Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux du pare-feu Zscaler

Compatible avec :

Google SecOps SIEM

Ce document explique comment exporter les journaux du pare-feu Zscaler en configurant un flux Google Security Operations et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) de Google SecOps.

Pour en savoir plus, consultez Présentation de l'ingestion de données dans Google SecOps.

Un déploiement standard se compose du pare-feu Zscaler et du flux de webhook Google SecOps configuré pour envoyer des journaux à Google SecOps. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

Pare-feu Zscaler : plate-forme à partir de laquelle vous collectez les journaux.
Flux Google SecOps : flux Google SecOps qui récupère les journaux du pare-feu Zscaler et les écrit dans Google SecOps.
Google SecOps : conserve et analyse les journaux.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations contenues dans ce document s'appliquent à l'analyseur avec l'étiquette d'ingestion ZSCALER_FIREWALL.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

Accès à la console Zscaler Internet Access. Pour en savoir plus, consultez l'aide de Secure Internet and SaaS Access ZIA.
Zscaler Firewall 2024 ou version ultérieure
Tous les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.
La clé API nécessaire pour terminer la configuration du flux dans Google Security Operations. Pour en savoir plus, consultez Configurer des clés API.

Configurer des flux

Pour configurer ce type de journal, procédez comme suit :

Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
Cliquez sur Ajouter un flux d'actualités.
Cliquez sur le pack de flux Zscaler.
Recherchez le type de journal requis, puis cliquez sur Ajouter un flux.
Saisissez les valeurs des paramètres d'entrée suivants :
- Type de source : Webhook (recommandé)
- Délimiteur de division : caractère utilisé pour séparer les lignes de journaux. Laissez ce champ vide si aucun délimiteur n'est utilisé.
Options avancées
- Nom du flux : valeur préremplie qui identifie le flux.
- Espace de noms de l'élément : espace de noms associé au flux.
- Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.
Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Configurer le pare-feu Zscaler

Dans la console Zscaler Internet Access, cliquez sur Administration > Nanolog Streaming Service > Cloud NSS Feeds (Flux Cloud NSS), puis sur Add Cloud NSS Feed (Ajouter un flux Cloud NSS).
La fenêtre Ajouter un flux Cloud NSS s'affiche. Dans la fenêtre Add Cloud NSS Feed (Ajouter un flux NSS cloud), saisissez les informations.
Saisissez un nom pour le flux dans le champ Nom du flux.
Sélectionnez NSS pour le pare-feu dans Type de NSS.
Sélectionnez l'état dans la liste État pour activer ou désactiver le flux NSS.
Conservez la valeur Illimité dans le menu déroulant Tarif SIEM. Pour supprimer le flux de sortie en raison de contraintes de licence ou d'autres contraintes, modifiez la valeur.
Sélectionnez Autre dans la liste Type de SIEM.
Sélectionnez Désactivé dans la liste Authentification OAuth 2.0.
Saisissez une taille maximale pour la charge utile d'une requête HTTP individuelle, conformément aux bonnes pratiques du SIEM, dans Taille maximale du lot. Par exemple, 512 Ko.
Saisissez l'URL HTTPS du point de terminaison de l'API Chronicle dans l'URL de l'API au format suivant :
```
  https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
```
- CHRONICLE_REGION : région où votre instance Chronicle est hébergée. Par exemple, US.
- GOOGLE_PROJECT_NUMBER : numéro de projet Google Cloud .
- LOCATION : région Chronicle. Par exemple, US.
- CUSTOMER_ID : ID client Chronicle.
- FEED_ID : ID du flux affiché dans l'interface utilisateur du flux sur le nouveau webhook créé
- Exemple d'URL d'API :
```
https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
```
Cliquez sur Ajouter un en-tête HTTP, puis ajoutez des en-têtes HTTP au format suivant :
- Header 1 : Clé 1 : X-goog-api-key et Valeur 1 : clé API générée dans les identifiants de l'API de Google Cloud.
- Header 2 : Clé2 : X-Webhook-Access-Key et Valeur2 : code secret de l'API généré sur la "CLÉ SECRÈTE" du webhook.
Sélectionnez Journaux de pare-feu dans la liste Types de journaux.
Sélectionnez JSON dans la liste Type de sortie du flux.
Désactivez l'option Notation de tableau JSON.
Définissez Caractère d'échappement du flux sur , \ ".
Pour ajouter un champ au format de sortie du flux, sélectionnez Personnalisé dans la liste Type de sortie du flux.
Copiez-collez le format de sortie du flux et ajoutez de nouveaux champs. Assurez-vous que les noms des clés correspondent aux noms réels des champs.

