Recopila registros de operaciones de Zoom

Compatible con:

En este documento, se explica cómo transferir registros de operaciones de Zoom a Google Security Operations con Amazon S3. El analizador transforma los registros sin procesar en un modelo de datos unificado (UDM). Extrae campos del mensaje de registro sin procesar, realiza la limpieza y normalización de los datos, y asigna la información extraída a los campos correspondientes del UDM, lo que, en última instancia, enriquece los datos para su análisis y correlación dentro de un sistema SIEM.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Acceso con privilegios a Zoom
  • Acceso con privilegios a AWS (S3, IAM, Lambda, EventBridge)

Recopila los requisitos previos de los registros de operación de Zoom (IDs, claves de API, IDs de organización, tokens)

  1. Accede a Zoom App Marketplace.
  2. Ve a Develop > Build App > Server-to-Server OAuth.
  3. Crea la app y agrega el siguiente alcance: report:read:operation_logs:admin (o report:read:admin).
  4. En Credenciales de la app, copia y guarda los siguientes detalles en una ubicación segura:
    • ID de la cuenta
    • ID de cliente.
    • Secreto del cliente

Configura el bucket de AWS S3 y el IAM para Google SecOps

  1. Crea un bucket de Amazon S3 siguiendo esta guía del usuario: Crea un bucket
  2. Guarda el Nombre y la Región del bucket para futuras referencias (por ejemplo, zoom-operation-logs).
  3. Crea un usuario siguiendo esta guía del usuario: Cómo crear un usuario de IAM.
  4. Selecciona el usuario creado.
  5. Selecciona la pestaña Credenciales de seguridad.
  6. Haz clic en Crear clave de acceso en la sección Claves de acceso.
  7. Selecciona Servicio de terceros como el Caso de uso.
  8. Haz clic en Siguiente.
  9. Opcional: Agrega una etiqueta de descripción.
  10. Haz clic en Crear clave de acceso.
  11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
  12. Haz clic en Listo.
  13. Selecciona la pestaña Permisos.
  14. Haz clic en Agregar permisos en la sección Políticas de permisos.
  15. Selecciona Agregar permisos.
  16. Selecciona Adjuntar políticas directamente.
  17. Busca y selecciona la política AmazonS3FullAccess.
  18. Haz clic en Siguiente.
  19. Haz clic en Agregar permisos.

Configura la política y el rol de IAM para las cargas de S3

  1. En la consola de AWS, ve a IAM > Políticas > Crear política > pestaña JSON.

  2. Ingresa la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutZoomOperationLogs",
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/zoom/operationlogs/*"
    },
    {
      "Sid": "AllowStateReadWrite",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/zoom/operationlogs/state.json"
    }
  ]
}
    • Reemplaza zoom-operation-logs si ingresaste un nombre de bucket diferente.

  3. Haz clic en Siguiente > Crear política.

  4. Ve a IAM > Roles > Crear rol > Servicio de AWS > Lambda.

  5. Adjunta la política recién creada.

  6. Asigna el nombre WriteZoomOperationLogsToS3Role al rol y haz clic en Crear rol.

Crea la función Lambda

  1. En la consola de AWS, ve a Lambda > Functions > Create function.
  2. Haz clic en Crear desde cero.
  3. Proporciona los siguientes detalles de configuración:
Configuración Valor
Nombre zoom_operationlogs_to_s3
Tiempo de ejecución Python 3.13
Arquitectura x86_64
Rol de ejecución WriteZoomOperationLogsToS3Role

  1. Después de crear la función, abre la pestaña Code, borra el código auxiliar y, luego, ingresa el siguiente código(zoom_operationlogs_to_s3.py):

    #!/usr/bin/env python3
import os, json, gzip, io, uuid, datetime as dt, base64, urllib.parse, urllib.request
import boto3

