Coletar registros do Zscaler CASB

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de ofertas pré-disponibilidade geral dos Termos específicos do serviço de operações de segurança do Google. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google Security Operations e os Termos específicos do serviço do Google Security Operations.

Este documento explica como exportar registros do Zscaler CASB configurando um feed de operações de segurança do Google e como os campos de registro são mapeados para os campos do modelo de dados unificado (UDM, na sigla em inglês) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste no Zscaler CASB e no feed de webhook do Google SecOps configurado para enviar registros ao Google SecOps. Cada implantação do cliente pode ser diferente e mais complexa.

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de transferência. Salve o arquivo com segurança no sistema em que o BindPlane será instalado.

• Zscaler CASB: a plataforma de onde você coleta registros.

• Feed do Google SecOps: o feed do Google SecOps que busca registros do Zscaler CASB e grava registros no Google SecOps.

Instalar o agente do Bindplane

Instalação do Windows

Antes de começar

• Confira se você tem acesso ao console do Zscaler Internet Access. Para mais informações, consulte Ajuda do ZIA para acesso seguro à Internet e ao SaaS.
• Verifique se você está usando o Zscaler CASB 2024 ou mais recente.
• Verifique se todos os sistemas na arquitetura de implantação estão configurados com o fuso horário UTC.
• Verifique se você tem a chave de API necessária para concluir a configuração do feed no Google SecOps. Para mais informações, consulte Como configurar chaves de API.

Instalação do Linux

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, insira um nome para o feed (por exemplo, Zscaler CASB Logs).
4. Selecione Webhook como o Tipo de origem.
5. Selecione Zscaler CASB como o Tipo de registro.
6. Clique em Próxima.
7. Opcional: especifique valores para os seguintes parâmetros de entrada:
   1. Delimitador de divisão: o delimitador usado para separar as linhas de registro. Deixe em branco se nenhum delimitador for usado.
   2. Namespace do recurso: o namespace do recurso.
   3. Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.
8. Clique em Próxima.
9. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.
10. Clique em Generate Secret Key para gerar uma chave secreta para autenticar esse feed.

Configurar o CASB do Zscaler

Outros recursos de instalação

• Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para processar o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:

   • Localize o arquivo config.yaml. Normalmente, ele está no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Notepad).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: vmware_nsx
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • CHRONICLE_REGION: região em que a instância do Google SecOps está hospedada (por exemplo, US).
   • GOOGLE_PROJECT_NUMBER: número do projeto BYOP (encontrado em C4).
   • LOCATION: região do Google SecOps (por exemplo, US).
   • CUSTOMER_ID: ID de cliente do Google SecOps (obtido no C4).
   • FEED_ID: o ID do feed mostrado na interface do feed no novo webhook criado.

   URL da API de exemplo:

Reinicie o agente do Bindplane para aplicar as mudanças

• No Linux, para reiniciar o agente do Bindplane, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• No Windows, para reiniciar o agente do Bindplane, use o console Services ou digite o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar a Zscaler Cloud Web Security

1. Faça login no Admin Console do Zscaler Analytics.
2. Selecione Administração > Configurações > Serviço de streaming Nanolog (NSS).
3. Selecione Feeds do NSS.
4. Clique em Adicionar.

5. Na janela Adicionar feed de NSS que aparece, faça o seguinte:

   1. Nome do feed: insira o nome do feed.
   2. Tipo de NSS: selecione NSS para Web ou NSS para firewall, dependendo dos seus requisitos.
   3. Nome do NSS: selecione a máquina virtual (VM) do NSS que coleta registros da nuvem. Apenas uma VM do NSS pode ser mapeada para um feed.
   4. Status: selecione Ativado para ativar o feed.
   5. Endereço IP do SIEM: insira o endereço IP do servidor syslog/Bindplane.
   6. Porta TCP do SIEM: digite o número da porta do servidor syslog/Bindplane para comunicação TCP. O Zscaler oferece suporte apenas à conexão TCP.
   7. Tipo de registro: selecione Registro da Web ou Registros de firewall com base no tipo de NSS selecionado.
   8. Tipo de saída do feed: selecione Personalizado.
   9. Formato de saída do feed: especifique o registro da Web ou do firewall.
   10. Ofuscação de usuário: selecione Desativado para mostrar os nomes de usuário de login na saída. Para valores aleatórios, selecione Ativado.
   11. Fuso horário: selecione o fuso horário apropriado (o padrão é GMT).
   12. Registros duplicados: insira o número de minutos que o NSS leva para enviar os registros duplicados. Você pode selecionar o tempo com base nos seus requisitos.
   13. Filtros de transações: há vários parâmetros disponíveis com base nos quais é possível filtrar os registros enviados pela máquina virtual do NSS.