Voici le format de sortie du flux par défaut :

  \{ "sourcetype" : "zscalernss-fw", "event" :\{"datetime":"%s{time}","user":"%s{elogin}","department":"%s{edepartment}","locationname":"%s{elocation}","cdport":"%d{cdport}","csport":"%d{csport}","sdport":"%d{sdport}","ssport":"%d{ssport}","csip":"%s{csip}","cdip":"%s{cdip}","ssip":"%s{ssip}","sdip":"%s{sdip}","tsip":"%s{tsip}","tunsport":"%d{tsport}","tuntype":"%s{ttype}","action":"%s{action}","dnat":"%s{dnat}","stateful":"%s{stateful}","aggregate":"%s{aggregate}","nwsvc":"%s{nwsvc}","nwapp":"%s{nwapp}","proto":"%s{ipproto}","ipcat":"%s{ipcat}","destcountry":"%s{destcountry}","avgduration":"%d{avgduration}","rulelabel":"%s{erulelabel}","inbytes":"%ld{inbytes}","outbytes":"%ld{outbytes}","duration":"%d{duration}","durationms":"%d{durationms}","numsessions":"%d{numsessions}","ipsrulelabel":"%s{ipsrulelabel}","threatcat":"%s{threatcat}","threatname":"%s{ethreatname}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}"\}\}

Sélectionnez le fuseau horaire du champ Heure dans le fichier de sortie de la liste Fuseau horaire. Par défaut, le fuseau horaire est défini sur celui de votre organisation.
Vérifiez les paramètres configurés.
Cliquez sur Enregistrer pour tester la connectivité. Si la connexion est établie, une coche verte s'affiche, accompagnée du message Test de connectivité réussi : OK (200).

Pour en savoir plus sur les flux Google SecOps, consultez la documentation sur les flux Google SecOps. Pour en savoir plus sur les exigences de chaque type de flux, consultez Configuration des flux par type.

Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google SecOps.

Formats de journaux de pare-feu Zscaler compatibles

L'analyseur Zscaler Firewall accepte les journaux au format JSON.

Exemples de journaux de pare-feu Zscaler compatibles

JSON :

{
  "sourcetype": "zscalernss-fw",
  "event": {
    "datetime": "Tue Apr 11 00:44:01 2023",
    "user": "abc@test.com",
    "department": "Optum%20Tech%20UHC%20Technology",
    "locationname": "Road%20Warrior",
    "cdport": "443",
    "csport": "50407",
    "sdport": "443",
    "ssport": "36223",
    "csip": "198.51.100.8",
    "cdip": "198.51.100.7",
    "ssip": "198.51.100.9",
    "sdip": "198.51.100.10",
    "tsip": "198.51.100.11",
    "tunsport": "0",
    "tuntype": "ZscalerClientConnector",
    "action": "Allow",
    "dnat": "No",
    "stateful": "Yes",
    "aggregate": "Yes",
    "nwsvc": "ZSCALER_PROXY_NW_SERVICES",
    "nwapp": "sharepoint_document",
    "proto": "TCP",
    "ipcat": "Miscellaneous or Unknown",
    "destcountry": "Other",
    "avgduration": "239296",
    "rulelabel": "Default%20Firewall%20Filtering%20Rule",
    "inbytes": "286134",
    "outbytes": "515005",
    "duration": "6461",
    "durationms": "6461000",
    "numsessions": "27",
    "ipsrulelabel": "None",
    "threatcat": "None",
    "threatname": "None",
    "deviceowner": "dummydeviceowner",
    "devicehostname": "dummyhostname"
  }
}

Référence de mappage de champs

Le tableau suivant liste les champs de journal du type de journal ZSCALER_FIREWALL et les champs UDM correspondants.