# ---- Environment ----
S3_BUCKET = os.environ["S3_BUCKET"]
S3_PREFIX = os.environ.get("S3_PREFIX", "zoom/operationlogs/")
STATE_KEY = os.environ.get("STATE_KEY", S3_PREFIX + "state.json")
ZOOM_ACCOUNT_ID = os.environ["ZOOM_ACCOUNT_ID"]
ZOOM_CLIENT_ID = os.environ["ZOOM_CLIENT_ID"]
ZOOM_CLIENT_SECRET = os.environ["ZOOM_CLIENT_SECRET"]
PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "300"))  # API default 30; max may vary
TIMEOUT = int(os.environ.get("TIMEOUT", "30"))

TOKEN_URL = "https://zoom.us/oauth/token"
REPORT_URL = "https://api.zoom.us/v2/report/operationlogs"

s3 = boto3.client("s3")

# ---- Helpers ----

def _http(req: urllib.request.Request):
    return urllib.request.urlopen(req, timeout=TIMEOUT)

def get_token() -> str:
    params = urllib.parse.urlencode({
        "grant_type": "account_credentials",
        "account_id": ZOOM_ACCOUNT_ID,
    }).encode()
    basic = base64.b64encode(f"{ZOOM_CLIENT_ID}:{ZOOM_CLIENT_SECRET}".encode()).decode()
    req = urllib.request.Request(
        TOKEN_URL,
        data=params,
        headers={
            "Authorization": f"Basic {basic}",
            "Content-Type": "application/x-www-form-urlencoded",
            "Accept": "application/json",
            "Host": "zoom.us",
        },
        method="POST",
    )
    with _http(req) as r:
        body = json.loads(r.read())
        return body["access_token"]

def get_state() -> dict:
    try:
        obj = s3.get_object(Bucket=S3_BUCKET, Key=STATE_KEY)
        return json.loads(obj["Body"].read())
    except Exception:
        # initial state: start today
        today = dt.date.today().isoformat()
        return {"cursor_date": today, "next_page_token": None}

def put_state(state: dict):
    state["updated_at"] = dt.datetime.utcnow().isoformat() + "Z"
    s3.put_object(Bucket=S3_BUCKET, Key=STATE_KEY, Body=json.dumps(state).encode())

def write_chunk(items: list[dict], ts: dt.datetime) -> str:
    key = f"{S3_PREFIX}{ts:%Y/%m/%d}/zoom-operationlogs-{uuid.uuid4()}.json.gz"
    buf = io.BytesIO()
    with gzip.GzipFile(fileobj=buf, mode="w") as gz:
        for rec in items:
            gz.write((json.dumps(rec) + "n").encode())
    buf.seek(0)
    s3.upload_fileobj(buf, S3_BUCKET, key)
    return key

def fetch_page(token: str, from_date: str, to_date: str, next_page_token: str | None) -> dict:
    q = {
        "from": from_date,
        "to": to_date,
        "page_size": str(PAGE_SIZE),
    }
    if next_page_token:
        q["next_page_token"] = next_page_token
    url = REPORT_URL + "?" + urllib.parse.urlencode(q)
    req = urllib.request.Request(url, headers={
        "Authorization": f"Bearer {token}",
        "Accept": "application/json",
    })
    with _http(req) as r:
        return json.loads(r.read())

def lambda_handler(event=None, context=None):
    token = get_token()
    state = get_state()

    cursor_date = state.get("cursor_date")  # YYYY-MM-DD
    # API requires from/to in yyyy-mm-dd, max one month per request
    from_date = cursor_date
    to_date = cursor_date

    total_written = 0
    next_token = state.get("next_page_token")

    while True:
        page = fetch_page(token, from_date, to_date, next_token)
        items = page.get("operation_logs", []) or []
        if items:
            write_chunk(items, dt.datetime.utcnow())
            total_written += len(items)
        next_token = page.get("next_page_token")
        if not next_token:
            break

