Zscaler
このドキュメントでは、Zscaler を Google SecOps と統合する方法について説明します。
ユースケース
Zscaler インテグレーションは、Google SecOps の機能を使用して、次のユースケースをサポートします。
URL フィルタリングを管理する: URL カテゴリとフィルタリング ルールを自動的に更新して、調査中に特定された悪意のあるドメインをブロックします。
ユーザー ライフサイクル管理を自動化する: セキュリティ リスクレベルに基づいて、Zscaler でユーザー アクセスとグループ メンバーシップを動的に管理します。
ネットワーク アラートを拡充する: ブロックされたトラフィックに関連付けられているユーザー、部門、ロケーションに関する詳細情報を取得します。
セキュリティ ポリシーを同期する: Zscaler 環境全体にセキュリティ変更を即座にデプロイして、アクティブな脅威に対応します。
始める前に
Google SecOps で統合を構成する前に、Zscaler 環境が次の要件を満たしていることを確認してください。
認証方法: 組織で OAuth 2.0 または以前の認証情報ベースの認証を使用するかどうかを判断します。この統合では、これらの認証情報を使用してセッションを確立し、API リクエストの一時トークンを取得します。
OAuth 2.0（推奨）: この方法は、一元化された ID 管理に ZSLogin サービスを使用します。ID プロバイダに OAuth 2.0 クライアントを登録し、ZIA 管理ポータルに認可サーバーを追加する必要があります。詳細については、OAuth 2.0 を使用した ZIA API の保護をご覧ください。
以前の認証情報: この方法では、API キーと ZIA 管理者の認証情報を使用します。詳細については、Cloud Service API キーの管理をご覧ください。
アカウント権限: クライアント アカウントまたは管理者アカウントに適切なロールが割り当てられていることを確認します。
OAuth 2.0: API ロールが必要です。詳細については、API ロールの追加をご覧ください。
以前の認証情報: API アクセス権限が有効になっている管理者ロールが必要です。詳しくは、管理者ロールの追加をご覧ください。
ネットワーク アクセス: ネットワーク構成で、Google SecOps 環境から Zscaler API エンドポイント（
zsapi.{your_cloud_name}など）へのアウトバウンド HTTPS 接続が許可されていることを確認します。
統合のパラメータ
Zscaler の統合には、次のパラメータが必要です。
| パラメータ | 説明 |
|---|---|
Api Root |
必須。 Zscaler インスタンスのベース URL（ |
Login ID |
省略可。 認証に使用される Zscaler 管理者アカウントに関連付けられているユーザー名またはメールアドレス。 このパラメータは、以前の認証では必須です。 以前の認証情報と OAuth 2.0 認証情報の両方が指定されている場合は、OAuth 2.0 が優先されます。 |
Api Key |
省略可。 API リクエストを承認するために Zscaler ポータルで生成された一意の API キー。 このパラメータは、以前の認証では必須です。 以前の認証情報と OAuth 2.0 認証情報の両方が指定されている場合は、OAuth 2.0 が優先されます。 |
Password |
省略可。 認証に使用される Zscaler 管理者アカウントに関連付けられたパスワード。 このパラメータは、以前の認証では必須です。 以前の認証情報と OAuth 2.0 認証情報の両方が指定されている場合は、OAuth 2.0 が優先されます。 |
Verify SSL |
省略可。 選択すると、統合によって Zscaler サーバーへの接続時に SSL 証明書が検証されます。 デフォルトで有効になっています。 |
Client ID |
省略可。 ZSLogin サービスを使用した認証に使用される OAuth 2.0 クライアントの固有識別子。 このパラメータは OAuth 2.0 構成で必須であり、以前の認証よりも優先されます。 |
Client Secret |
省略可。 OAuth 2.0 クライアントの認証に使用されるクライアント ID に関連付けられた秘密鍵。 このパラメータは OAuth 2.0 構成で必須であり、以前の認証よりも優先されます。 |
Login API Root |
省略可。 一元的な ID とアクセス管理に使用される ZSLogin サービスのベース URL。 このパラメータは OAuth 2.0 構成で必須であり、以前の認証よりも優先されます。 デフォルト値は |
Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。
必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの方法については、複数のインスタンスのサポートをご覧ください。
操作
アクションの詳細については、 デスクから保留中のアクションに対応すると手動による対策を実行するをご覧ください。
拒否リストに追加
URL/ドメイン/IP をブロックリストに追加します。
アクション入力
このアクションには次のパラメータが必要です。
| パラメータ | 説明 |
|---|---|
IOCs |
省略可。 ブロックリストに追加する IoC（IP アドレス、URL、ドメイン）のカンマ区切りのリスト（例: |
実行
このアクションは次のエンティティに対して実行されます。
- URL
- ホスト名
- IP アドレス
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
許可リストに追加
許可リストに URL/ドメイン/IP を追加します。
アクション入力
このアクションには次のパラメータが必要です。
| パラメータ | 説明 |