Log field	UDM mapping	Logic
`fwd_gw_name`	`intermediary.resource.name`
	`intermediary.resource.resource_type`	If the `fwd_gw_name` log field value is not empty or the `ofwd_gw_name` log field value is not empty, then the `intermediary.resource.resource_type` UDM field is set to `GATEWAY`.
`ofwd_gw_name`	`intermediary.resource.name`
`fwd_type`	`security_result.detection_fields[fwd_type]`
`ordr_rulename`	`security_result.rule_name`
`rdr_rulename`	`security_result.rule_name`
`rulelabel`	`security_result.rule_name`
`orulelabel`	`security_result.rule_name`
`erulelabel`	`security_result.rule_name`
`bypass_etime`	`metadata.collected_timestamp`
`datetime`	`metadata.event_timestamp`
`epochtime`	`metadata.event_timestamp`
	`metadata.event_type`	If the `sdport` log field value is equal to `80` or the `sdport` log field value is equal to `443` and the `csip` log field value is not empty or the `ocsip` log field value is not empty or the `devicename` log field value is not empty or the `odevicename` log field value is not empty and the `sdip` log field value is not empty, then the `metadata.event_type` UDM field is set to `NETWORK_HTTP`. Else, if the `csip` log field value is not empty or the `ocsip` log field value is not empty or the `devicename` log field value is not empty or the `odevicename` log field value is not empty and the `sdip` log field value is not empty, then the `metadata.event_type` UDM field is set to `NETWORK_CONNECTION`. Else, if the `csip` log field value is not empty or the `ocsip` log field value is not empty or the `devicename` log field value is not empty or the `odevicename` log field value is not empty, then the `metadata.event_type` UDM field is set to `STATUS_UPDATE`. Else, the `metadata.event_type` UDM field is set to `GENERIC_EVENT`.
`recordid`	`metadata.product_log_id`
	`metadata.product_name`	The `metadata.product_name` UDM field is set to `Firewall`.
	`metadata.vendor_name`	The `metadata.vendor_name` UDM field is set to `Zscaler`.
`proto`	`network.ip_protocol`	If the `proto` log field value contain one of the following values, then the `proto` log field is mapped to the `network.ip_protocol` UDM field. `TCP` `UDP` `ICMP` `GRE` `IP6IN4` `IGMP`
`inbytes`	`network.received_bytes`
`outbytes`	`network.sent_bytes`
`avgduration`	`network.session_duration.nanos`	If the `durationms` log field value is empty and the `avgduration` log field value is not empty, then the `avgduration` log field is mapped to the `network.session_duration.nanos` UDM field.
`durationms`	`network.session_duration.nanos`	If the `durationms` log field value is not empty, then the `durationms` log field is mapped to the `network.session_duration.nanos` UDM field.
`duration`	`network.session_duration.seconds`
`devicename`	`principal.asset.asset_id`	If the `devicename` log field value is not empty, then the `Zscaler:devicename` log field is mapped to the `principal.asset.asset_id` UDM field.
`devicemodel`	`principal.asset.hardware.model`
`devicehostname`	`principal.asset.hostname`	If the `devicehostname` log field value is not empty, then the `devicehostname` log field is mapped to the `principal.asset.hostname` UDM field.
`edevicehostname`	`principal.asset.hostname`	If the `edevicehostname` log field value is not empty, then the `edevicehostname` log field is mapped to the `principal.asset.hostname` UDM field.
	`principal.asset.platform_software.platform`	If the `deviceostype` log field value matches the regular expression pattern `(?i)iOS`, then the `principal.asset.platform_software.platform` UDM field is set to `IOS`. Else, if the `deviceostype` log field value matches the regular expression pattern `(?i)Android`, then the `principal.asset.platform_software.platform` UDM field is set to `ANDROID`. Else, if the `deviceostype` log field value matches the regular expression pattern `(?i)Windows`, then the `principal.asset.platform_software.platform` UDM field is set to `WINDOWS`. Else, if the `deviceostype` log field value matches the regular expression pattern `(?i)MAC`, then the `principal.asset.platform_software.platform` UDM field is set to `MAC`. Else, if the `deviceostype` log field value matches the regular expression pattern `(?i)Other`, then the `principal.asset.platform_software.platform` UDM field is set to `UNKNOWN_PLATFORM`.