   Para mais informações sobre diferentes conjuntos de filtros, consulte a seção de documentos do NSS no portal de ajuda.

   Observação: não é recomendável configurar filtros.

6. Use o Policy Admin Console ou o Analytics Admin Console:

   1. Para usar o Policy Admin Console, clique em Concluído.
   2. Para usar o Admin Console do Google Analytics, clique em Salvar. Depois que a janela Adicionar feed de NSS for fechada, volte para a janela anterior. Os detalhes do feed adicionado vão aparecer na seção Configurar feeds.

7. Use o Policy Admin Console ou o Analytics Admin Console:

   1. Para usar o Policy Admin Console, faça o seguinte:
      • Na seção Configurar feeds, clique em Salvar.
      • Clique em Ativar agora. O status do resultado aparece em uma nova janela.
      • Clique em Concluído.
   2. Para usar o Admin Console do Google Analytics, clique em Ativar agora. O status do resultado aparece na parte de cima da janela.

Observação: não há controle de configuração sobre os registros que vêm da nuvem para a máquina virtual do NSS. Portanto, se a conectividade entre a máquina virtual do NSS e o firewall de nuvem do Zscaler estiver funcionando corretamente, os registros serão enviados automaticamente ao Google SecOps. Para mais informações sobre conectividade, consulte o. Seção do guia do administrador do NSS no portal de ajuda.

Configurar o feed de registros da Web e do firewall

No campo Formato de saída do feed, use os seguintes feeds:

• Se o coletor oferecer suporte ao formato personalizado, especifique o seguinte feed de registro da Web:

  |ZSCALER|DATE|%s{mon} %d{dd} %02d{hh}:%02d{mm}:%02d{ss}|NSSFEEDIP|%s{nsssvcip}|CLIENTINTIP|%s{cintip}|RECORDID|%d{recordid}|LOGINNAME|%s{login}|PROTOCOL|%s{proto}|URL|%s{url}|HOST|%s{host}|ACTION|%s{action}|REASON|%s{reason}|RISKSCORE|%d{riskscore}|APPNAME|%s{appname}|APPCLASS|%s{appclass}|REQSIZE|%d{reqsize}|RESPSIZE|%d{respsize}|CTIME|%d{ctime}|URLCLASS|%s{urlclass}|SUPERCAT|%s{urlsupercat}|URLCAT|%s{urlcat}|MALWARECAT|%s{malwarecat}|MALWARECLASS|%s{malwareclass}|THREATNAME|%s{threatname}|FILETYPE|%s{filetype}|FILECLASS|%s{fileclass}|DLPENGINE|%s{dlpeng}|DLPDICT|%s{dlpdict}|BWTHROTTLE|%s{bwthrottle}|LOCATION|%s{location}|DEPARTMENT|%s{dept}|CLIENTIP|%s{cip}|DESTINATIONIP|%s{sip}|REQMETHOD|%s{reqmethod}|RESPCODE|%s{respcode}|USERAGENT|%s{ua}|REFERER|%s{referer}|MD5HASH|%s{bamd5}|DLPRULENAME|%s{dlprulename}|DLPMD5|%s{dlpmd5}|DLPIDENTIFIER|%d{dlpidentifier}|DLPDICTHITCOUNT|%s{dlpdicthitcount}|\n
          ```
  

• Se o coletor oferecer suporte à assinatura do feed de firewall, especifique o seguinte feed de firewall:

  |ZSCALERFIREWALL|DATE|%s{mon}%d{dd} %02d{hh}:%02d{mm}:%02d{ss}|CLIENTIP|%s{csip}|RECORDID|%d{recordid}|LOGINNAME|%s{login}|PROTOCOL|%s{ipproto}|ACTION|%s{action}|DESTINATIONIP|%s{cdip}|SOURCEPORT|%d{csport}|DESTINATIONPORT|%d{cdport}|CLIENTTUNIP|%s{tsip}|CLIENTTUNPORT|%d{tsport}|LOCATION|%s{location}|DEPARTMENT|%s{dept}|DESTINATIONCOUNTRY|%s{destcountry}|INCOMINGBYTES|%ld{inbytes}|NETWORKAPP|%s{nwapp}|NETWORKSVC|%s{nwsvc}|RULELABEL|%s{rulelabel}|NATTING|%s{dnat}|SESSIONDURATION|%d{duration}|AGGREGATEDSESSION|%d{numsessions}|AVERAGEDURATION|%d{avgduration}|TUNNELTYPE|%s{ttype}|SERVERDESTPORT|%d{sdport}|SERVERSOURCEIP|%s{ssip}|SERVERSOURCEPORT|%d{ssport}|IPCAT|%s{ipcat}|\n
  