|---|---|
IOCs |
省略可。 許可リストに追加する IoC（IP アドレス、URL、ドメイン）のカンマ区切りのリスト（例: |
実行
このアクションは次のエンティティに対して実行されます。
- URL
- ホスト名
- ドメイン
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
拒否リストの取得
拒否リストに登録された URL のリストを取得します。
パラメータ
なし
実行
このアクションはすべてのエンティティに対して実行されます。
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
サンドボックス レポートの取得
サンドボックスで分析されたファイルの MD5 ハッシュの完全なレポートを取得します。
パラメータ
なし
実行
このアクションは Filehash エンティティに対して実行されます。
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
[
{
"EntityResult":
{
"Full Details":
{
"SystemSummary": [
{
"SignatureSources": [
"",
"76CD0000 page execute and read and write",
"76DD0000 page execute and read and write"
],
"Risk": "LOW",
"Signature": "Allocates memory within range which is reserved for system DLLs"
},{
"SignatureSources": [
"",
"wow64.pdb source: loaddll32.exe",
"wow64.pdbH source: loaddll32.exe",
"wow64cpu.pdb source: loaddll32.exe",
"wow64win.pdb source: loaddll32.exe",
"wow64win.pdbH source: loaddll32.exe"
],
"Risk": "LOW",
"Signature": "Binary contains paths to debug symbols"
},{
"SignatureSources": [
"",
"clean0.winDLL@1/1@0/0"
],
"Risk": "LOW",
"Signature": "Classification label"
}, {
"SignatureSources":[
"",
"More than 502 > 100 exports found"
],
"Risk": "LOW",
"Signature": "PE file exports many functions"
}, {
"SignatureSources": [
"",
"Virtual size of .text is bigger than: 0x100000"
],
"Risk": "LOW",
"Signature": "PE file has a big code size"
},{
"SignatureSources": [
"",
"Raw size of .text is bigger than: 0x100000 < 0x176000"
],
"Risk": "LOW",
"Signature": "PE file has a big raw section"
}, {
"SignatureSources": [
"",
"Image base 0x704c0000 > 0x60000000"
],
"Risk": "LOW",
"Signature": "PE file has a high image base. often used for DLLs"
}, {
"SignatureSources": [
"",
"Section: .text IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_ALIGN_2048BYTES, IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN"
],
"Risk": "LOW",
"Signature": "PE file has an executable .text section and no other executable section"
}, {
"SignatureSources": [
"", "HKEY_USERS\\\\Software\\\\Policies\\\\Microsoft\\\\Windows\\\\Safer\\\\CodeIdentifiers"
],
"Risk": "LOW",
"Signature": "Reads software policies"
},{
"SignatureSources": [
"",
"File size 1710606 > 1048576"
],
"Risk": "LOW",
"Signature": "Submission file is bigger than most known malware samples"
},{
"SignatureSources": [
"",
"no activity detected"
],
"Risk": "MODERATE",
"Signature": "Program does not show much activity"
}
],
"Summary":
{
"Status": "COMPLETED",
"Category": "EXECS",
"FileType": "DLL",
"Duration": 499618,
"StartTime": 1553130306
},
"Classification":
{
"Category": "BENIGN",
"Type": "BENIGN",
"Score": 0,
