收集 Zscaler DLP 記錄

本文件說明如何設定 Google Security Operations 動態饋給，以匯出 Zscaler DLP 記錄，以及記錄欄位如何對應至 Google SecOps 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料匯入 Google SecOps 總覽」。

一般部署作業包括 Zscaler DLP 和 Google SecOps Webhook 動態饋給，可將記錄傳送至 Google SecOps。每個客戶的部署作業可能有所不同，且可能更為複雜。

部署作業包含下列元件：

• Zscaler DLP：您收集記錄檔的平台。

• Google SecOps 動態饋給：Google SecOps 動態饋給會從 Zscaler DLP 擷取記錄，並將記錄寫入 Google SecOps。

• Google Security Operations：保留及分析記錄。

擷取標籤可識別剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於標示為 ZSCALER_DLP 的剖析器。

事前準備

請確認您已完成下列必要條件：

• 存取 Zscaler Internet Access 主控台。詳情請參閱「Secure Internet and SaaS Access ZIA 說明」。
• Zscaler DLP 2024 以上版本
• 部署架構中的所有系統都已設定為使用世界標準時間 (UTC) 時區。
• 在 Google Security Operations 中完成動態饋給設定所需的 API 金鑰。詳情請參閱「設定 API 金鑰」。

設定動態饋給

在 Google SecOps 平台中，有兩個不同的入口可用來設定動態消息：

• SIEM 設定 > 動態饋給
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態」設定動態

如要針對這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一頁中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給的名稱，例如「Zscaler DLP Logs」。
5. 將「來源類型」設為「Webhook」。
6. 將「記錄類型」設為「Zscaler DLP」。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   1. 分隔符號：用於分隔記錄行，如果不使用分隔符號，請留空白。
   2. Asset namespace：素材資源命名空間。
   3. 攝入標籤：要套用至這個動態饋給事件的標籤。
9. 點選「下一步」。
10. 在「完成」畫面中查看新的動態饋給設定，然後按一下「提交」。
11. 按一下「產生密鑰」，產生用於驗證這則動態饋給的密鑰。

透過內容中心設定動態饋給

指定下列欄位的值：

• 分隔符號：用於分隔記錄資料列的符號，例如 \n。

進階選項

• 動態饋給名稱：預先填入的值，用於識別動態饋給。
• 來源類型：用於收集記錄並匯入 Google SecOps 的方法。
• 資產命名空間：資產命名空間。
• 攝入標籤：套用至這個動態饋給事件的標籤。
• 點選「下一步」。
• 在「Finalize」畫面中查看動態饋給設定，然後按一下「Submit」。
• 按一下「產生密鑰」，即可產生密鑰來驗證這項動態饋給。
• 點選「下一步」。
• 在「Finalize」畫面中查看動態饋給設定，然後按一下「Submit」。

設定 Zscaler 資料遺失防護

1. 在 Zscaler Internet Access 控制台中，依序前往「Administration」(管理) >「Nanolog Streaming Service」(Nanolog 串流服務) >「Cloud NSS Feeds」(雲端 NSS 動態饋給)。
2. 按一下「新增雲端 NSS 動態饋給」。
3. 在「動態饋給名稱」欄位中輸入動態饋給的名稱。
4. 在「NSS Type」中選取「NSS for Web」。
5. 從「狀態」清單中選取狀態，即可啟用或停用 NSS 動態饋給。
6. 請將「SIEM Rate」選單中的值保留為「Unlimited」。如要因授權或其他限制而抑制輸出串流，請變更該值。
7. 在「SIEM 類型」清單中選取「其他」。
8. 在「OAuth 2.0 驗證」清單中選取「已停用」。
9. 在「最大批次大小」中，輸入 SIEM 最佳做法中個別 HTTP 要求酬載的大小限制 (例如 512 KB)。

10. 在 API 網址中輸入 Chronicle API 端點的 HTTPS 網址，格式如下：

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION：Google SecOps 執行個體所在的區域 (例如 US)。
    • GOOGLE_PROJECT_NUMBER：BYOP 專案編號 (請向 C4 取得)。
    • LOCATION：Google SecOps 區域 (例如「US」)。
    • CUSTOMER_ID：Google SecOps 客戶 ID (請向 C4 取得)。
    • FEED_ID：在建立的新 webhook 的動態饋給 UI 中顯示的動態饋給 ID。

    API 網址範例：

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. 按一下「Add HTTP Header」，然後使用以下格式新增 HTTP 標頭：

    • Header 1：Key1： X-goog-api-key 和 Value1：在 Google Cloud BYOP 的 API 憑證中產生的 API 金鑰。
    • Header 2：Key2: X-Webhook-Access-Key 和 Value2: 在 webhook 的「SECRET KEY」中產生的 API 密鑰。

12. 從「記錄類型」清單中選取「端點資料外洩防護」。

13. 在「動態饋給輸出類型」清單中選取「JSON」。

14. 將「Feed Escape Character」設為 , \ "。

15. 如要新增欄位至動態饋給輸出格式，請在「動態饋給輸出類型」清單中選取「自訂」。

16. 複製貼上動態饋給輸出格式，然後新增欄位。請確認鍵名稱與實際欄位名稱相符。

    以下是預設的動態饋給輸出格式：

    \{ "sourcetype" : "zscalernss-edlp", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","login":"%s{user}","dept":"%s{department}","filetypename":"%s{filetypename}","filemd5":"%s{filemd5}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpcounts}","dlpenginenames":"%s{dlpengnames}","channel":"%s{channel}","actiontaken":"%s{actiontaken}","severity":"%s{severity}","rulename":"%s{triggeredrulelabel}","itemdstname":"%s{itemdstname}"\}\}
    

17. 在「Timezone」清單中，選取輸出檔案中「Time」欄位的時區。根據預設，時區會設為貴機構的時區。

18. 查看已設定的設定。

19. 按一下「儲存」即可測試連線。如果連線成功，畫面上會顯示綠色勾號，並顯示「Test Connectivity Successful: OK (200)」訊息。

如要進一步瞭解 Google SecOps 動態饋給，請參閱 Google SecOps 動態饋給說明文件。如要瞭解各個動態饋給類型的規定，請參閱「依類型分類的動態饋給設定」。

如果在建立動態饋給時遇到問題，請與 Google SecOps 支援團隊聯絡。

支援的 Zscaler DLP 記錄格式

Zscaler DLP 剖析器支援 JSON 格式的記錄。

支援的 Zscaler DLP 範例記錄

• JSON：

  {
    "sourcetype": "zscalernss-edlp",
    "event": {
      "time": "Thu Jun 20 21:14:56 2024",
      "recordid": "7382697059455533057",
      "login": "dummy@domain.com",
      "dept": "General Group",
      "filetypename": "xlsx",
      "filemd5": "9a2d0d62c22994a98f65939ddcd3eb8f",
      "dlpdictnames": "Social Security Number (US): Detect leakage of United States Social Security Numbers|Credit Cards: Detect leakage of credit card information|Aadhaar Card Number (India): Detect Leakage of Indian Aadhaar Card Numbers",
      "dlpdictcount": "1428|141|81",
      "dlpenginenames": "Dummy Engine|cc|PCI|GLBA|HIPAA",
      "channel": "Removable Storage",
      "actiontaken": "Confirm Allow",
      "severity": "High Severity",
      "rulename": "Endpoint_DLP_",
      "itemdstname": "Removable Storage"
    }
  }
  

UDM 對應表

下表列出 ZSCALER_DLP 記錄類型的記錄欄位，以及對應的 UDM 欄位。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。