Raccogliere i log di Zscaler CASB

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Questo documento spiega come esportare i log Zscaler CASB configurando un feed di Google Security Operations e come i campi dei log vengono mappati ai campi del modello di dati unificato (UDM) di Google SecOps.

Per ulteriori informazioni, consulta la panoramica dell'importazione dei dati in Google SecOps.

Un deployment tipico è costituito da Zscaler CASB e dal feed webhook di Google SecOps configurato per inviare i log a Google SecOps. Ogni implementazione del cliente può essere diversa e potrebbe essere più complessa.

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

• Zscaler CASB: la piattaforma da cui raccogli i log.

• Feed Google SecOps: il feed Google SecOps che recupera i log da Zscaler CASB e li scrive in Google SecOps.

Installa l'agente Bindplane

Installazione di Windows

Prima di iniziare

• Assicurati di avere accesso alla console Zscaler Internet Access. Per ulteriori informazioni, consulta la guida di ZIA per l'accesso sicuro a internet e ai servizi SaaS.
• Assicurati di utilizzare Zscaler CASB 2024 o versioni successive.
• Assicurati che tutti i sistemi nell'architettura di deployment siano configurati con il fuso orario UTC.
• Assicurati di disporre della chiave API necessaria per completare la configurazione del feed in Google SecOps. Per ulteriori informazioni, vedi Configurare le chiavi API.

Installazione di Linux

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo.
3. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Log Zscaler CASB).
4. Seleziona Webhook come Tipo di origine.
5. Seleziona Zscaler CASB come Tipo di log.
6. Fai clic su Avanti.
7. (Facoltativo) Specifica i valori per i seguenti parametri di input:
   1. Delimitatore di separazione: il delimitatore utilizzato per separare le righe dei log (lascia vuoto se non viene utilizzato un delimitatore).
   2. Spazio dei nomi degli asset: lo spazio dei nomi degli asset.
   3. Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
8. Fai clic su Avanti.
9. Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.
10. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.

Configurare Zscaler CASB

Risorse di installazione aggiuntive

• Per altre opzioni di installazione, consulta questa guida all'installazione.

Configurare l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: vmware_nsx
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • CHRONICLE_REGION: regione in cui è ospitata l'istanza Google SecOps (ad esempio US).
   • GOOGLE_PROJECT_NUMBER: numero del progetto BYOP (richiedilo al team C4).
   • LOCATION: regione Google SecOps (ad esempio US).
   • CUSTOMER_ID: ID cliente Google SecOps (richiedilo a C4).
   • FEED_ID: ID feed visualizzato nell'interfaccia utente del feed nel nuovo webhook creato.

   URL API di esempio:

Riavvia Bindplane Agent per applicare le modifiche

• In Linux, per riavviare Bindplane Agent, esegui il seguente comando:

  sudo systemctl restart bindplane-agent
  

• In Windows, per riavviare l'agente Bindplane, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura Zscaler Cloud Web Security

1. Accedi alla Console di amministrazione di Zscaler Analytics.
2. Seleziona Amministrazione > Impostazioni > Servizio di streaming Nanolog (NSS).
3. Seleziona Feed NSS.
4. Fai clic su Aggiungi.

5. Nella finestra Aggiungi feed NSS visualizzata, procedi nel seguente modo:

   1. Nome del feed: inserisci il nome del feed.
   2. Tipo di NSS: seleziona NSS per il web o NSS per il firewall in base ai tuoi requisiti.
   3. Nome NSS: seleziona la macchina virtuale (VM) NSS che raccoglie i log dal cloud (è possibile mappare a un feed una sola VM NSS).
   4. Stato: seleziona Attivato per attivare il feed.
   5. Indirizzo IP SIEM: inserisci l'indirizzo IP del server syslog/Bindplane.
   6. Porta TCP SIEM: inserisci il numero di porta del server syslog/Bindplane per la comunicazione TCP (Zscaler supporta solo la connessione TCP).
   7. Tipo di log: seleziona Log web o Log firewall in base al tipo di NSS selezionato.
   8. Tipo di output del feed: seleziona Personalizzato.
   9. Formato output del feed: specifica il log web o il log firewall.
   10. Offuscamento utente: seleziona Disattivato per visualizzare i nomi utente di accesso nell'output. Per i valori casuali, seleziona Attivata.
   11. Fuso orario: seleziona il fuso orario appropriato (il fuso orario predefinito è GMT).
   12. Log duplicati: inserisci il numero di minuti necessari a NSS per inviare i log duplicati (puoi selezionare il tempo in base alle tue esigenze).
   13. Filtri delle transazioni: sono disponibili vari parametri in base ai quali puoi filtrare i log inviati dalla macchina virtuale NSS.