`deviceosversion`	`principal.asset.platform_software.platform_version`
`external_deviceid`	`principal.asset.product_object_id`
`csip`	`principal.ip`
`tsip`	`principal.nat_ip`
`srcip_country`	`principal.location.country_or_region`
`location`	`principal.location.name`
`locationname`	`principal.location.name`
`ssip`	`intermediary.nat_ip`
`ssport`	`intermediary.nat_port`
`csport`	`principal.port`
`dept`	`principal.user.department`
`department`	`principal.user.department`
`login`	`principal.user.email_addresses`	The `login` field is extracted from `login` log field using the Grok pattern, and the `login` log field is mapped to the `principal.user.email_addresses` UDM field.
`user`	`principal.user.email_addresses`	The `user` field is extracted from `user` log field using the Grok pattern, and the `user` log field is mapped to the `principal.user.email_addresses` UDM field.
`deviceowner`	`principal.asset.attribute.labels[deviceowner]`
	`security_result.action`	If the `action` log field value matches the regular expression pattern `^Allow.`, then the `security_result.action` UDM field is set to `ALLOW`. Else, if the `action` log field value matches the regular expression pattern `^Drop.` or `^Block.*`, then the `security_result.action` UDM field is set to `BLOCK`. Else, if the `action` log field value is equal to `Reset`, then the `security_result.action` UDM field is set to `BLOCK`.
`action`	`security_result.action_details`
`threat_severity,threat_score`	`security_result.severity`	If the `threat_severity` log field value is one of the following: `CRITICAL`, `HIGH`, `MEDIUM`, `LOW`, `NONE` then, the `threat_severity` log field is mapped to the `security_result.severity` UDM field. Else, if the `threat_score` log field value is equal to `0` then, the `security_result.severity` UDM field is set to `NONE`. Else, if `threat_score` log field value > `0` and the `threat_score` log field value <= `45` then, the `security_result.severity` UDM field is set to `LOW`. Else, if `threat_score` log field value > `45` and the `threat_score` log field value < `75` then, the `security_result.severity` UDM field is set to `MEDIUM`. Else, if `threat_score` log field value >= `75` and the `threat_score` log field value < `90` then, the `security_result.severity` UDM field is set to `HIGH`. Else, if `threat_score` log field value >= `90` and the `threat_score` log field value <= `100` then, the `security_result.severity` UDM field is set to `CRITICAL`.
`threat_severity,threat_score`	`security_result.severity_details`	If the `threat_score` log field value is not empty and the `threat_severity` log field value is not empty then, `%{threat_score} - %{threat_severity}` log field is mapped to the `security_result.severity_details` UDM field. Else, if `threat_severity` log field value is not empty then, `threat_severity` log field is mapped to the `security_result.severity_details` UDM field. Else, if `threat_score` log field value is not empty then, `threat_score` log field is mapped to the `security_result.severity_details` UDM field.
	`security_result.category`	If the `ipcat` log field value is not empty or the `oipcat` log field value is not empty, then the `security_result.category` UDM field is set to `NETWORK_CATEGORIZED_CONTENT`.
`ipcat`	`security_result.category_details`	The `ipcat` log field is mapped to the `security_result.category_details` UDM field.
