Zscaler ZIA

Zscaler ZIA 로그를 Panther 콘솔에 연결하기

개요

Panther는 수집을 지원합니다 Zscaler HTTP 소스 또는 AWS S3 소스 중 하나를 사용하여 인터넷 및 SaaS 액세스(ZIA) 로그입니다.

Panther에 Zscaler ZIA 로그를 온보딩하려면 Zscaler ZIA 구독이 있어야 합니다.

Zscaler ZIA 로그를 Panther에 온보딩하는 방법

Panther에 Zscaler ZIA 로그를 온보딩하려면 먼저 Panther에서 Zscaler ZIA 소스를 생성한 다음 Zscaler에서 NSS Cloud Feed를 구성해야 합니다.

하나 이상의 Zscaler ZIA 로그 유형 을(를) Panther에 온보딩하는 경우:

• Zscaler에서는 각 로그 유형마다 다른 NSS Cloud Feed를 생성해야 합니다.

• Panther에서는 모든 NSS Cloud Feed에 대해 하나의 Zscaler ZIA 소스를 생성하거나 각 NSS Cloud Feed마다 하나의 Zscaler ZIA 소스를 생성할 수 있습니다.

전제 조건

• Zscaler 관리 콘솔에 접근할 수 있는 권한이 있어야 합니다.

1단계: Panther에서 Zscaler ZIA 소스 설정

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 오른쪽 상단에서 클릭 새로 만들기.

3. "Zscaler ZIA"를 검색한 다음 해당 타일을 클릭합니다.

4. 다음 전송 메커니즘 드롭다운에서 이 통합에 사용하려는 데이터 전송 방법을 선택합니다: HTTP 또는 AWS S3 버킷.

   • Zscaler를 구성하여 ZIA 로그를 Panther HTTP 엔드포인트로 직접 스트리밍하거나, Panther가 가져올 귀하의 환경 내 S3 버킷으로 스트리밍하도록 설정할 수 있습니다.

     
5. 클릭 설정 시작.

6. 선택한 데이터 전송 방법을 구성하기 위한 Panther의 지침을 따르십시오:

   • HTTP: Panther의 지침을 따르십시오 HTTP 소스 구성에 대한 지침을(를) 따르십시오. 5단계에서 시작합니다.

     • 설정 중에, 구성 페이지에서 다음을 사용해야 합니다 공유 비밀 인증.

     • 이 소스로 전송되는 페이로드는 모든 HTTP 소스에 대한 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • S3: 다음을 따르세요 S3 소스를 구성하기 위한 Panther의 지침.

     • 다음을 따르세요 Panther에서 S3 소스를 설정하는 방법에 대한 지침, 1.5단계부터 시작합니다.

2단계( S3 수집 전용 ): S3 버킷 설정

• 이 Zscaler SaaS Security API 및 Amazon S3 배포 가이드에서 다음을 따르십시오 Amazon S3와 Zscaler Cloud NSS 통합 지침은 18페이지부터 시작합니다.

  • 다음 항목에 도달하면 중지하십시오 ZIA 관리 포털에서 Cloud NSS Feed 추가 (37페이지에 있음), 다음 단계에서 이를 완료할 것이므로 여기서 중지합니다.

3단계: Zscaler 관리 콘솔에서 Cloud NSS Feed 구성

하나 이상의 Zscaler ZIA 로그 유형각 로그 유형마다 다른 NSS Cloud Feed를 생성해야 합니다. 이 단계를 각 로그 유형에 대해 반복하십시오.

HTTP 소스

데이터 전송으로 HTTP를 사용하는 경우:

• Zscaler 내 안내서를 따르십시오 Cloud NSS Feed 추가 온보딩하는 로그 유형에 따라 문서를 참조하십시오:

  • 다음을 위해 Zscaler.ZIA.AdminAuditLog, 다음을 따르십시오 관리자 감사 로그용 Cloud NSS Feed 추가.

  • 다음을 위해 Zscaler.ZIA.WebLog, 다음을 따르십시오 웹 로그용 Cloud NSS Feed 추가.

  • 다음을 위해 Zscaler.ZIA.FWLog, 다음을 따르십시오 방화벽 로그용 Cloud NSS Feed 추가.

  • 다음을 위해 Zscaler.ZIA.DNSLog, 다음을 따르십시오 DNS 로그용 Cloud NSS Feed 추가.

• Cloud NSS Feed를 구성할 때 다음 사항을 기록해 두십시오:

  • NSS 유형: 선택하세요 웹용 NSS 온보딩하려는 경우 관리자 감사 또는 웹 로그 유형, 또는 방화벽용 NSS 온보딩하려면 Firewall 또는 DNS 로그 유형.

  • SIEM 비율: 다음으로 둡니다 무제한.

  • SIEM 유형: 선택하세요 기타.

  • OAuth 2.0 인증: 이 설정은 비활성화되어야 합니다.

  • 최대 배치 크기: 그대로 두십시오.

  • API URL: Panther에서 이전 단계에서 생성한 호스트 Panther 콘솔에서 생성한 1단계.

  • HTTP 헤더: 에서 키 1 필드에 x-panther-zscaler. 에서 값 1 화면이 표시됩니다. 공유 비밀 값 Panther에서 생성하거나 입력한 1단계.

  • 로그 유형: Panther로 로그를 보내려는 로그 유형을 선택하고 나머지 필드는 그대로 두십시오.

  • 시간대: 선택 GMT, 다음과 같이 Panther는 UTC 타임스탬프를 예상합니다.

S3 소스

지원되는 로그 유형

Zscaler.ZIA.AdminAuditLog

관리자 감사 로그는 로그인, 로그아웃, 리소스 작업(생성 및 업데이트와 같은)과 같은 Zscaler 관리 콘솔의 주요 이벤트를 기록합니다. 관리자 감사 로그는 주로 잠재적으로 의심스러운 활동을 조사하거나 오류를 진단하고 문제를 해결하는 데 사용됩니다.

참조:

• 감사 로그에 대한 일반 정보

• 관리자 감사 로그 형식

스키마: Zscaler.ZIA.AdminAuditLog
설명: Zscaler ZIA 관리자 감사 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-admin-audit-logs
필드:
  - 이름: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 감사 로그 이벤트입니다.
    type: object
    필드:
      - 이름: time
        required: true
        설명: 감사 로그의 타임스탬프.
        type: timestamp
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - 이름: recordid
        required: true
        설명: 로그의 고유 식별자입니다.
        type: string
      - 이름: action
        required: true
        설명: 수행된 작업입니다.
        type: string
      - name: category
        설명: 포털에서 작업이 수행된 위치입니다.
        type: string
      - 이름: subcategory
        설명: 포털에서 작업이 수행된 하위 위치입니다.
        type: string
      - 이름: resource
        설명: 하위 카테고리 내의 특정 위치입니다.
        type: string
      - 이름: interface
        설명: 사용자가 작업을 수행한 수단입니다.
        type: string
      - 이름: adminid
        설명: 작업을 수행한 관리자 로그인 ID입니다.
        type: string
        지표:
          - 이메일
          - actor_id
      - 이름: clientip
        설명: 관리자의 출발지 IP 주소입니다.
        type: string
        지표:
          - ip
      - 이름: result
        설명: 작업의 결과입니다.
        type: string
      - 이름: errorcode
        설명: 작업이 실패한 경우의 오류 코드입니다.
        type: string
      - 이름: auditlogtype
        설명: 관리자 감사 로그 유형입니다.
        type: string
      - 이름: preaction
        설명: 정책 또는 구성 변경 전의 데이터입니다.
        유형: json
      - 이름: postaction
        설명: 정책 또는 구성 변경 후의 데이터입니다.
        유형: json

Zscaler.ZIA.WebLog

웹 로그는 허용된 요청 및 차단된 웹사이트 요청을 포함하여 Zscaler를 통한 사용자 인터넷 활동에 대한 자세한 정보를 기록합니다. URL 카테고리, 위험 수준 및 정책 적용 조치를 추적하여 브라우징 행동 모니터링, 규정 준수 시행 및 잠재적 위협 탐지에 필수적입니다.