    # Advance to next day if we've finished this date
    today = dt.date.today().isoformat()
    if cursor_date < today:
        nxt = (dt.datetime.fromisoformat(cursor_date) + dt.timedelta(days=1)).date().isoformat()
        state["cursor_date"] = nxt
        state["next_page_token"] = None
    else:
        # stay on today; continue later with next_page_token=None
        state["next_page_token"] = None

    put_state(state)
    return {"ok": True, "written": total_written, "date": from_date}

if __name__ == "__main__":
    print(lambda_handler())

  2. Ve a Configuración > Variables de entorno > Editar > Agregar nueva variable de entorno.

  3. Ingresa las siguientes variables de entorno y reemplázalas por tus valores:

    Clave Valor de ejemplo
    S3_BUCKET zoom-operation-logs
    S3_PREFIX zoom/operationlogs/
    STATE_KEY zoom/operationlogs/state.json
    ZOOM_ACCOUNT_ID <your-zoom-account-id>
    ZOOM_CLIENT_ID <your-zoom-client-id>
    ZOOM_CLIENT_SECRET <your-zoom-client-secret>
    PAGE_SIZE 300
    TIMEOUT 30

  4. Después de crear la función, permanece en su página (o abre Lambda > Funciones > tu-función).

  5. Selecciona la pestaña Configuración.

  6. En el panel Configuración general, haz clic en Editar.

  7. Cambia Tiempo de espera a 5 minutos (300 segundos) y haz clic en Guardar.

Crea una programación de EventBridge

  1. Ve a Amazon EventBridge > Scheduler.
  2. Haz clic en Crear programación.
  3. Proporciona los siguientes detalles de configuración:
    • Programación recurrente: Frecuencia (15 min).
    • Destino: Tu función Lambda zoom_operationlogs_to_s3.
    • Nombre: zoom-operationlogs-schedule-15min.
  4. Haz clic en Crear programación.

Opcional: Crea un usuario y claves de IAM de solo lectura para Google SecOps

  1. En la consola de AWS, ve a IAM > Usuarios > Agregar usuarios.
  2. Haz clic en Agregar usuarios.
  3. Proporciona los siguientes detalles de configuración:
    • Usuario: secops-reader.
    • Tipo de acceso: Clave de acceso: Acceso programático
  4. Haz clic en Crear usuario.
  5. Adjunta la política de lectura mínima (personalizada): Usuarios > secops-reader > Permisos > Agregar permisos > Adjuntar políticas directamente > Crear política.

  6. En el editor de JSON, ingresa la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::zoom-operation-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::zoom-operation-logs"
    }
  ]
}

  7. Configura el nombre como secops-reader-policy.

  8. Ve a Crear política > busca o selecciona > Siguiente > Agregar permisos.

  9. Ve a Credenciales de seguridad > Claves de acceso > Crear clave de acceso.

  10. Descarga el archivo CSV (estos valores se ingresan en el feed).

Configura un feed en Google SecOps para transferir registros de operaciones de Zoom