"DetectedMalware": ""
},
"Persistence":[
{
"SignatureSources": [
"",
"section name: /4"
],
"Risk": "LOW",
"Signature": "PE file contains sections with non-standard names"
}
],
"FileProperties":
{
"SHA1": "b0aa7eecfa6c0066504bf79efe1bc057ac61e9b8",
"FileSize": 1710606,
"RootCA": "",
"Issuer": "",
"FileType": "DLL",
"Sha256": "a39180232ae6a689650f5df566bb4e81b94d9d19a53363ce17d7a12fd21f78cf",
"DigitalCerificate": "",
"SSDeep": "24576:3LnYQhDtnNgQe42lcCZNj4I/MmaOdb+Y+mmY5Gc3nGkh2sQginrgGGQCTQIMGNdd:zYQlEpIE/p3nFhckZF7oU",
"MD5": "1803c2c0f0ec61c98b3630d7e4b1cd5d"
}
}
},
"Entity": "1803C2C0F0EC61C98B3630D7E4B1CD5D"
}
]
エンティティ拡充
| 拡充フィールド名 | ロジック - 適用対象 |
|---|---|
| 全詳細情報 | JSON の結果に存在する場合に返します。 |
分析情報
なし
URL カテゴリの取得
すべての URL カテゴリに関する情報を取得します。
パラメータ
なし
実行
このアクションはすべてのエンティティに対して実行されます。
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
[
{
"description": "OTHER_ADULT_MATERIAL_DESC",
"val": 1,
"dbCategorizedUrls": [],
"editable": true,
"urls": [],
"customCategory": false,
"id": "OTHER_ADULT_MATERIAL"
}, {
"description": "ADULT_THEMES_DESC",
"val": 2,
"dbCategorizedUrls": [],
"editable": true,
"urls": [],
"customCategory": false,
"id": "ADULT_THEMES"
}
]
エンティティ拡充
なし
分析情報
なし
許可リストの取得
許可リストに登録された URL のリストを取得します。
パラメータ
なし
実行
このアクションはすべてのエンティティに対して実行されます。
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
エンティティを検索
URL、ドメイン、IP の分類を検索します。
パラメータ
なし
実行
このアクションは次のエンティティに対して実行されます。
- URL
- ホスト名
- ドメイン
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
[
{
"EntityResult": {
"url": "markossolomon.com/f1q7qx.php",
"urlClassificationsWithSecurityAlert": ["MALWARE_SITE"],
"urlClassifications": []
},
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP"
}
]
エンティティ拡充
| 拡充フィールド名 | ロジック - 適用するタイミング |
|---|---|
| URL | JSON の結果に存在する場合に返します。 |
| urlClassificationsWithSecurityAlert | JSON の結果に存在する場合に返します。 |
| urlClassifications | JSON の結果に存在する場合に返します。 |
分析情報
なし
Ping
接続を確認します。
パラメータ
なし
実行
このアクションはすべてのエンティティに対して実行されます。
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
拒否リストから削除
ブロックリストから URL/ドメイン/IP を削除します。
アクション入力
このアクションには次のパラメータが必要です。
| パラメータ | 説明 |
|---|---|
IOCs |
省略可。 ブロックリストから削除する IOC（IP アドレス、URL、ドメイン）のカンマ区切りのリスト（例: |
実行
このアクションは次のエンティティに対して実行されます。
- URL
- ホスト名
- IP アドレス
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
許可リストから削除
許可リストから URL/ドメイン/IP を削除します。
アクション入力
このアクションには次のパラメータが必要です。
| パラメータ | 説明 |
|---|---|
IOCs |
省略可。 許可リストから削除する IOC（IP アドレス、URL、ドメイン）のカンマ区切りのリスト（例: |
実行
このアクションは次のエンティティに対して実行されます。
- URL
- ホスト名
- IP アドレス
スクリプトの結果
| スクリプトの結果名 | 値のオプション | 例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON の結果
N/A
エンティティ拡充
なし
分析情報
なし
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。