Zscaler Internet Access 로그 수집

다음에서 지원:

이 문서에서는 Google Security Operations 피드를 설정하여 Zscaler Internet Access 로그를 내보내는 방법과 로그 필드가 Google SecOps 통합 데이터 모델 (UDM) 필드에 매핑되는 방식을 설명합니다.

자세한 내용은 Google SecOps에 데이터 수집 개요를 참고하세요.

일반적인 배포는 Google SecOps에 로그를 전송하도록 구성된 Zscaler Internet Access 및 Google SecOps Webhook 피드로 구성됩니다. 고객 배포마다 다를 수 있으며 더 복잡할 수도 있습니다.

배포에는 다음 구성요소가 포함됩니다.

  • Zscaler Internet Access: 로그를 수집하는 플랫폼입니다.

  • Google SecOps 피드: Zscaler Internet Access에서 로그를 가져오고 로그를 Google SecOps에 작성하는 Google SecOps 피드입니다.

  • Google SecOps: 로그를 보관하고 분석합니다.

수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 ZSCALER_INTERNET_ACCESS 수집 라벨이 있는 파서에 적용됩니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Zscaler Internet Access 콘솔에 대한 액세스 권한이 있어야 합니다. 자세한 내용은 보안 인터넷 및 SaaS 액세스 ZIA 도움말을 참고하세요.
  • Zscaler Internet Access 2024 이상
  • 배포 아키텍처의 모든 시스템은 UTC 시간대로 구성됩니다.
  • Google Security Operations에서 피드 설정을 완료하는 데 필요한 API 키입니다. 자세한 내용은 API 키 설정을 참고하세요.

피드 설정

이 로그 유형을 구성하려면 다음 단계를 따르세요.

  1. SIEM 설정> 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. Zscaler 피드 팩을 클릭합니다.
  4. 필요한 로그 유형을 찾아 새 피드 추가를 클릭합니다.

  5. 다음 입력 매개변수의 값을 입력합니다.

    • 소스 유형: 웹훅 (권장)
    • 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 문자입니다. 구분 기호를 사용하지 않는 경우 비워 둡니다.

    고급 옵션

    • 피드 이름: 피드를 식별하는 미리 채워진 값입니다.
    • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
    • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

  6. 피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

Zscaler Internet Access 설정

  1. Zscaler Internet Access 콘솔에서 Administration > Nanolog Streaming Service > Cloud NSS Feeds를 클릭한 다음 Add Cloud NSS Feed를 클릭합니다.
  2. Add Cloud NSS Feed 창이 표시됩니다. 클라우드 NSS 피드 추가 창에 세부정보를 입력합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다.
  4. NSS 유형에서 웹용 NSS를 선택합니다.
  5. 상태 목록에서 상태를 선택하여 NSS 피드를 활성화하거나 비활성화합니다.
  6. SIEM 비율 드롭다운의 값을 무제한으로 유지합니다. 라이선스 또는 기타 제약 조건으로 인해 출력 스트림을 억제하려면 값을 변경합니다.
  7. SIEM 유형 목록에서 기타를 선택합니다.
  8. OAuth 2.0 인증 목록에서 사용 중지됨을 선택합니다.
  9. 최대 배치 크기에 SIEM의 권장사항에 따른 개별 HTTP 요청 페이로드의 크기 제한을 입력합니다. 예: 512KB

  10. 다음 형식으로 Chronicle API 엔드포인트의 HTTPS URL을 API URL에 입력합니다.

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    • CHRONICLE_REGION: Chronicle 인스턴스가 호스팅되는 리전입니다. 예: 미국
    • GOOGLE_PROJECT_NUMBER: BYOP 프로젝트 번호입니다. C4에서 이를 가져옵니다.
    • LOCATION: Chronicle 리전입니다. 예: 미국
    • CUSTOMER_ID: Chronicle 고객 ID입니다. C4에서 가져옵니다.
    • FEED_ID: 새로 생성된 웹훅의 피드 UI에 표시되는 피드 ID

    • 샘플 API URL:

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs

  11. HTTP 헤더 추가를 클릭한 다음 다음 형식으로 HTTP 헤더를 추가합니다.

    • Header 1: Key1: X-goog-api-key 및 Value1: Google Cloud BYOP의 API 사용자 인증 정보에서 생성된 API 키
    • Header 2: Key2: X-Webhook-Access-Key 및 Value2: 웹훅의 'SECRET KEY'에서 생성된 API 보안 키입니다.

  12. 로그 유형 목록에서 관리자 감사 로그를 선택합니다.

  13. 피드 출력 유형 목록에서 JSON을 선택합니다.

  14. 피드 이스케이프 문자를 , \ "로 설정합니다.

  15. 피드 출력 형식에 새 필드를 추가하려면 피드 출력 유형 목록에서 맞춤을 선택합니다.

  16. 피드 출력 형식을 복사하여 붙여넣고 새 필드를 추가합니다. 키 이름이 실제 필드 이름과 일치하는지 확인합니다.

  17. 다음은 기본 피드 출력 형식입니다.

      \{ "sourcetype" : "zscalernss-audit", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","action":"%s{action}","category":"%s{category}","subcategory":"%s{subcategory}","resource":"%s{resource}","interface":"%s{interface}","adminid":"%s{adminid}","clientip":"%s{clientip}","result":"%s{result}","errorcode":"%s{errorcode}","auditlogtype":"%s{auditlogtype}","preaction":%s{preaction},"postaction":%s{postaction}\}\}

  18. 시간대 목록에서 출력 파일의 시간 필드에 사용할 시간대를 선택합니다. 기본적으로 시간대는 조직의 시간대로 설정됩니다.