   Per ulteriori informazioni sui diversi insiemi di filtri, consulta la sezione del documento NSS nel portale di assistenza.

   Nota: la configurazione dei filtri non è consigliata.

6. Utilizza la Console di amministrazione dei criteri o la Console di amministrazione di Analytics:

   1. Per utilizzare la Console di amministrazione delle norme, fai clic su Fine.
   2. Per utilizzare la Console di amministrazione di Analytics, fai clic su Salva. Dopo aver chiuso la finestra Aggiungi feed NSS, torna alla finestra precedente e i dettagli del feed aggiunto vengono visualizzati nella sezione Configura feed.

7. Utilizza la Console di amministrazione dei criteri o la Console di amministrazione di Analytics:

   1. Per utilizzare la Console di amministrazione dei criteri, segui questi passaggi:
      • Nella sezione Configura feed, fai clic su Salva.
      • Fai clic su Attiva ora (lo stato del risultato viene visualizzato in una nuova finestra).
      • Fai clic su Fine.
   2. Per utilizzare la Console di amministrazione di Analytics, fai clic su Attiva ora (lo stato del risultato viene visualizzato nella parte superiore della finestra).

Nota: non è possibile controllare la configurazione dei log provenienti dal cloud per la macchina virtuale NSS. Pertanto, se la connettività tra la macchina virtuale NSS e il firewall cloud Zscaler è buona, i log verranno inviati automaticamente a Google SecOps. Per ulteriori informazioni sulla connettività, consulta la Sezione della guida per gli amministratori di NSS nel portale di assistenza.

Configura il feed dei log web e del firewall

Nel campo Formato di output del feed, utilizza i seguenti feed:

• Se il raccoglitore supporta il formato personalizzato, specifica il seguente feed di log web:

  |ZSCALER|DATE|%s{mon} %d{dd} %02d{hh}:%02d{mm}:%02d{ss}|NSSFEEDIP|%s{nsssvcip}|CLIENTINTIP|%s{cintip}|RECORDID|%d{recordid}|LOGINNAME|%s{login}|PROTOCOL|%s{proto}|URL|%s{url}|HOST|%s{host}|ACTION|%s{action}|REASON|%s{reason}|RISKSCORE|%d{riskscore}|APPNAME|%s{appname}|APPCLASS|%s{appclass}|REQSIZE|%d{reqsize}|RESPSIZE|%d{respsize}|CTIME|%d{ctime}|URLCLASS|%s{urlclass}|SUPERCAT|%s{urlsupercat}|URLCAT|%s{urlcat}|MALWARECAT|%s{malwarecat}|MALWARECLASS|%s{malwareclass}|THREATNAME|%s{threatname}|FILETYPE|%s{filetype}|FILECLASS|%s{fileclass}|DLPENGINE|%s{dlpeng}|DLPDICT|%s{dlpdict}|BWTHROTTLE|%s{bwthrottle}|LOCATION|%s{location}|DEPARTMENT|%s{dept}|CLIENTIP|%s{cip}|DESTINATIONIP|%s{sip}|REQMETHOD|%s{reqmethod}|RESPCODE|%s{respcode}|USERAGENT|%s{ua}|REFERER|%s{referer}|MD5HASH|%s{bamd5}|DLPRULENAME|%s{dlprulename}|DLPMD5|%s{dlpmd5}|DLPIDENTIFIER|%d{dlpidentifier}|DLPDICTHITCOUNT|%s{dlpdicthitcount}|\n
          ```
  

• Se il raccoglitore supporta l'abbonamento al feed del firewall, specifica il seguente feed del firewall:

  |ZSCALERFIREWALL|DATE|%s{mon}%d{dd} %02d{hh}:%02d{mm}:%02d{ss}|CLIENTIP|%s{csip}|RECORDID|%d{recordid}|LOGINNAME|%s{login}|PROTOCOL|%s{ipproto}|ACTION|%s{action}|DESTINATIONIP|%s{cdip}|SOURCEPORT|%d{csport}|DESTINATIONPORT|%d{cdport}|CLIENTTUNIP|%s{tsip}|CLIENTTUNPORT|%d{tsport}|LOCATION|%s{location}|DEPARTMENT|%s{dept}|DESTINATIONCOUNTRY|%s{destcountry}|INCOMINGBYTES|%ld{inbytes}|NETWORKAPP|%s{nwapp}|NETWORKSVC|%s{nwsvc}|RULELABEL|%s{rulelabel}|NATTING|%s{dnat}|SESSIONDURATION|%d{duration}|AGGREGATEDSESSION|%d{numsessions}|AVERAGEDURATION|%d{avgduration}|TUNNELTYPE|%s{ttype}|SERVERDESTPORT|%d{sdport}|SERVERSOURCEIP|%s{ssip}|SERVERSOURCEPORT|%d{ssport}|IPCAT|%s{ipcat}|\n
  