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en + Agregar feed nuevo.
  3. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Zoom Operation Logs).
  4. Selecciona Amazon S3 V2 como el Tipo de fuente.
  5. Selecciona Zoom Operation Logs como el Tipo de registro.
  6. Haz clic en Siguiente.
  7. Especifica valores para los siguientes parámetros de entrada:
    • URI de S3: s3://zoom-operation-logs/zoom/operationlogs/
    • Opciones de borrado de la fuente: Selecciona la opción de borrado según tu preferencia.
    • Antigüedad máxima del archivo: Incluye los archivos modificados en la cantidad de días especificada. El valor predeterminado es de 180 días.
    • ID de clave de acceso: Clave de acceso del usuario con acceso al bucket de S3.
    • Clave de acceso secreta: Clave secreta del usuario con acceso al bucket de S3.
    • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
    • Etiquetas de transmisión: Es la etiqueta que se aplica a los eventos de este feed.
  8. Haz clic en Siguiente.
  9. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
acción metadata.product_event_type El campo de registro sin procesar "action" se asigna a este campo de UDM.
category_type additional.fields.key El campo de registro sin procesar "category_type" se asigna a este campo de UDM.
category_type additional.fields.value.string_value El campo de registro sin procesar "category_type" se asigna a este campo de UDM.
Departamento target.user.department El campo de registro sin procesar "Department" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Descripción target.user.role_description El campo de registro sin procesar "Description" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Nombre visible target.user.user_display_name El campo de registro sin procesar "Nombre visible" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Dirección de correo electrónico target.user.email_addresses El campo de registro sin procesar "Dirección de correo electrónico" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Nombre target.user.first_name El campo de registro sin procesar "Nombre" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Cargo target.user.title El campo de registro sin procesar "Título del trabajo" (extraído del campo "operation_detail") se asigna a este campo del UDM.
Apellido target.user.last_name El campo de registro sin procesar "Apellido" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Ubicación target.location.name El campo de registro sin procesar "Ubicación" (extraído del campo "operation_detail") se asigna a este campo de UDM.
operation_detail metadata.description El campo de registro sin procesar "operation_detail" se asigna a este campo de UDM.
operador principal.user.email_addresses El campo de registro sin procesar "operator" se asigna a este campo de UDM si coincide con una expresión regular de correo electrónico.
operador principal.user.userid El campo de registro sin procesar "operator" se asigna a este campo del UDM si no coincide con una regex de correo electrónico.
Nombre de la sala target.user.attribute.labels.value El campo de registro sin procesar "Nombre de la sala" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Nombre del rol target.user.attribute.roles.name El campo de registro sin procesar "Role Name" (extraído del campo "operation_detail") se asigna a este campo de UDM.
hora metadata.event_timestamp.seconds El campo de registro sin procesar "time" se analiza y se asigna a este campo del UDM.
Tipo target.user.attribute.labels.value El campo de registro sin procesar "Type" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Rol del usuario target.user.attribute.roles.name El campo de registro sin procesar "User Role" (extraído del campo "operation_detail") se asigna a este campo de UDM.
Tipo de usuario target.user.attribute.labels.value El campo de registro sin procesar "Tipo de usuario" (extraído del campo "operation_detail") se asigna a este campo de UDM.
metadata.log_type El valor "ZOOM_OPERATION_LOGS" se asigna a este campo del UDM.
metadata.vendor_name El valor "ZOOM" se asigna a este campo del UDM.
metadata.product_name El valor "ZOOM_OPERATION_LOGS" se asigna a este campo del UDM.
metadata.event_type El valor se determina según la siguiente lógica:
1. Si el campo "event_type" no está vacío, se usa su valor.
2. Si los campos "operator", "email" o "email2" no están vacíos, el valor se establece en "USER_UNCATEGORIZED".
3. De lo contrario, el valor se establece en "GENERIC_EVENT".
json_data about.user.attribute.labels.value El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. Los campos "assistant" y "options" de cada elemento del array JSON analizado se asignan al campo "value" del array "labels" en el UDM.
json_data about.user.userid El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. El campo "userId" de cada elemento del array JSON analizado (excepto el primero) se asigna al campo "userid" del objeto "about.user" en el UDM.
json_data target.user.attribute.labels.value El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. Los campos "assistant" y "options" del primer elemento del array JSON analizado se asignan al campo "value" del array "labels" en el UDM.
json_data target.user.userid El campo de registro sin procesar "json_data" (extraído del campo "operation_detail") se analiza como JSON. El campo "userId" del primer elemento del array JSON analizado se asigna al campo "userid" del objeto "target.user" en el UDM.
correo electrónico target.user.email_addresses El campo de registro sin procesar "email" (extraído del campo "operation_detail") se asigna a este campo del UDM.
email2 target.user.email_addresses El campo de registro sin procesar "email2" (extraído del campo "operation_detail") se asigna a este campo de UDM.
rol target.user.attribute.roles.name El campo de registro sin procesar "role" (extraído del campo "operation_detail") se asigna a este campo de UDM.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.