Zscaler

Dieses Dokument enthält eine Anleitung zur Integration von Zscaler in Google SecOps.

Anwendungsfälle

Die Zscaler-Integration nutzt Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • URL-Filterung verwalten: URL-Kategorien und Filterregeln werden automatisch aktualisiert, um schädliche Domains zu blockieren, die bei Untersuchungen ermittelt wurden.

  • Verwaltung des Nutzerlebenszyklus automatisieren: Nutzerzugriff und Gruppenmitgliedschaften in Zscaler basierend auf Sicherheitsrisikostufen dynamisch verwalten.

  • Netzwerkbenachrichtigungen anreichern: Rufen Sie detaillierte Informationen zu Nutzern, Abteilungen und Standorten ab, die mit blockiertem Traffic verknüpft sind.

  • Sicherheitsrichtlinien synchronisieren: Sicherheitsänderungen sofort in Ihrer Zscaler-Umgebung bereitstellen, um auf aktive Bedrohungen zu reagieren.

Hinweis

Bevor Sie die Integration in Google SecOps konfigurieren, prüfen Sie, ob Ihre Zscaler-Umgebung die folgenden Anforderungen erfüllt:

  • Authentifizierungsmethode: Ermitteln Sie, ob Ihre Organisation OAuth 2.0 oder die alte anmeldedatenbasierte Authentifizierung verwendet. Die Integration verwendet diese Anmeldedaten, um eine Sitzung herzustellen und ein temporäres Token für API-Anfragen abzurufen:

    • OAuth 2.0 (empfohlen): Bei dieser Methode wird der ZSLogin-Dienst für die zentrale Identitätsverwaltung verwendet. Sie müssen einen OAuth 2.0-Client in Ihrem Identitätsanbieter registrieren und den Autorisierungsserver dem ZIA Admin Portal hinzufügen. Weitere Informationen finden Sie unter ZIA-APIs mit OAuth 2.0 sichern.

    • Legacy-Anmeldedaten: Bei dieser Methode werden ein API-Schlüssel und die Anmeldedaten eines ZIA-Administrators verwendet. Weitere Informationen finden Sie unter Cloud Service API-Schlüssel verwalten.

  • Kontoberechtigungen: Achten Sie darauf, dass dem Kunden- oder Administratorkonto die richtigen Rollen zugewiesen sind:

    • OAuth 2.0: Erfordert eine API-Rolle. Weitere Informationen finden Sie unter API-Rollen hinzufügen.

    • Alte Anmeldedaten: Erfordert eine Administratorrolle mit aktivierten API-Zugriffsberechtigungen. Weitere Informationen finden Sie unter Administratorrollen hinzufügen.

  • Netzwerkzugriff: Achten Sie darauf, dass Ihre Netzwerkkonfiguration ausgehende HTTPS-Verbindungen von Ihrer Google SecOps-Umgebung zu den Zscaler API-Endpunkten zulässt, z. B. zsapi.{your_cloud_name}.

Integrationsparameter

Für die Zscaler-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Api Root

Erforderlich.

Die Basis-URL der Zscaler-Instanz, z. B. https://admin.zscalertwo.net oder https://api.zsapi.net.
Login ID

Optional.

Der Nutzername oder die E-Mail-Adresse, die mit dem Zscaler-Administratorkonto verknüpft ist, das für die Authentifizierung verwendet wird.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl alte als auch OAuth 2.0-Anmeldedaten angegeben werden, haben OAuth 2.0-Anmeldedaten Vorrang.
Api Key

Optional.

Der eindeutige API-Schlüssel, der im Zscaler-Portal generiert wurde, um API-Anfragen zu autorisieren.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl alte als auch OAuth 2.0-Anmeldedaten angegeben werden, haben OAuth 2.0-Anmeldedaten Vorrang.
Password

Optional.

Das Passwort, das mit dem für die Authentifizierung verwendeten Zscaler-Administratorkonto verknüpft ist.

Dieser Parameter ist für die Legacy-Authentifizierung obligatorisch.

Wenn sowohl alte als auch OAuth 2.0-Anmeldedaten angegeben werden, haben OAuth 2.0-Anmeldedaten Vorrang.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Zscaler-Server validiert.

Standardmäßig aktiviert.
Client ID

Optional.

