extraído del campo "operation_detail") se asigna a este campo de UDM.
role target.user.attribute.roles.name El campo de registro sin procesar "role" (extraído del campo "operation_detail") se asigna a este campo de UDM.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.