  Observação: não altere a ordem ou os valores-chave dos campos listados nas seções de registro da Web e de feed do firewall.
  1. Selecione o fuso horário para o campo Time no arquivo de saída na lista Timezone. Por padrão, o fuso horário é definido como o da sua organização.
  2. Revise as configurações definidas.
  3. Clique em Salvar para testar a conectividade. Se a conexão for bem-sucedida, uma marca de seleção verde acompanhada da mensagem Test Connectivity Successful: OK (200) vai aparecer.

Para mais informações sobre os feeds do Google SecOps, consulte a documentação sobre feeds do Google SecOps. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feeds por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google SecOps.

Tabela de mapeamento do UDM

Referência de mapeamento de campo: ZSCALER_CASB

A tabela a seguir lista os campos de registro do tipo ZSCALER_CASB e os campos correspondentes do UDM.

Log field	UDM mapping	Logic
sourcetype	security_result.detection_fields[sourcetype]
objnames2	about.resource.name
object_name_2	about.resource.name
objtypename2	about.resource.resource_subtype
externalownername	additional.fields[externalownername]
act_cnt	additional.fields[act_cnt]
attchcomponentfiletypes	additional.fields[attchcomponentfiletypes]
channel_name	additional.fields[channel_name]
collabscope	additional.fields[collabscope]
day	additional.fields[day]
dd	additional.fields[dd]
dlpdictcount	security_result.detection_fields[dlpdictcount]	If the dlpdictcount log field value is not empty and the dlpdictcount log field value is not equal to None, then the dlpdictcount log field is mapped to the security_result.detection_fields.dlpdictcount UDM field.
dlpenginenames	security_result.detection_fields[dlpenginenames]	If the dlpenginenames log field value is not empty and the dlpenginenames log field value is not equal to None, then the dlpenginenames log field is mapped to the security_result.detection_fields.dlpenginenames UDM field.
epochlastmodtime	additional.fields[epochlastmodtime]
extcollabnames	additional.fields[extcollabnames]
extownername	additional.fields[extownername]
file_msg_id	additional.fields[file_msg_id]
fileid	additional.fields[fileid]
filescantimems	additional.fields[filescantimems]
filetypecategory	additional.fields[filetypecategory]
hh	additional.fields[hh]
messageid	additional.fields[messageid]
mm	additional.fields[mm]
mon	additional.fields[mon]
msgsize	additional.fields[msgsize]
mth	additional.fields[mth]
num_ext_recpts	additional.fields[num_ext_recpts]
num_int_recpts	additional.fields[num_int_recpts]
numcollab	additional.fields[numcollab]
rtime	additional.fields[rtime]
ss	additional.fields[ss]
suburl	additional.fields[suburl]
tenant	additional.fields[tenant]
tz	additional.fields[tz]
upload_doctypename	additional.fields[upload_doctypename]
yyyy	additional.fields[yyyy]
collabnames	additional.fields[collabnames]
companyid	additional.fields[companyid]
component	additional.fields[component]
intcollabnames	additional.fields[intcollabnames]	If intcollabnames log field value does not match the regular expression pattern None then, for index in intcollabnames, the index is mapped to the additional.fields.value.list_value UDM field.
internal_collabnames	additional.fields[internal_collabnames]
external_collabnames	additional.fields[externalcollabnames]
num_external_collab	additional.fields[num_external_collab]
num_internal_collab	additional.fields[num_internal_collab]
repochtime	additional.fields[repochtime]
eventtime	metadata.event_timestamp	If the eventtime log field value is not empty, then the eventtime log field is mapped to the metadata.event_timestamp UDM field.
epochtime	metadata.event_timestamp	If the epochtime log field value is not empty, then the epochtime log field is mapped to the metadata.event_timestamp UDM field.
time	metadata.event_timestamp	If the time log field value is not empty, then the time log field is mapped to the metadata.event_timestamp UDM field.
datetime	metadata.event_timestamp	If the datetime log field value is not empty, then the datetime log field is mapped to the metadata.event_timestamp UDM field.
	metadata.event_type	The metadata.event_type UDM field is set to USER_UNCATEGORIZED.
act_type_name	metadata.product_event_type
recordid	metadata.product_log_id
	metadata.product_name	The metadata.product_name UDM field is set to CASB.
	metadata.vendor_name	The metadata.vendor_name UDM field is set to Zscaler.
sender	network.email.from	If the sender log field value matches the regular expression pattern (^.*@.*$), then the sender log field is mapped to the network.email.from UDM field.
extrecptnames	network.email.to	For index in extrecptnames, the index is mapped to the network.email.to UDM field.
internal_recptnames	network.email.to	For index in internal_recptnames, the index is mapped to the network.email.to UDM field.