Die eindeutige Kennung für den OAuth 2.0-Client, der für die Authentifizierung mit dem ZSLogin-Dienst verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration erforderlich und hat Vorrang vor der Legacy-Authentifizierung.
Client Secret

Optional.

Der geheime Schlüssel, der mit der Client-ID verknüpft ist, die zur Authentifizierung des OAuth 2.0-Clients verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration erforderlich und hat Vorrang vor der Legacy-Authentifizierung.
Login API Root

Optional.

Die Basis-URL für den ZSLogin-Dienst, der für die zentrale Identitäts- und Zugriffsverwaltung verwendet wird.

Dieser Parameter ist für die OAuth 2.0-Konfiguration erforderlich und hat Vorrang vor der Legacy-Authentifizierung.

Der Standardwert ist https://{instance}.zslogin.net.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen in „Mein Arbeitsbereich“ beantworten und Manuelle Maßnahme ausführen.

Zur Sperrliste hinzufügen

Fügt der Sperrliste eine URL, Domain oder IP-Adresse hinzu.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste mit IOCs (IP-Adressen, URLs oder Domains), die der Sperrliste hinzugefügt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Zur Zulassungsliste hinzufügen

Fügt der Zulassungsliste eine URL, Domain oder IP-Adresse hinzu.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die der Zulassungsliste hinzugefügt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • URL
  • Hostname
  • Domain
Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Sperrliste abrufen

Ruft eine Liste von URLs ab, die auf der Sperrliste stehen.

Parameter

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Sandbox-Bericht abrufen

Einen vollständigen Bericht für einen MD5-Hashwert einer Datei abrufen, die von Sandbox analysiert wurde

Parameter

–

Ausführen am

Diese Aktion wird für die Filehash-Entität ausgeführt.

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "EntityResult":
        {
            "Full Details":
            {
              "SystemSummary": [
                    {
                        "SignatureSources": [
                            "",
                            "76CD0000 page execute and read and write",
                            "76DD0000 page execute and read and write"
                           ],
                        "Risk": "LOW",
                        "Signature": "Allocates memory within range which is reserved for system DLLs"
                    },{
                     "SignatureSources": [
                            "",
                            "wow64.pdb source: loaddll32.exe",
                            "wow64.pdbH source: loaddll32.exe",
                            "wow64cpu.pdb source: loaddll32.exe",
                            "wow64win.pdb source: loaddll32.exe",
                            "wow64win.pdbH source: loaddll32.exe"
                        ],
                        "Risk": "LOW",
                        "Signature": "Binary contains paths to debug symbols"
                    },{
                        "SignatureSources": [
                            "",
                            "clean0.winDLL@1/1@0/0"
                        ],
                        "Risk": "LOW",
                        "Signature": "Classification label"
                    }, {
                        "SignatureSources":[
                            "",
                            "More than 502 > 100 exports found"
                        ],
                     "Risk": "LOW",
                     "Signature": "PE file exports many functions"
                   }, {
                     "SignatureSources": [
                             "",
                             "Virtual size of .text is bigger than: 0x100000"
                            ],
                     "Risk": "LOW",
                     "Signature": "PE file has a big code size"
                    },{
                     "SignatureSources": [
                             "",
                             "Raw size of .text is bigger than: 0x100000 < 0x176000"
                     ],
                        "Risk": "LOW",
                        "Signature": "PE file has a big raw section"
                    }, {
                     "SignatureSources": [
                         "",
                         "Image base 0x704c0000 > 0x60000000"
                     ],
                        "Risk": "LOW",
                        "Signature": "PE file has a high image base. often used for DLLs"
                    }, {
                        "SignatureSources": [
                            "",
                            "Section: .text IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_ALIGN_2048BYTES, IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN"
                        ],
                        "Risk": "LOW",
                        "Signature": "PE file has an executable .text section and no other executable section"
                    }, {
                      "SignatureSources": [
                          "", "HKEY_USERS\\\\Software\\\\Policies\\\\Microsoft\\\\Windows\\\\Safer\\\\CodeIdentifiers"
                      ],
                        "Risk": "LOW",
                        "Signature": "Reads software policies"
                    },{
                      "SignatureSources": [
                          "",
                          "File size 1710606 > 1048576"
                      ],
                        "Risk": "LOW",
                        "Signature": "Submission file is bigger than most known malware samples"
                    },{
                       "SignatureSources": [
                           "",
                           "no activity detected"
                       ],
                        "Risk": "MODERATE",
                        "Signature": "Program does not show much activity"
                    }
                ],
                "Summary":
                {
                    "Status": "COMPLETED",
                    "Category": "EXECS",
                    "FileType": "DLL",
                    "Duration": 499618,
                    "StartTime": 1553130306
                },
                "Classification":
                {
                    "Category": "BENIGN",
                    "Type": "BENIGN",
                    "Score": 0,
                    "DetectedMalware": ""
                },
                "Persistence":[
                    {
                        "SignatureSources": [
                            "",
                            "section name: /4"
                        ],
                        "Risk": "LOW",
                        "Signature": "PE file contains sections with non-standard names"
                    }
                ],
                "FileProperties":
                {
                    "SHA1": "b0aa7eecfa6c0066504bf79efe1bc057ac61e9b8",
                    "FileSize": 1710606,
                    "RootCA": "",
                    "Issuer": "",
                    "FileType": "DLL",
                    "Sha256": "a39180232ae6a689650f5df566bb4e81b94d9d19a53363ce17d7a12fd21f78cf",
                    "DigitalCerificate": "",
                    "SSDeep": "24576:3LnYQhDtnNgQe42lcCZNj4I/MmaOdb+Y+mmY5Gc3nGkh2sQginrgGGQCTQIMGNdd:zYQlEpIE/p3nFhckZF7oU",
                    "MD5": "1803c2c0f0ec61c98b3630d7e4b1cd5d"
                }
            }
        },
        "Entity": "1803C2C0F0EC61C98B3630D7E4B1CD5D"
    }
]
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden?
Vollständige Details Gibt zurück, ob es im JSON-Ergebnis vorhanden ist.
Statistiken

–

URL-Kategorien abrufen

Ruft Informationen zu allen URL-Kategorien ab.

Parameter

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
        "description": "OTHER_ADULT_MATERIAL_DESC",
        "val": 1,
        "dbCategorizedUrls": [],
        "editable": true,
        "urls": [],
        "customCategory": false,
        "id": "OTHER_ADULT_MATERIAL"
    }, {
        "description": "ADULT_THEMES_DESC",
        "val": 2,
        "dbCategorizedUrls": [],
        "editable": true,
        "urls": [],
        "customCategory": false,
        "id": "ADULT_THEMES"
    }
]
Entitätsanreicherung

–

Statistiken

–

Zulassungsliste abrufen

Ruft eine Liste von URLs ab, die auf die Zulassungsliste gesetzt wurden.

Parameter

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Entität suchen

Kategorisierung einer URL, Domain oder IP-Adresse nachschlagen

Parameter

–

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • URL
  • Hostname
  • Domain
Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
[
    {
   "EntityResult": {
       "url": "markossolomon.com/f1q7qx.php",
       "urlClassificationsWithSecurityAlert": ["MALWARE_SITE"],
       "urlClassifications": []
   },
        "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
    }
]
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden?
URL Gibt zurück, ob es im JSON-Ergebnis vorhanden ist.
urlClassificationsWithSecurityAlert Gibt zurück, ob es im JSON-Ergebnis vorhanden ist.
urlClassifications Gibt zurück, ob es im JSON-Ergebnis vorhanden ist.
Statistiken

–

Ping

Verbindung prüfen

Parameter

–

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Von der Sperrliste entfernen

Entfernt eine URL, Domain oder IP-Adresse aus der Sperrliste.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die aus der Sperrliste entfernt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Von der Zulassungsliste entfernen

Entfernt eine URL, Domain oder IP-Adresse aus der Zulassungsliste.

Aktionseingaben

Für diese Aktion sind die folgenden Parameter erforderlich:

Parameter Beschreibung
IOCs

Optional.

Eine durch Kommas getrennte Liste von IOCs (IP-Adressen, URLs oder Domains), die aus der Zulassungsliste entfernt werden sollen, z. B. 10.1.1.1, google.com, http://example.net.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • URL
  • Hostname
  • IP-Adresse
Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten