Zscaler
במסמך הזה מוסבר איך לשלב את Zscaler עם Google SecOps.
תרחישים לדוגמה
השילוב של Zscaler משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:
ניהול סינון כתובות URL: עדכון אוטומטי של קטגוריות של כתובות URL וכללי סינון כדי לחסום דומיינים זדוניים שזוהו במהלך חקירות.
ניהול אוטומטי של מחזור החיים של המשתמש: ניהול דינמי של גישת המשתמשים והחברות בקבוצות ב-Zscaler על סמך רמות הסיכון לאבטחה.
העשרת התראות הרשת: אחזור מידע מפורט על משתמשים, מחלקות ומיקומים שמשויכים לתנועה חסומה.
סנכרון של מדיניות האבטחה: פריסה מיידית של שינויים באבטחה בסביבת Zscaler כדי להגיב לאיומים פעילים.
לפני שמתחילים
לפני שמגדירים את השילוב ב-Google SecOps, צריך לוודא שסביבת Zscaler עומדת בדרישות הבאות:
שיטת אימות: צריך לבדוק אם הארגון משתמש ב-OAuth 2.0 או באימות מדור קודם שמבוסס על פרטי כניסה. השילוב משתמש בפרטי הכניסה האלה כדי ליצור סשן ולאחזר אסימון זמני לבקשות API:
OAuth 2.0 (מומלץ): השיטה הזו משתמשת בשירות ZSLogin לניהול זהויות מרכזי. אתם צריכים לרשום לקוח OAuth 2.0 בספק הזהויות שלכם ולהוסיף את שרת ההרשאות ל-ZIA Admin Portal. פרטים נוספים זמינים במאמר אבטחת ממשקי API של ZIA באמצעות OAuth 2.0.
פרטי כניסה מדור קודם: בשיטה הזו משתמשים במפתח API ובפרטי כניסה של אדמין ב-ZIA. לפרטים, ראו ניהול מפתח API של שירות בענן.
הרשאות בחשבון: ודאו שלחשבון הלקוח או לחשבון אדמין הוקצו התפקידים הנכונים:
OAuth 2.0: נדרש תפקיד API. לפרטים נוספים, קראו את המאמר הוספת תפקידי API.
פרטי כניסה מדור קודם: נדרש תפקיד אדמין עם הרשאות גישה ל-API. פרטים נוספים זמינים במאמר הוספת תפקידי אדמין.
גישה לרשת: ודאו שהגדרות הרשת מאפשרות חיבורי HTTPS יוצאים מסביבת Google SecOps לנקודות קצה ל-API של Zscaler, לדוגמה,
zsapi.{your_cloud_name}.
פרמטרים של שילוב
כדי לשלב את Zscaler, צריך להגדיר את הפרמטרים הבאים:
| פרמטר | תיאור |
|---|---|
Api Root |
חובה. כתובת ה-URL הבסיסית של המכונה ב-Zscaler, לדוגמה, |
Login ID |
זה שינוי אופציונלי. שם המשתמש או כתובת האימייל שמשויכים לחשבון האדמין ב-Zscaler שמשמש לאימות. הפרמטר הזה נדרש לאימות מדור קודם. אם מספקים גם פרטי כניסה מהגרסה הקודמת וגם פרטי כניסה של OAuth 2.0, פרטי הכניסה של OAuth 2.0 מקבלים עדיפות. |
Api Key |
זה שינוי אופציונלי. מפתח ה-API הייחודי שנוצר בפורטל של Zscaler כדי לאשר בקשות API. הפרמטר הזה נדרש לאימות מדור קודם. אם מספקים גם פרטי כניסה מהגרסה הקודמת וגם פרטי כניסה של OAuth 2.0, פרטי הכניסה של OAuth 2.0 מקבלים עדיפות. |
Password |
זה שינוי אופציונלי. הסיסמה שמשויכת לחשבון האדמין ב-Zscaler שמשמש לאימות. הפרמטר הזה נדרש לאימות מדור קודם. אם מספקים גם פרטי כניסה מהגרסה הקודמת וגם פרטי כניסה של OAuth 2.0, פרטי הכניסה של OAuth 2.0 מקבלים עדיפות. |
Verify SSL |
זה שינוי אופציונלי. אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Zscaler. מופעלת כברירת מחדל. |
Client ID |
זה שינוי אופציונלי. המזהה הייחודי של לקוח OAuth 2.0 שמשמש לאימות באמצעות שירות ZSLogin. הפרמטר הזה חובה להגדרת OAuth 2.0 והוא מקבל עדיפות על פני אימות מההגדרה הקודמת. |
Client Secret |
זה שינוי אופציונלי. המפתח הסודי שמשויך למזהה הלקוח שמשמש לאימות הלקוח ב-OAuth 2.0. הפרמטר הזה נדרש להגדרת OAuth 2.0 והוא מקבל עדיפות על פני אימות מההגדרה הקודמת. |
Login API Root |
זה שינוי אופציונלי. כתובת ה-URL הבסיסית של שירות ZSLogin שמשמש לניהול מרכזי של זהויות וגישה. הפרמטר הזה נדרש להגדרת OAuth 2.0 והוא מקבל עדיפות על פני אימות מההגדרה הקודמת. ערך ברירת המחדל הוא |
איך מגדירים שילובים ב-Google SecOps
אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.
