Zscaler

In diesem Dokument wird beschrieben, wie Sie Zscaler in Google SecOps einbinden.

Anwendungsfälle

Die Zscaler-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • URL-Filterung verwalten: URL-Kategorien und Filterregeln werden automatisch aktualisiert, um schädliche Domains zu blockieren, die bei Prüfungen identifiziert wurden.

  • Verwaltung des Nutzerlebenszyklus automatisieren: Nutzerzugriff und Gruppenmitgliedschaften in Zscaler dynamisch basierend auf Sicherheitsrisikostufen verwalten.

  • Netzwerkwarnungen anreichern: Rufen Sie detaillierte Informationen zu Nutzern, Abteilungen und Standorten ab, die mit blockiertem Traffic in Verbindung stehen.

  • Sicherheitsrichtlinien synchronisieren: Stellen Sie Sicherheitsänderungen sofort in Ihrer Zscaler-Umgebung bereit, um auf aktive Bedrohungen zu reagieren.

Hinweis

Bevor Sie die Integration in Google SecOps konfigurieren, prüfen Sie, ob Ihre Zscaler-Umgebung die folgenden Anforderungen erfüllt:

  • Authentifizierungsmethode: Bestimmen Sie, ob Ihre Organisation OAuth 2.0 oder die Authentifizierung mit Legacy-Anmeldedaten verwendet. Die Integration verwendet diese Anmeldedaten, um eine Sitzung einzurichten und ein temporäres Token für API-Anfragen abzurufen:

    • OAuth 2.0 (empfohlen): Bei dieser Methode wird der ZSLogin-Dienst für die zentrale Identitätsverwaltung verwendet. Sie müssen einen OAuth 2.0-Client bei Ihrem Identitätsanbieter registrieren und den Autorisierungsserver dem ZIA-Admin-Portal hinzufügen. Weitere Informationen finden Sie unter ZIA APIs mit OAuth 2.0 sichern.

    • Legacy-Anmeldedaten: Bei dieser Methode werden ein API-Schlüssel und ZIA-Administratoranmeldedaten verwendet. Weitere Informationen finden Sie unter Cloud Service-API-Schlüssel verwalten.

  • Kontoberechtigungen: Prüfen Sie, ob dem Client- oder Administratorkonto die richtigen Rollen zugewiesen sind:

    • OAuth 2.0: Erfordert eine API-Rolle. Weitere Informationen finden Sie unter API-Rollen hinzufügen.

    • Alte Anmeldedaten: Erfordert eine Administratorrolle mit aktivierten API-Zugriffsberechtigungen. Weitere Informationen finden Sie unter Administratorrollen hinzufügen.

  • Netzwerkzugriff: Ihre Netzwerkkonfiguration muss ausgehende HTTPS-Verbindungen von Ihrer Google SecOps-Umgebung zu den Zscaler API-Endpunkten zulassen, z. B. zsapi.{your_cloud_name}.

Integrationsparameter

Für die Zscaler-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Api Root

Pflichtangabe.

Die Basis-URL der Zscaler-Instanz, z. B. https://admin.zscalertwo.net oder https://api.zsapi.net.
Login ID

Optional.

Der Nutzername oder die E-Mail-Adresse, die mit dem Zscaler-Administratorkonto verknüpft ist, das für die Authentifizierung verwendet wird.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl Legacy- als auch OAuth 2.0-Anmeldedaten angegeben sind, hat OAuth 2.0 Vorrang.
Api Key

Optional.

Der eindeutige API-Schlüssel, der im Zscaler-Portal generiert wird, um API-Anfragen zu autorisieren.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl Legacy- als auch OAuth 2.0-Anmeldedaten angegeben sind, hat OAuth 2.0 Vorrang.
Password

Optional.

Das Passwort, das mit dem Zscaler-Administratorkonto verknüpft ist, das für die Authentifizierung verwendet wird.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl Legacy- als auch OAuth 2.0-Anmeldedaten angegeben sind, hat OAuth 2.0 Vorrang.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Zscaler-Server hergestellt wird.

Standardmäßig aktiviert.
Client ID

Optional.

Die eindeutige Kennung für den OAuth 2.0-Client, der für die Authentifizierung mit dem ZSLogin-Dienst verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration obligatorisch und hat Vorrang vor der Legacy-Authentifizierung.
Client Secret

Optional.

Der geheime Schlüssel, der mit der Client-ID verknüpft ist, die zur Authentifizierung des OAuth 2.0-Clients verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration obligatorisch und hat Vorrang vor der Legacy-Authentifizierung.
Login API Root

Optional.

Die Basis-URL für den ZSLogin-Dienst, der für die zentrale Identitäts- und Zugriffsverwaltung verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration obligatorisch und hat Vorrang vor der Legacy-Authentifizierung.

Der Standardwert ist https://{instance}.zslogin.net.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Zur Sperrliste hinzufügen

Fügt der Sperrliste eine URL/Domain/IP-Adresse hinzu.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die der Sperrliste hinzugefügt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Zur Whitelist hinzufügen

Fügt der Zulassungsliste eine URL, Domain oder IP-Adresse hinzu.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die der Zulassungsliste hinzugefügt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • URL
  • Hostname
  • Domain
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Sperrliste abrufen

Ruft eine Liste der URLs auf der Sperrliste ab.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Sandbox-Bericht abrufen

Rufen Sie einen vollständigen Bericht für einen MD5-Hash einer Datei ab, die von Sandbox analysiert wurde.