  19. 구성된 설정을 검토합니다.

  20. 저장을 클릭하여 연결을 테스트합니다. 연결에 성공하면 연결 테스트 성공: OK (200)이라는 메시지와 함께 녹색 체크표시가 표시됩니다.

Google SecOps 피드에 대한 자세한 내용은 Google Security Operations 피드 문서를 참고하세요. 각 피드 유형의 요구사항은 유형별 피드 구성을 참조하세요.

피드를 만들 때 문제가 발생하면 Google Security Operations 지원팀에 문의하세요.

지원되는 Zscaler Internet Access 로그 형식

Zscaler Internet Access 파서는 JSON 형식의 로그를 지원합니다.

지원되는 Zscaler Internet Access 샘플 로그

  • JSON

    {
  "sourcetype": "zscalernss-audit",
  "event": {
    "time": "Wed May 29 17:45:03 2024",
    "recordid": "6095",
    "action": "UPDATE",
    "category": "ACCESS_CONTROL_RESOURCE",
    "subcategory": "URL_CATEGORY",
    "resource": "Custom SSL Bypass",
    "interface": "UI",
    "adminid": "abc@xyz.com",
    "clientip": "198.51.100.1",
    "result": "SUCCESS",
    "errorcode": "None",
    "auditlogtype": "ZIA",
    "preaction": "{"id":{"val":130%2c"mask":255%2c"parent":"CUSTOM_SUPERCATEGORY"%2c"deprecated":false%2c"backendName":"custom_03"%2c"name":"CUSTOM_03"%2c"userConfiguredName":""}%2c"configuredName":"Custom%20SSL%20Bypass"%2c"superCategory":"USER_DEFINED"%2c"keywords":[]%2c"keywordsRetainingParentCategory":[]%2c"customUrlsToAdd":[]%2c"customUrlsToDelete":[]%2c"urlsRetainingParentCategoryToAdd":[]%2c"urlsRetainingParentCategoryToDelete":[]%2c"customIpRangesToAdd":[]%2c"customIpRangesToDelete":[]%2c"ipRangesRetainingParentCategoryToAdd":[]%2c"ipRangesRetainingParentCategoryToDelete":[]%2c"customCategory":true%2c"editable":true%2c"description":"https: //help.zscaler.com/zia/url-format-guidelines"%2c"type":"URL_CATEGORY"%2c"customUrlsCount":1%2c"urlsRetainingParentCategoryCount":60%2c"customIpRangesCount":0%2c"ipRangesRetainingParentCategoryCount":0%2c"urlsToAdd":[]%2c"urlsToDelete":[]%2c"dbCategorizedUrlsToAdd":[]%2c"dbCategorizedUrlsToDelete":[]}","postaction":"{"id":{"val":130%2c"mask":255%2c"parent":"CUSTOM_SUPERCATEGORY"%2c"deprecated":false%2c"backendName":"custom_03"%2c"name":"CUSTOM_03"%2c"userConfiguredName":""}%2c"configuredName":"Custom%20SSL%20Bypass"%2c"superCategory":"USER_DEFINED"%2c"customUrlsToAdd":[]%2c"customUrlsToDelete":[]%2c"urlsRetainingParentCategoryToAdd":["webcast.temoinproduction.com"]%2c"urlsRetainingParentCategoryToDelete":[]%2c"customIpRangesToAdd":[]%2c"customIpRangesToDelete":[]%2c"ipRangesRetainingParentCategoryToAdd":[]%2c"ipRangesRetainingParentCategoryToDelete":[]%2c"customCategory":true%2c"editable":true%2c"description":"https://help.zscaler.com/zia/url-format-guidelines"%2c"type":"URL_CATEGORY"%2c"customUrlsCount":1%2c"urlsRetainingParentCategoryCount":61%2c"customIpRangesCount":0%2c"ipRangesRetainingParentCategoryCount":0%2c"urlsToAdd":[]%2c"urlsToDelete":[]%2c"dbCategorizedUrlsToAdd":[]%2c"dbCategorizedUrlsToDelete":[]}"}
}

필드 매핑 참조

다음 표에는 ZSCALER_INTERNET_ACCESS 로그 유형의 로그 필드와 해당 UDM 필드가 나와 있습니다.

Log field UDM mapping Logic
metadata.event_type The metadata.event_type UDM field is set to STATUS_UPDATE.
metadata.product_name The metadata.product_name UDM field is set to Admin Audit.
metadata.vendor_name The metadata.vendor_name UDM field is set to Zscaler.
sourcetype additional.fields[sourcetype]
time metadata.event_timestamp
recordid metadata.product_log_id
action security_result.action_details
category target.security_result.category_details
subcategory target.security_result.category_details
resource target.resource.name
interface principal.resource.attribute.labels[interface]
adminid principal.user.userid
clientip principal.ip
security_result.action If the event.result log field value is equal to SUCCESS, then the security_result.action UDM field is set to ALLOW.

Else, if the event.result log field value is equal to FAILURE, then the security_result.action UDM field is set to BLOCK.
errorcode security_result.summary
auditlogtype additional.fields[auditlogtype]
preaction principal.resource.attribute.labels Iterate through preaction object: The preaction object key is mapped to the principal.resource.attribute.labels.key UDM field and preaction object value is mapped to the principal.resource.attribute.labels.value UDM field.
postaction principal.resource.attribute.labels Iterate through postaction object: The postaction object key is mapped to the principal.resource.attribute.labels.key UDM field and postaction object value is mapped to the principal.resource.attribute.labels.value UDM field.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.