פעולות
מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.
הוספה לרשימה השחורה
הוספת כתובת URL, דומיין או כתובת IP לרשימת החסימה.
קלט של הפעולה
כדי לבצע את הפעולה הזו, צריך את הפרמטרים הבאים:
| פרמטר | תיאור |
|---|---|
IOCs |
זה שינוי אופציונלי. רשימה מופרדת בפסיקים של אינדיקטורים לפריצה (כתובות IP, כתובות URL או דומיינים) שצריך להוסיף לרשימת החסימה, לדוגמה, |
ריצה
הפעולה הזו פועלת על הישויות הבאות:
- כתובת URL
- שם המארח
- כתובת IP
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
הוספה לרשימת ההיתרים
הוספת כתובת URL, דומיין או כתובת IP לרשימת ההיתרים.
קלט של הפעולה
כדי לבצע את הפעולה הזו, צריך את הפרמטרים הבאים:
| פרמטר | תיאור |
|---|---|
IOCs |
זה שינוי אופציונלי. רשימה מופרדת בפסיקים של IOC (כתובות IP, כתובות URL או דומיינים) שרוצים להוסיף לרשימת ההיתרים, לדוגמה, |
ריצה
הפעולה הזו פועלת על הישויות הבאות:
- כתובת URL
- שם המארח
- דומיין
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
קבלת רשימת החסימה
מקבלת רשימה של כתובות URL שנכללות ברשימה השחורה.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת בכל הישויות.
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
קבלת דוח ארגז חול (Sandbox)
קבלת דוח מלא על גיבוב MD5 של קובץ שנותח על ידי ארגז החול.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת על הישות Filehash.
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
[
{
"EntityResult":
{
"Full Details":
{
"SystemSummary": [
{
"SignatureSources": [
"",
"76CD0000 page execute and read and write",
"76DD0000 page execute and read and write"
],
"Risk": "LOW",
"Signature": "Allocates memory within range which is reserved for system DLLs"
},{
"SignatureSources": [
"",
"wow64.pdb source: loaddll32.exe",
"wow64.pdbH source: loaddll32.exe",
"wow64cpu.pdb source: loaddll32.exe",
"wow64win.pdb source: loaddll32.exe",
"wow64win.pdbH source: loaddll32.exe"
],
"Risk": "LOW",
"Signature": "Binary contains paths to debug symbols"
},{
"SignatureSources": [
"",
"clean0.winDLL@1/1@0/0"
],
"Risk": "LOW",
"Signature": "Classification label"
}, {
"SignatureSources":[
"",
"More than 502 > 100 exports found"
],
"Risk": "LOW",
"Signature": "PE file exports many functions"
}, {
"SignatureSources": [
"",
"Virtual size of .text is bigger than: 0x100000"
],
"Risk": "LOW",
"Signature": "PE file has a big code size"
},{
"SignatureSources": [
"",
"Raw size of .text is bigger than: 0x100000 < 0x176000"
],
"Risk": "LOW",
"Signature": "PE file has a big raw section"
}, {
"SignatureSources": [
"",
"Image base 0x704c0000 > 0x60000000"
],
"Risk": "LOW",
"Signature": "PE file has a high image base. often used for DLLs"
}, {
"SignatureSources": [
"",
"Section: .text IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_ALIGN_2048BYTES, IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN"
],
"Risk": "LOW",
"Signature": "PE file has an executable .text section and no other executable section"
}, {
"SignatureSources": [
"", "HKEY_USERS\\\\Software\\\\Policies\\\\Microsoft\\\\Windows\\\\Safer\\\\CodeIdentifiers"
],
"Risk": "LOW",
"Signature": "Reads software policies"
},{
"SignatureSources": [
"",
"File size 1710606 > 1048576"
],
"Risk": "LOW",
"Signature": "Submission file is bigger than most known malware samples"
},{
"SignatureSources": [
"",
"no activity detected"
],
"Risk": "MODERATE",
"Signature": "Program does not show much activity"
}
],
"Summary":
{
"Status": "COMPLETED",
"Category": "EXECS",
"FileType": "DLL",
"Duration": 499618,
"StartTime": 1553130306
},
"Classification":
{
"Category": "BENIGN",
"Type": "BENIGN",
"Score": 0,
"DetectedMalware": ""
},
"Persistence":[
{
"SignatureSources": [
"",
"section name: /4"
],
"Risk": "LOW",
"Signature": "PE file contains sections with non-standard names"
}
],
"FileProperties":
{
"SHA1": "b0aa7eecfa6c0066504bf79efe1bc057ac61e9b8",
"FileSize": 1710606,
"RootCA": "",
"Issuer": "",
"FileType": "DLL",
"Sha256": "a39180232ae6a689650f5df566bb4e81b94d9d19a53363ce17d7a12fd21f78cf",
"DigitalCerificate": "",
"SSDeep": "24576:3LnYQhDtnNgQe42lcCZNj4I/MmaOdb+Y+mmY5Gc3nGkh2sQginrgGGQCTQIMGNdd:zYQlEpIE/p3nFhckZF7oU",
"MD5": "1803c2c0f0ec61c98b3630d7e4b1cd5d"
}
}
},
"Entity": "1803C2C0F0EC61C98B3630D7E4B1CD5D"
}
]
העשרת ישויות
| שם שדה ההעשרה | לוגיקה – מתי להחיל |
|---|---|
| פרטים מלאים | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
תובנות
לא רלוונטי
קבלת קטגוריות של כתובות URL
קבלת מידע על כל הקטגוריות של כתובות ה-URL.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת בכל הישויות.
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
[
{
"description": "OTHER_ADULT_MATERIAL_DESC",
"val": 1,
"dbCategorizedUrls": [],
"editable": true,
"urls": [],
"customCategory": false,
"id": "OTHER_ADULT_MATERIAL"
}, {
"description": "ADULT_THEMES_DESC",
"val": 2,
"dbCategorizedUrls": [],
"editable": true,
"urls": [],
"customCategory": false,
"id": "ADULT_THEMES"
}
]
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
קבלת רשימת ההיתרים
מקבלת רשימה של כתובות URL ברשימת ההיתרים.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת בכל הישויות.
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
חיפוש ישות
חיפוש הסיווג של כתובת URL, דומיין או כתובת IP.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת על הישויות הבאות:
- כתובת URL
- שם המארח
- דומיין
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
[
{
"EntityResult": {
"url": "markossolomon.com/f1q7qx.php",
"urlClassificationsWithSecurityAlert": ["MALWARE_SITE"],
"urlClassifications": []
},
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
}
]
העשרת ישויות
| שם שדה ההעשרה | לוגיקה – מתי להחיל |
|---|---|
| url | מוחזר אם הוא קיים בתוצאת ה-JSON |
| urlClassificationsWithSecurityAlert | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| urlClassifications | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
תובנות
לא רלוונטי
פינג
בודקים את הקישוריות.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו פועלת בכל הישויות.
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
הסרה מרשימת החסימה
הסרת כתובת URL, דומיין או כתובת IP מרשימת החסימה.
קלט של הפעולה
כדי לבצע את הפעולה הזו, צריך את הפרמטרים הבאים:
| פרמטר | תיאור |
|---|---|
IOCs |
זה שינוי אופציונלי. רשימה מופרדת בפסיקים של אינדיקטורים לפריצה (כתובות IP, כתובות URL או דומיינים) שרוצים להסיר מרשימת החסימה, לדוגמה, |
ריצה
הפעולה הזו פועלת על הישויות הבאות:
- כתובת URL
- שם המארח
- כתובת IP
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
הסרה מרשימת ההיתרים
הסרת כתובת URL, דומיין או כתובת IP מרשימת ההיתרים.
קלט של הפעולה
כדי לבצע את הפעולה הזו, צריך את הפרמטרים הבאים:
| פרמטר | תיאור |
|---|---|
IOCs |
זה שינוי אופציונלי. רשימה מופרדת בפסיקים של אינדיקטורים לפריצה (כתובות IP, כתובות URL או דומיינים) שרוצים להסיר מרשימת ההיתרים, לדוגמה, |
ריצה
הפעולה הזו פועלת על הישויות הבאות:
- כתובת URL
- שם המארח
- כתובת IP
תוצאת הסקריפט
| שם תוצאת הסקריפט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
העשרת ישויות
לא רלוונטי
תובנות
לא רלוונטי
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.