Parameter

–

Ausführen am

Diese Aktion wird für die Entität „Filehash“ ausgeführt.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult":
        {
            "Full Details":
            {
              "SystemSummary": [
                    {
                        "SignatureSources": [
                            "",
                            "76CD0000 page execute and read and write",
                            "76DD0000 page execute and read and write"
                           ],
                        "Risk": "LOW",
                        "Signature": "Allocates memory within range which is reserved for system DLLs"
                    },{
                     "SignatureSources": [
                            "",
                            "wow64.pdb source: loaddll32.exe",
                            "wow64.pdbH source: loaddll32.exe",
                            "wow64cpu.pdb source: loaddll32.exe",
                            "wow64win.pdb source: loaddll32.exe",
                            "wow64win.pdbH source: loaddll32.exe"
                        ],
                        "Risk": "LOW",
                        "Signature": "Binary contains paths to debug symbols"
                    },{
                        "SignatureSources": [
                            "",
                            "clean0.winDLL@1/1@0/0"
                        ],
                        "Risk": "LOW",
                        "Signature": "Classification label"
                    }, {
                        "SignatureSources":[
                            "",
                            "More than 502 > 100 exports found"
                        ],
                     "Risk": "LOW",
                     "Signature": "PE file exports many functions"
                   }, {
                     "SignatureSources": [
                             "",
                             "Virtual size of .text is bigger than: 0x100000"
                            ],
                     "Risk": "LOW",
                     "Signature": "PE file has a big code size"
                    },{
                     "SignatureSources": [
                             "",
                             "Raw size of .text is bigger than: 0x100000 < 0x176000"
                     ],
                        "Risk": "LOW",
                        "Signature": "PE file has a big raw section"
                    }, {
                     "SignatureSources": [
                         "",
                         "Image base 0x704c0000 > 0x60000000"
                     ],
                        "Risk": "LOW",
                        "Signature": "PE file has a high image base. often used for DLLs"
                    }, {
                        "SignatureSources": [
                            "",
                            "Section: .text IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_ALIGN_2048BYTES, IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN"
                        ],
                        "Risk": "LOW",
                        "Signature": "PE file has an executable .text section and no other executable section"
                    }, {
                      "SignatureSources": [
                          "", "HKEY_USERS\\\\Software\\\\Policies\\\\Microsoft\\\\Windows\\\\Safer\\\\CodeIdentifiers"
                      ],
                        "Risk": "LOW",
                        "Signature": "Reads software policies"
                    },{
                      "SignatureSources": [
                          "",
                          "File size 1710606 > 1048576"
                      ],
                        "Risk": "LOW",
                        "Signature": "Submission file is bigger than most known malware samples"
                    },{
                       "SignatureSources": [
                           "",
                           "no activity detected"
                       ],
                        "Risk": "MODERATE",
                        "Signature": "Program does not show much activity"
                    }
                ],
                "Summary":
                {
                    "Status": "COMPLETED",
                    "Category": "EXECS",
                    "FileType": "DLL",
                    "Duration": 499618,
                    "StartTime": 1553130306
                },
                "Classification":
                {
                    "Category": "BENIGN",
                    "Type": "BENIGN",
                    "Score": 0,
                    "DetectedMalware": ""
                },
                "Persistence":[
                    {
                        "SignatureSources": [
                            "",
                            "section name: /4"
                        ],
                        "Risk": "LOW",
                        "Signature": "PE file contains sections with non-standard names"
                    }
                ],
                "FileProperties":
                {
                    "SHA1": "b0aa7eecfa6c0066504bf79efe1bc057ac61e9b8",
                    "FileSize": 1710606,
                    "RootCA": "",
                    "Issuer": "",
                    "FileType": "DLL",
                    "Sha256": "a39180232ae6a689650f5df566bb4e81b94d9d19a53363ce17d7a12fd21f78cf",
                    "DigitalCerificate": "",
                    "SSDeep": "24576:3LnYQhDtnNgQe42lcCZNj4I/MmaOdb+Y+mmY5Gc3nGkh2sQginrgGGQCTQIMGNdd:zYQlEpIE/p3nFhckZF7oU",
                    "MD5": "1803c2c0f0ec61c98b3630d7e4b1cd5d"
                }
            }
        },
        "Entity": "1803C2C0F0EC61C98B3630D7E4B1CD5D"
    }
]
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden?
Alle Details Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Statistiken

–

URL-Kategorien abrufen

Ruft Informationen zu allen URL-Kategorien ab.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "description": "OTHER_ADULT_MATERIAL_DESC",
        "val": 1,
        "dbCategorizedUrls": [],
        "editable": true,
        "urls": [],
        "customCategory": false,
        "id": "OTHER_ADULT_MATERIAL"
    }, {
        "description": "ADULT_THEMES_DESC",
        "val": 2,
        "dbCategorizedUrls": [],
        "editable": true,
        "urls": [],
        "customCategory": false,
        "id": "ADULT_THEMES"
    }
]
Entitätsanreicherung

–

Statistiken

–

Zulassungsliste abrufen

Ruft eine Liste der URLs auf der Zulassungsliste ab.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Entität suchen

Kategorisierung einer URL/Domain/IP-Adresse nachschlagen.

Parameter

–

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • URL
  • Hostname
  • Domain
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
   "EntityResult": {
       "url": "markossolomon.com/f1q7qx.php",
       "urlClassificationsWithSecurityAlert": ["MALWARE_SITE"],
       "urlClassifications": []
   },
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden
URL Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
urlClassificationsWithSecurityAlert Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
urlClassifications Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Statistiken

–

Ping

Prüfe die Verbindung.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Von Sperrliste entfernen

Entfernt eine URL/Domain/IP aus der Sperrliste.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die aus der Sperrliste entfernt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Aus Whitelist entfernen

Entfernt eine URL/Domain/IP-Adresse aus der Zulassungsliste.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die aus der Zulassungsliste entfernt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten