收集 Zscaler Email DLP 日志

本文档介绍了如何通过设置 Google Security Operations Feed 导出 Zscaler Email DLP 日志，以及日志字段如何映射到 Google SecOps 统一数据模型 (UDM) 字段。

如需了解详情，请参阅 Google SecOps 数据注入概览。

典型的部署包括 Zscaler Email DLP 和配置为向 Google SecOps 发送日志的 Google SecOps Webhook Feed。每个客户部署可能有所不同，并且可能更复杂。

部署包含以下组件：

• Zscaler Email DLP：您从中收集日志的平台。

• Google SecOps Feed ：从 Zscaler Email DLP 提取日志并将日志写入 Google SecOps 的 Google SecOps Feed。

• Google SecOps：保留和分析日志。

注入标签标识哪个解析器将原始日志数据标准化为结构化 UDM 格式。本文档中的信息适用于具有 ZSCALER_EMAIL_DLP 注入标签的解析器。

准备工作

请确保满足以下前提条件：

• 访问 Zscaler Internet Access 控制台的权限。如需了解详情，请参阅 Secure Internet and SaaS Access ZIA Help。
• Zscaler Email DLP 2026 或更高版本
• 部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。
• 在 Google Security Operations 中完成 Feed 设置所需的 API 密钥。如需了解详情，请参阅设置 API 密钥。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需为此产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需配置单个 Feed，请按以下步骤操作：

1. 前往 SIEM 设置 > Feed。
2. 点击 Add New Feed （添加新 Feed）。
3. 在下一页上，点击 Configure a single feed （配置单个 Feed）。
4. 在 Feed 名称 字段中，输入 Feed 的名称；例如 Zscaler Email DLP 日志 。
5. 选择 Webhook 作为来源类型 。
6. 选择 Zscaler Email DLP 作为日志类型 。
7. 点击下一步 。
8. 可选：输入以下输入参数的值：
   1. 拆分定界符：用于分隔日志行的定界符。如果未使用定界符，请留空。
   2. 资产命名空间：资产命名空间。
   3. 注入标签：要应用于此 Feed 中的事件的标签。
9. 点击下一步 。
10. 检查新的 Feed 配置，然后点击提交 。
11. 点击 Generate Secret Key （生成密钥），以生成用于对此 Feed 进行身份验证的密钥。

通过内容中心设置 Feed

为以下字段指定值：

• 拆分定界符：用于分隔日志行的定界符，例如 \n。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资产命名空间：资产命名空间。
• 注入标签：应用于此 Feed 中的事件的标签。
• 点击下一步 。
• 在最终确定 屏幕中检查 Feed 配置，然后点击提交 。
• 点击 Generate Secret Key （生成密钥），以生成用于对此 Feed 进行身份验证的密钥。

设置 Zscaler Email DLP

1. 在 Zscaler Internet Access 控制台中，依次点击 Administration > Nanolog Streaming Service > Cloud NSS Feeds ，然后点击 Add Cloud NSS Feed 。
2. 系统会显示 Add Cloud NSS Feed （添加 Cloud NSS Feed）窗口。在 Add Cloud NSS Feed （添加 Cloud NSS Feed）窗口中，输入详细信息。
3. 在 Feed 名称 字段中，输入 Feed 的名称。
4. 在 NSS 类型 中选择 NSS for Web 。
5. 从 Status （状态）列表中选择状态，以激活或停用 NSS Feed。
6. 将 SIEM 速率 下拉列表中的值保留为 Unlimited （无限制）。如需因许可或其他限制而禁止输出流，请更改该值。
7. 在 SIEM 类型 列表中选择 Other （其他）。
8. 在 OAuth 2.0 身份验证 列表中选择 Disabled （已停用）。
9. 在 Max Batch Size （最大批次大小）中，输入单个 HTTP 请求载荷的大小限制。将此值配置为 512 KB，因为这是获得最佳 SIEM 注入效果的推荐最佳实践。（注意：较小的批次大小有时可以减少延迟时间，但代价是 HTTP 请求会更频繁）。

10. 按照以下格式在“API 网址”中输入 Chronicle API 端点的 HTTPS 网址：

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION：Chronicle 实例托管的区域。例如，美国。
    • GOOGLE_PROJECT_NUMBER： Google Cloud 项目编号。
    • LOCATION：Chronicle 区域。例如，美国。
    • CUSTOMER_ID：Chronicle 客户 ID。
    • FEED_ID：在新创建的 Webhook 的 Feed 界面上显示的 Feed ID
    • API 网址示例：