  Nota: assicurati di non modificare l'ordine o i valori chiave dei campi elencati nelle sezioni relative ai feed di log web e firewall.
  1. Seleziona il fuso orario per il campo Ora nel file di output nell'elenco Fuso orario. Per impostazione predefinita, il fuso orario è impostato su quello della tua organizzazione.
  2. Rivedi le impostazioni configurate.
  3. Fai clic su Salva per verificare la connettività. Se la connessione è riuscita, viene visualizzata una spunta verde accompagnata dal messaggio Test di connettività riuscito: OK (200).

Per ulteriori informazioni sui feed di Google SecOps, consulta la documentazione dei feed di Google SecOps. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo.

Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google SecOps.

Tabella di mappatura UDM

Riferimento alla mappatura dei campi: ZSCALER_CASB

La tabella seguente elenca i campi del log del tipo di log ZSCALER_CASB e i relativi campi UDM.

Log field	UDM mapping	Logic
sourcetype	security_result.detection_fields[sourcetype]
objnames2	about.resource.name
object_name_2	about.resource.name
objtypename2	about.resource.resource_subtype
externalownername	additional.fields[externalownername]
act_cnt	additional.fields[act_cnt]
attchcomponentfiletypes	additional.fields[attchcomponentfiletypes]
channel_name	additional.fields[channel_name]
collabscope	additional.fields[collabscope]
day	additional.fields[day]
dd	additional.fields[dd]
dlpdictcount	security_result.detection_fields[dlpdictcount]	If the dlpdictcount log field value is not empty and the dlpdictcount log field value is not equal to None, then the dlpdictcount log field is mapped to the security_result.detection_fields.dlpdictcount UDM field.
dlpenginenames	security_result.detection_fields[dlpenginenames]	If the dlpenginenames log field value is not empty and the dlpenginenames log field value is not equal to None, then the dlpenginenames log field is mapped to the security_result.detection_fields.dlpenginenames UDM field.
epochlastmodtime	additional.fields[epochlastmodtime]
extcollabnames	additional.fields[extcollabnames]
extownername	additional.fields[extownername]
file_msg_id	additional.fields[file_msg_id]
fileid	additional.fields[fileid]
filescantimems	additional.fields[filescantimems]
filetypecategory	additional.fields[filetypecategory]
hh	additional.fields[hh]
messageid	additional.fields[messageid]
mm	additional.fields[mm]
mon	additional.fields[mon]
msgsize	additional.fields[msgsize]
mth	additional.fields[mth]
num_ext_recpts	additional.fields[num_ext_recpts]
num_int_recpts	additional.fields[num_int_recpts]
numcollab	additional.fields[numcollab]
rtime	additional.fields[rtime]
ss	additional.fields[ss]
suburl	additional.fields[suburl]
tenant	additional.fields[tenant]
tz	additional.fields[tz]
upload_doctypename	additional.fields[upload_doctypename]
yyyy	additional.fields[yyyy]
collabnames	additional.fields[collabnames]
companyid	additional.fields[companyid]
component	additional.fields[component]
intcollabnames	additional.fields[intcollabnames]	If intcollabnames log field value does not match the regular expression pattern None then, for index in intcollabnames, the index is mapped to the additional.fields.value.list_value UDM field.
internal_collabnames	additional.fields[internal_collabnames]
external_collabnames	additional.fields[externalcollabnames]
num_external_collab	additional.fields[num_external_collab]
num_internal_collab	additional.fields[num_internal_collab]
repochtime	additional.fields[repochtime]
eventtime	metadata.event_timestamp	If the eventtime log field value is not empty, then the eventtime log field is mapped to the metadata.event_timestamp UDM field.
epochtime	metadata.event_timestamp	If the epochtime log field value is not empty, then the epochtime log field is mapped to the metadata.event_timestamp UDM field.
time	metadata.event_timestamp	If the time log field value is not empty, then the time log field is mapped to the metadata.event_timestamp UDM field.
datetime	metadata.event_timestamp	If the datetime log field value is not empty, then the datetime log field is mapped to the metadata.event_timestamp UDM field.
	metadata.event_type	The metadata.event_type UDM field is set to USER_UNCATEGORIZED.
act_type_name	metadata.product_event_type
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to CASB.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to Zscaler.
sender	network.email.from	If the sender log field value matches the regular expression pattern (^.*@.*$), then the sender log field is mapped to the network.email.from UDM field.
extrecptnames	network.email.to	For index in extrecptnames, the index is mapped to the network.email.to UDM field.
internal_recptnames	network.email.to	For index in internal_recptnames, the index is mapped to the network.email.to UDM field.
external_recptnames	network.email.to	For index in external_recptnames, the index is mapped to the network.email.to UDM field.
intrecptnames	network.email.to	For index in intrecptnames, the index is mapped to the network.email.to UDM field.
applicationname	principal.application	If the applicationname log field value is not empty, then the applicationname log field is mapped to the principal.application UDM field. Else, the appname log field is mapped to the principal.application UDM field.
src_ip	principal.ip
fullurl	principal.url	If the fullurl log field is not empty and the fullurl log field value is not equal to Unknown URL, then the fullurl log field is mapped to the principal.url UDM field.
is_admin_act	principal.user.attribute.labels[is_admin_act]
	principal.user.attribute.roles.type	If the is_admin_act log field value is equal to 1, then the principal.user.attribute.roles.type UDM field is set to ADMINISTRATOR.
company	principal.user.company_name
department	principal.user.department
dept	principal.user.department
user	principal.user.email_addresses	If the user log field value matches the regular expression pattern (^.*@.*$), then the user log field is mapped to the principal.user.email_addresses UDM field.
username	principal.user.email_addresses	If the username log field value matches the regular expression pattern (^.*@.*$), then the username log field is mapped to the principal.user.email_addresses UDM field.
owner	principal.user.email_addresses	If the owner log field value matches the regular expression pattern (^.*@.*$), then the owner log field is mapped to the principal.user.email_addresses UDM field.
login	principal.user.email_addresses	If the login log field value matches the regular expression pattern (^.*@.*$), then the login log field is mapped to the principal.user.email_addresses UDM field.
login	principal.user.userid	If the login log field value does not match the regular expression pattern ^.+@.+$, then the login log field is mapped to the principal.user.userid UDM field.
malware	security_result.associations.name
	security_result.associations.type	If the malware log field value is not empty, then the security_result.associations.type UDM field is set to MALWARE.
dlpdictnames	security_result.detection_fields[dlpdictnames]
dlpidentifier	security_result.detection_fields[dlpidentifier]
filedownloadtimems	additional.fields[filedownloadtimems]
malwareclass	security_result.detection_fields[malwareclass]
msgid	security_result.detection_fields[msgid]
oattchcomponentfilenames	security_result.detection_fields[oattchcomponentfilenames]
obucketname	security_result.detection_fields[obucketname]
obucketowner	security_result.detection_fields[obucketowner]
ochannel_name	security_result.detection_fields[ochannel_name]
ocollabnames	security_result.detection_fields[ocollabnames]
odlpdictnames	security_result.detection_fields[odlpdictnames]
odlpenginenames	security_result.detection_fields[odlpenginenames]
oextcollabnames	security_result.detection_fields[oextcollabnames]
oexternal_collabnames	security_result.detection_fields[oexternal_collabnames]
oexternal_recptnames	security_result.detection_fields[oexternal_recptnames]
oexternalownername	security_result.detection_fields[oexternalownername]
oextownername	security_result.detection_fields[oextownername]
oextrecptnames	security_result.detection_fields[oextrecptnames]
ofile_msg_id	security_result.detection_fields[ofile_msg_id]
ofileid	security_result.detection_fields[ofileid]
ofullurl	security_result.detection_fields[ofullurl]
ohostname	security_result.detection_fields[ohostname]
ointcollabnames	security_result.detection_fields[ointcollabnames]
ointernal_collabnames	security_result.detection_fields[ointernal_collabnames]
ointernal_recptnames	security_result.detection_fields[ointernal_recptnames]
ointrecptnames	security_result.detection_fields[ointrecptnames]
omessageid	security_result.detection_fields[omessageid]
omsgid	security_result.detection_fields[omsgid]
oowner	security_result.detection_fields[oowner]
orulelabel	security_result.detection_fields[orulelabel]
osender	security_result.detection_fields[osender]
osharedchannel_hostname	security_result.detection_fields[osharedchannel_hostname]
otenant	security_result.detection_fields[otenant]
ouser	security_result.detection_fields[ouser]
any_incident	security_result.detection_fields[any_incident]
is_inbound	security_result.detection_fields[is_inbound]
policy	security_result.rule_labels[policy]
ruletype	security_result.rule_labels[ruletype]
rulelabel	security_result.rule_name
