收集 Zscaler CASB 記錄

本文說明如何設定 Google Security Operations 資訊提供，並將記錄檔欄位對應至 Unified Data Model (UDM)，藉此匯出 Zscaler CASB 記錄檔。

詳情請參閱「資料擷取至 Google SecOps 總覽」。

一般部署作業包含 Zscaler CASB 和 Google SecOps Webhook 饋給，後者會設定為將記錄傳送至 Google SecOps。不過，部署詳細資料可能因客戶而異，也可能更為複雜。

部署作業包含下列元件：

• Zscaler CASB：您從中收集記錄的平台。

• Google SecOps 資訊提供：從 Zscaler CASB 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 資訊提供。

• Google SecOps：保留及分析記錄。

擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文特別適用於與 ZSCALER_CASB 擷取標籤相關聯的剖析器。

事前準備

• 請確認您有權存取 Zscaler Internet Access 控制台。詳情請參閱「Secure Internet and SaaS Access ZIA Help」。
• 確認您使用的是 Zscaler CASB 1.0 或 2.0 版。
• 請確認部署架構中的所有系統都已設定為世界標準時間時區。
• 請確認您擁有在 Google SecOps 中完成動態饋給設定所需的 API 金鑰。詳情請參閱「設定 API 金鑰」。

設定動態饋給

如要設定這類記錄，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「Zscaler」Zscaler動態饋給套件。
4. 找出所需記錄類型，然後按一下「新增動態消息」。

5. 輸入下列輸入參數的值：

   • 來源類型：Webhook (建議)
   • 分割分隔符號：用於分隔記錄行的字元。如未使用分隔符號，請留空。

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

6. 按一下「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

設定 Zscaler CASB

1. 在 Zscaler Internet Access 控制台中，依序點選「Administration」(管理) >「Nanolog Streaming Service」(Nanolog 串流服務) >「Cloud NSS Feeds」(Cloud NSS 資訊提供) >「Add Cloud NSS Feed」(新增 Cloud NSS 資訊提供)。
2. 在「新增 Cloud NSS 動態饋給」視窗中，輸入詳細資料。
3. 在「動態饋給名稱」欄位中，輸入動態饋給的專屬名稱。
4. 在「NSS Type」中選取「Zscaler for Web」。
5. 在「狀態」清單中選取狀態，啟用或停用 NSS 動態消息。
6. 除非您需要因授權或其他限制而節流輸出串流，否則請將「SIEM 速率」設為「無限制」。
7. 在「SIEM Type」(SIEM 類型) 清單中，選取「Other」(其他)。
8. 在「OAuth 2.0 Authentication」(OAuth 2.0 驗證) 清單中，選取「Disabled」(已停用)。
9. 在「Max Batch Size」(批次大小上限) 欄位中，輸入 SIEM 最佳做法的個別 HTTP 要求酬載大小上限，例如 512 KB。

10. 在「API URL」欄位中，輸入 Chronicle API 端點的 HTTPS 網址，格式如下：

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION：Google SecOps 執行個體的代管區域。例如：US。
    • GOOGLE_PROJECT_NUMBER： Google Cloud 專案編號。
    • LOCATION：Chronicle (Google SecOps) 區域 (與 CHRONICLE_REGION 相同)，例如 US。
    • CUSTOMER_ID：Chronicle 客戶 ID。
    • FEED_ID：新建立的 Webhook 摘要 ID (顯示在摘要 UI 中)。

    • API 網址範例：

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
      

11. 按一下「新增 HTTP 標頭」，然後新增 HTTP 標頭，格式如下：

    • Header 1：Key1： X-goog-api-key 和 Value1：在 Google Cloud的 API 憑證中產生的 API 金鑰。
    • Header 2：Key2： X-Webhook-Access-Key 和 Value2：在 Webhook 的「SECRET KEY」中產生的 API 密鑰。

12. 在「記錄類型」清單中，選取「SaaS 安全性」或「SaaS 安全性活動」。

13. 在「動態饋給輸出類型」清單中，選取「JSON」。

14. 停用 JSON 陣列標記。

15. 將「動態饋給逸出字元」設為 , \ "。

16. 在「動態饋給輸出類型」清單中，選取「自訂」，即可在「動態饋給輸出格式」中新增欄位。

17. 複製並貼上「動態饋給輸出格式」，然後視需要新增欄位。請確認鍵名與實際欄位名稱相符。

18. 以下是預設的動態饋給輸出格式：

    • SaaS 安全性

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"datetime":"%s{time}","recordid":"%d{recordid}","company":"%s{company}","tenant":"%s{tenant}","login":"%s{user}","dept":"%s{department}","applicationname":"%s{applicationname}","filename":"%s{filename}","filesource":"%s{filesource}","filemd5":"%s{filemd5}","threatname":"%s{threatname}","policy":"%s{policy}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpdictcount}","dlpenginenames":"%s{dlpenginenames}","fullurl":"%s{fullurl}","lastmodtime":"%s{lastmodtime}","filescantimems":"%d{filescantimems}","filedownloadtimems":"%d{filedownloadtimems}"\}\}
    

    • 軟體即服務 (SaaS) 安全性活動

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"login":"%s{username}","tenant":"%s{tenant}","object_type":"%d{objtype1}","applicationname":"%s{appname}","object_name_1":"%s{objnames1}","object_name_2":"%s{objnames2}"\}\}
    

19. 從「時區」清單中，選取輸出檔案中「時間」欄位的時區。預設時區為貴機構的時區。

20. 查看已設定的設定。

21. 按一下「儲存」，測試連線。如果連線成功，畫面會顯示綠色勾號，以及「Test Connectivity Successful: OK (200)」訊息。