external_recptnames	network.email.to	For index in external_recptnames, the index is mapped to the network.email.to UDM field.
intrecptnames	network.email.to	For index in intrecptnames, the index is mapped to the network.email.to UDM field.
applicationname	principal.application	If the applicationname log field value is not empty, then the applicationname log field is mapped to the principal.application UDM field. Else, the appname log field is mapped to the principal.application UDM field.
src_ip	principal.ip
fullurl	principal.url	If the fullurl log field is not empty and the fullurl log field value is not equal to Unknown URL, then the fullurl log field is mapped to the principal.url UDM field.
is_admin_act	principal.user.attribute.labels[is_admin_act]
	principal.user.attribute.roles.type	If the is_admin_act log field value is equal to 1, then the principal.user.attribute.roles.type UDM field is set to ADMINISTRATOR.
company	principal.user.company_name
department	principal.user.department
dept	principal.user.department
user	principal.user.email_addresses	If the user log field value matches the regular expression pattern (^.*@.*$), then the user log field is mapped to the principal.user.email_addresses UDM field.
username	principal.user.email_addresses	If the username log field value matches the regular expression pattern (^.*@.*$), then the username log field is mapped to the principal.user.email_addresses UDM field.
owner	principal.user.email_addresses	If the owner log field value matches the regular expression pattern (^.*@.*$), then the owner log field is mapped to the principal.user.email_addresses UDM field.
login	principal.user.email_addresses	If the login log field value matches the regular expression pattern (^.*@.*$), then the login log field is mapped to the principal.user.email_addresses UDM field.
login	principal.user.userid	If the login log field value does not match the regular expression pattern ^.+@.+$, then the login log field is mapped to the principal.user.userid UDM field.
malware	security_result.associations.name
	security_result.associations.type	If the malware log field value is not empty, then the security_result.associations.type UDM field is set to MALWARE.
dlpdictnames	security_result.detection_fields[dlpdictnames]
dlpidentifier	security_result.detection_fields[dlpidentifier]
filedownloadtimems	additional.fields[filedownloadtimems]
malwareclass	security_result.detection_fields[malwareclass]
msgid	security_result.detection_fields[msgid]
oattchcomponentfilenames	security_result.detection_fields[oattchcomponentfilenames]
obucketname	security_result.detection_fields[obucketname]
obucketowner	security_result.detection_fields[obucketowner]
ochannel_name	security_result.detection_fields[ochannel_name]
ocollabnames	security_result.detection_fields[ocollabnames]
odlpdictnames	security_result.detection_fields[odlpdictnames]
odlpenginenames	security_result.detection_fields[odlpenginenames]
oextcollabnames	security_result.detection_fields[oextcollabnames]
oexternal_collabnames	security_result.detection_fields[oexternal_collabnames]
oexternal_recptnames	security_result.detection_fields[oexternal_recptnames]
oexternalownername	security_result.detection_fields[oexternalownername]
oextownername	security_result.detection_fields[oextownername]
oextrecptnames	security_result.detection_fields[oextrecptnames]
ofile_msg_id	security_result.detection_fields[ofile_msg_id]
ofileid	security_result.detection_fields[ofileid]
ofullurl	security_result.detection_fields[ofullurl]
ohostname	security_result.detection_fields[ohostname]
ointcollabnames	security_result.detection_fields[ointcollabnames]
ointernal_collabnames	security_result.detection_fields[ointernal_collabnames]
ointernal_recptnames	security_result.detection_fields[ointernal_recptnames]
ointrecptnames	security_result.detection_fields[ointrecptnames]
omessageid	security_result.detection_fields[omessageid]
omsgid	security_result.detection_fields[omsgid]
oowner	security_result.detection_fields[oowner]
orulelabel	security_result.detection_fields[orulelabel]
osender	security_result.detection_fields[osender]
osharedchannel_hostname	security_result.detection_fields[osharedchannel_hostname]
otenant	security_result.detection_fields[otenant]
ouser	security_result.detection_fields[ouser]
any_incident	security_result.detection_fields[any_incident]
is_inbound	security_result.detection_fields[is_inbound]
policy	security_result.rule_labels[policy]
ruletype	security_result.rule_labels[ruletype]
rulelabel	security_result.rule_name