`threatcat`	`security_result.category_details`	If the `threatcat` log field value is not equal to `None`, then the `threatcat` log field is mapped to the `security_result.category_details` UDM field.
	`security_result.detection_fields[bypassed_session]`	If the `bypassed_session` log field value is equal to `0`, then the `security_result.detection_fields.bypassed_session` UDM field is set to `the traffic did not bypass Zscaler Client Connector`. Else, if the `bypassed_session` log field value is equal to `1`, then the `security_result.detection_fields.bypassed_session` UDM field is set to `the traffic bypassed Zscaler Client Connector`.
`odevicehostname`	`principal.asset.hostname`	If the `odevicehostname` log field value is not empty, then the `odevicehostname` log field is mapped to the `principal.asset.hostname` UDM field.
`odevicename`	`principal.asset.asset_id`	If the `odevicename` log field value is not empty, then the `Zscaler:odevicename` log field is mapped to the `principal.asset.asset_id` UDM field.
`odeviceowner`	`principal.asset.attribute.labels[odeviceowner]`
`oipcat`	`security_result.category_details`
`oipsrulelabel`	`security_result.rule_name`	If the `oipsrulelabel` log field value is not equal to `None`, then the `oipsrulelabel` log field is mapped to the `security_result.rule_name` UDM field.
`numsessions`	`security_result.detection_fields[numsessions]`
	`security_result.rule_labels [ips_custom_signature]`	If the `ips_custom_signature` log field value is equal to `0`, then the `security_result.rule_labels.ips_custom_signature` UDM field is set to `non-custom IPS rule`. Else, if the `ips_custom_signature` log field value is equal to `1`, then the `security_result.rule_labels.ips_custom_signature` UDM field is set to `custom IPS rule`.
`ipsrulelabel`	`security_result.rule_name`	If the `ipsrulelabel` log field value is not equal to `None`, then the `ipsrulelabel` log field is mapped to the `security_result.rule_name` UDM field.
`threatname`	`security_result.threat_name`	If the `threatname` log field value is not equal to `None`, then the `threatname` log field is mapped to the `security_result.threat_name` UDM field.
`ethreatname`	`security_result.threat_name`	If the `ethreatname` log field value is not equal to `None`, then the `ethreatname` log field is mapped to the `security_result.threat_name` UDM field.
`nwapp`	`target.application`
`cdfqdn`	`target.domain.name`
`sdip`	`target.ip`
`datacentercity`	`target.location.city`
`destcountry`	`target.location.country_or_region`
`datacentercountry`	`target.location.country_or_region`
`datacenter`	`target.location.name`
`cdip`	`intermediary.ip`
`cdport`	`intermediary.port`
`sdport`	`target.port`
`odnatlabel`	`target.security_result.detection_fields[odnatlabel]`
`dnat`	`security_result.rule_labels[dnat]`
`dnatrulelabel`	`security_result.rule_name`
`odnatrulelabel`	`security_result.rule_name`
`aggregate`	`additional.fields[aggregate]`
`day`	`additional.fields[day]`
`dd`	`additional.fields[dd]`
`deviceappversion`	`principal.asset.software.version`
`eedone`	`additional.fields[eedone]`
`flow_type`	`additional.fields[flow_type]`
`hh`	`additional.fields[hh]`
`mm`	`additional.fields[mm]`
`mon`	`additional.fields[mon]`
`mth`	`additional.fields[mth]`
`nwsvc`	`additional.fields[nwsvc]`
`ocsip`	`principal.ip`
`ozpa_app_seg_name`	`additional.fields[ozpa_app_seg_name]`
`ss`	`additional.fields[ss]`
`sourcetype`	`additional.fields[sourcetype]`
`stateful`	`additional.fields[stateful]`
`tz`	`additional.fields[tz]`
`tuntype`	`additional.fields[traffic_forwarding_method]`
`tunsport`	`additional.fields[tunsport]`
`yyyy`	`additional.fields[yyyy]`
`zpa_app_seg_name`	`additional.fields[zpa_app_seg_name]`
`ztunnelversion`	`additional.fields[ztunnelversion]`

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.