	security_result.severity	If the severity log field value is equal to High, then the security_result.severity UDM field is set to HIGH. Else, if the severity log field value is equal to Medium, then the security_result.severity UDM field is set to MEDIUM. Else, if the severity log field value is equal to Low, then the security_result.sevrity UDM field is set to LOW. Else, if the severity log field value is equal to Information, then the security_result.severity UDM field is set to INFORMATIONAL.
threatname	security_result.threat_name	If the threatname log field value is not empty and the dlpdictcount log field value is not equal to None, then the threatname log field is mapped to the security_result.threat_name UDM field.
filesource	target.file.full_path	If the filesource log field value is not empty, then the filesource log field is mapped to the target.file.full_path UDM field.
filepath	target.file.full_path	If the filesource log field value is not empty, then the filesource log field is mapped to the target.file.full_path UDM field. Else if the filepath log field value is not empty, then the filepath log field is mapped to the target.file.full_path UDM field.
lastmodtime	target.file.last_modification_time	If the lastmodtime log field value is not empty, then the lastmodtime log field is mapped to the target.file.last_modification_time UDM field.
file_msg_mod_time	target.file.last_modification_time	If the lastmodtime log field value is not empty, then the lastmodtime log field is mapped to the target.file.last_modification_time UDM field. Else if the file_msg_mod_time log field value is not empty, then the file_msg_mod_time log field is mapped to the target.file.fullpath UDM field.
filemd5	target.file.md5	If the filemd5 log field value is not equal to None and the filemd5 log field value matches the regular expression pattern ^[a-fA-F0-9]{32}$, then the filemd5 log field is mapped to the target.file.md5 UDM field. Else, if the attchcomponentmd5s log field value matches the regular expression pattern ^[a-fA-F0-9]{32}$, then the attchcomponentmd5s log field is mapped to the target.file.md5 UDM field.
filetypename	target.file.mime_type
filename	target.file.names
attchcomponentfilenames	target.file.names
sha	target.file.sha256
attchcomponentfilesizes	target.file.size	If the attchcomponentfilesizes log field value is not empty, then the attchcomponentfilesizes log field is mapped to the target.file.size UDM field.
filesize	target.file.size	If the attchcomponentfilesizes log field value is not empty, then the attchcomponentfilesizes log field is mapped to the target.file.size UDM field. Else if the filesize log field value is not empty, then the filesize log field is mapped to the target.file.size UDM field.
sharedchannel_hostname	target.hostname	If the hostname log field value is not empty, then the hostname log field is mapped to the target.hostname UDM field. Else if the sharedchannel_hostname log field value is not empty, then the sharedchannel_hostname log field is mapped to the target.hostname UDM field.
hostname	target.hostname	If the hostname log field value is not empty, then the hostname log field is mapped to the target.hostname UDM field.
datacentercity	target.location.city
datacentercountry	target.location.country_or_region
datacenter	target.location.name
bucketowner	target.resource.attribute.labels[bucketowner]
projectname	target.resource.attribute.labels[projectname]
bucketname	target.resource.name	If the bucketname log field value is not empty, then the bucketname log field is mapped to the target.resource.name UDM field.
objnames1	target.resource.name	If the objnames1 log field value is not empty, then the objnames1 log field is mapped to the target.resource.name UDM field.
objectname	target.resource.name	If the objectname log field value is not empty, then the objectname log field is mapped to the target.resource.name UDM field.
reponame	target.resource.name	If the reponame log field value is not empty, then the reponame log field is mapped to the target.resource.name UDM field.
object_name_1	target.resource.name	If the object_name_1 log field value is not empty, then the object_name_1 log field is mapped to the target.resource.name UDM field.
bucketid	target.resource.product_object_id
objtypename1	target.resource.resource_subtype	If the objtypename1 log field value is not empty, then the objtypename1 log field is mapped to the target.resource.resource_subtype UDM field.
objecttype	target.resource.resource_subtype	If the objecttype log field value is not empty, then the objecttype log field is mapped to the target.resource.resource_subtype UDM field.
object_type	target.resource.resource_subtype
	target.resource.resource_type	If the bucketname log field value is not empty, then the target.resource.resource_type UDM field is set to STORAGE_BUCKET. If the reponame log field value is not empty, then the target.resource.resource_type UDM field is set to REPOSITORY.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.