	security_result.severity	If the severity log field value is equal to High, then the security_result.severity UDM field is set to HIGH. Else, if the severity log field value is equal to Medium, then the security_result.severity UDM field is set to MEDIUM. Else, if the severity log field value is equal to Low, then the security_result.sevrity UDM field is set to LOW. Else, if the severity log field value is equal to Information, then the security_result.severity UDM field is set to INFORMATIONAL.
threatname	security_result.threat_name	If the threatname log field value is not empty and the dlpdictcount log field value is not equal to None, then the threatname log field is mapped to the security_result.threat_name UDM field.
filesource	target.file.full_path	If the filesource log field value is not empty, then the filesource log field is mapped to the target.file.full_path UDM field.
filepath	target.file.full_path	If the filesource log field value is not empty, then the filesource log field is mapped to the target.file.full_path UDM field. Else if the filepath log field value is not empty, then the filepath log field is mapped to the target.file.full_path UDM field.
lastmodtime	target.file.last_modification_time	If the lastmodtime log field value is not empty, then the lastmodtime log field is mapped to the target.file.last_modification_time UDM field.
file_msg_mod_time	target.file.last_modification_time	If the lastmodtime log field value is not empty, then the lastmodtime log field is mapped to the target.file.last_modification_time UDM field. Else if the file_msg_mod_time log field value is not empty, then the file_msg_mod_time log field is mapped to the target.file.fullpath UDM field.
filemd5	target.file.md5	If the filemd5 log field value is not equal to None and the filemd5 log field value matches the regular expression pattern ^[a-fA-F0-9]{32}$, then the filemd5 log field is mapped to the target.file.md5 UDM field. Else, if the attchcomponentmd5s log field value matches the regular expression pattern ^[a-fA-F0-9]{32}$, then the attchcomponentmd5s log field is mapped to the target.file.md5 UDM field.
filetypename	target.file.mime_type
filename	target.file.names
attchcomponentfilenames	target.file.names
sha	target.file.sha256
attchcomponentfilesizes	target.file.size	If the attchcomponentfilesizes log field value is not empty, then the attchcomponentfilesizes log field is mapped to the target.file.size UDM field.
filesize	target.file.size	If the attchcomponentfilesizes log field value is not empty, then the attchcomponentfilesizes log field is mapped to the target.file.size UDM field. Else if the filesize log field value is not empty, then the filesize log field is mapped to the target.file.size UDM field.
sharedchannel_hostname	target.hostname	If the hostname log field value is not empty, then the hostname log field is mapped to the target.hostname UDM field. Else if the sharedchannel_hostname log field value is not empty, then the sharedchannel_hostname log field is mapped to the target.hostname UDM field.
hostname	target.hostname	If the hostname log field value is not empty, then the hostname log field is mapped to the target.hostname UDM field.
datacentercity	target.location.city
datacentercountry	target.location.country_or_region
datacenter	target.location.name
bucketowner	target.resource.attribute.labels[bucketowner]
projectname	target.resource.attribute.labels[projectname]
bucketname	target.resource.name	If the bucketname log field value is not empty, then the bucketname log field is mapped to the target.resource.name UDM field.
objnames1	target.resource.name	If the objnames1 log field value is not empty, then the objnames1 log field is mapped to the target.resource.name UDM field.
objectname	target.resource.name	If the objectname log field value is not empty, then the objectname log field is mapped to the target.resource.name UDM field.
reponame	target.resource.name	If the reponame log field value is not empty, then the reponame log field is mapped to the target.resource.name UDM field.
object_name_1	target.resource.name	If the object_name_1 log field value is not empty, then the object_name_1 log field is mapped to the target.resource.name UDM field.
bucketid	target.resource.product_object_id
objtypename1	target.resource.resource_subtype	If the objtypename1 log field value is not empty, then the objtypename1 log field is mapped to the target.resource.resource_subtype UDM field.
objecttype	target.resource.resource_subtype	If the objecttype log field value is not empty, then the objecttype log field is mapped to the target.resource.resource_subtype UDM field.
object_type	target.resource.resource_subtype
	target.resource.resource_type	If the bucketname log field value is not empty, then the target.resource.resource_type UDM field is set to STORAGE_BUCKET. If the reponame log field value is not empty, then the target.resource.resource_type UDM field is set to REPOSITORY.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.