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. 点击 Add HTTP Header（添加 HTTP 标头），然后按照以下格式添加 HTTP 标头：

    • Header 1：Key1: X-goog-api-key 和 Value1: 在“API 凭据”中生成的 API 密钥。 Google Cloud
    • Header 2：Key2 ：X-Webhook-Access-Key 和 Value2 ：在 Webhook 的“密钥”中生成的 API 密钥。

12. 在 Log Types （日志类型）列表中选择 Email DLP （电子邮件 DLP）。

13. 在 Feed Output Type （Feed 输出类型）列表中选择 JSON 。

14. 停用 JSON Array Notation （JSON 数组表示法）。

15. 将 Feed Escape Character （Feed 转义字符）设置为 , \ "。

16. 如需向 Feed Output Format （Feed 输出格式）添加新字段，请在 Feed Output Type （Feed 输出类型）列表中选择 Custom （自定义）。

17. 复制并粘贴 Feed Output Format （Feed 输出格式），然后添加新字段。确保键名称与实际字段名称一致。

18. 以下是默认的 Feed Output Format（Feed 输出格式）：

      \{"sourcetype": "zscalernss-emaildlp", "event": \{"mailsenttime": "%s{mail_sent_time}", "scantime": "%u{scan_time}", "recordid": "%llu{recordid}", "company": "%s{company}", "tenant": "%s{tenant}", "user": "%s{username}", "dept": "%s{departmentname}", "filenames": "%s{ac_names}", "filemd5s": "%s{ac_md5s}", "doctypes": "%s{ac_doctypes}", "filesizes": "%s{ac_sizes}", "filetypes": "%s{ac_filetypes}", "dlpdictnames": "%s{dlpdictnames}", "dlpdictcnts": "%s{dlpdictcnts}", "dlpengnames": "%s{dlpengnames}", "dlpidentifier": "%llu{dlpidentifier}", "triggeredrcpts": "%s{trigg_rcpts}", "severity": "%s{severity}", "action": "%s{action}", "rulename": "%s{rulelabels}", "otherrcpts": "%s{other_rcpts}", "subject": "%s{subject}", "msgid": "%s{msgid}"\}\}
    

19. 在 Timezone （时区）列表中，为输出文件中的 Time （时间）字段选择时区。默认情况下，时区设置为您组织的时区。

20. 检查配置的设置。

21. 点击 Save （保存）以测试连接。如果连接成功，系统会显示一个绿色对勾标记，并显示消息 Test Connectivity Successful: OK (200) （连接测试成功：确定 (200)）。

如需详细了解 Google SecOps Feed，请参阅 Google SecOps Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型配置 Feed。

如果您在创建 Feed 时遇到问题，请与 Google SecOps 支持团队联系。

支持的 Zscaler Email DLP 日志格式

Zscaler Email DLP 解析器支持 JSON 格式的日志。

支持的 Zscaler Email DLP 日志示例

• JSON

    {
      "sourcetype": "zscalernss-emaildlp",
      "event": {
          "mailsenttime": "Wed Feb 4 04:11:09 2026",
          "scantime": "25",
          "recordid": "7602857773514883073",
          "company": "Sample Company",
          "tenant": "sample.com",
          "user": "dummyuser@sample.com",
          "dept": "Default Department",
          "filenames": "test.xlsx",
          "filemd5s": "0d67b8287a735240724384f293ee364f",
          "doctypes": "None",
          "filesizes": "8824",
          "filetypes": "xlsx",
          "dlpdictnames": "Credit Cards: Detect leakage of credit card information",
          "dlpdictcnts": "10",
          "dlpengnames": "",
          "dlpidentifier": "7602857773514883076",
          "triggeredrcpts": "test2@sample.com",
          "severity": "High Severity",
          "action": "Block",
          "rulename": "DLP_Rule_7",
          "otherrcpts": "None",
          "subject": "Test Subject",
          "msgid": "863fcac3-4040-495f-9ec6-b41abd054ca7@sample.com"
      }
  }
  
  

字段映射参考

下表列出了 ZSCALER_EMAIL_DLP 日志类型的常见字段及其对应的 UDM 字段。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。