참조:

• 웹 로그 형식

스키마: Zscaler.ZIA.WebLog
설명: Zscaler ZIA 웹 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-web-logs
필드:
  - 이름: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 웹 로그 이벤트입니다.
    type: object
    필드:
      - 이름: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜입니다
        timeFormats:
          - '%Y-%m-%d %H:%M:%S'
        isEventTime: true
      - 이름: reason
        type: string
        설명: 서비스가 취한 조치 및 트랜잭션이 차단된 경우 적용된 정책입니다
      - 이름: event_id
        설명: 각 로그의 고유 레코드 식별자입니다
        type: string
      - 이름: protocol
        설명: 트랜잭션의 프로토콜 유형입니다
        type: string
      - 이름: action
        설명: 서비스가 트랜잭션에 대해 취한 조치입니다
        type: string
      - 이름: transactionsize
        설명: HTTP 트랜잭션의 총 크기(바이트)입니다
        type: bigint
      - 이름: responsesize
        설명: 헤더 및 페이로드를 포함한 HTTP 응답의 총 크기(바이트)입니다
        type: bigint
      - 이름: requestsize
        설명: 요청 크기(바이트)입니다
        type: bigint
      - name: ClientIP
        설명: 사용자의 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: appclass
        설명: 액세스된 웹 애플리케이션의 클래스입니다.
        type: string
      - 이름: appname
        설명: 클라우드 애플리케이션의 이름입니다
        type: string
      - 이름: bwthrottle
        설명: 구성된 대역폭 정책으로 인해 트랜잭션이 제한되었는지 여부를 나타냅니다
        type: string
      - 이름: clientpublicIP
        설명: 클라이언트 공용 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: contenttype
        설명: 콘텐츠 유형의 이름입니다
        type: string
      - 이름: department
        설명: 사용자의 부서입니다
        type: string
      - 이름: devicehostname
        설명: 장치의 호스트 이름입니다
        type: string
      - 이름: deviceowner
        설명: 장치 소유자입니다
        type: string
      - 이름: dlpdictionaries
        설명: 일치된 DLP 사전(있는 경우)입니다
        type: string
      - 이름: dlpengine
        설명: 일치된 DLP 엔진(있는 경우)입니다
        type: string
      - 이름: fileclass
        설명: 트랜잭션 중 다운로드된 파일의 클래스입니다
        type: string
      설명: 파일 제목
        설명: 트랜잭션에 관련된 파일 유형입니다.
        type: string
      - 이름: hostname
        설명: 액세스된 URL의 호스트 이름입니다.
        지표:
          - 호스트명
        type: string
      - 이름: keyprotectiontype
        설명: HSM 보호 또는 소프트웨어 보호 중간 CA 인증서가 사용되었는지 여부를 나타냅니다
        type: string
      - 이름: location
        설명: 소스의 게이트웨이 위치 또는 하위 위치입니다.
        type: string
      - 이름: pagerisk
        설명: 목적지 URL의 페이지 위험 지수 점수입니다.
        type: string
      - 이름: product
        설명: 제품 이름입니다
        type: string
      - 이름: refererURL
        설명: 리퍼러 URL입니다
        type: string
      - 이름: requestmethod
        설명: 요청 방식입니다
        type: string
      - 이름: serverip
        설명: 대상 서버 IP 주소입니다. 요청이 차단된 경우 0.0.0.0으로 표시됩니다.
        type: string
        지표:
          - ip
      - 이름: status
        설명: 응답 코드입니다
        type: string
      - 이름: threatcategory
        설명: 트랜잭션에서 탐지된 맬웨어의 카테고리(있는 경우)입니다
        type: string
      - 이름: threatclass
        설명: 트랜잭션에서 탐지된 맬웨어의 클래스(있는 경우)입니다
        type: string
      - 이름: threatname
        설명: 트랜잭션에서 탐지된 위협의 이름(있는 경우)입니다
        type: string
      - 이름: unscannabletype
        설명: 스캔할 수 없는 파일 유형입니다
        type: string
      - name: url
        required: true
        설명: 대상 URL입니다
        type: string
        지표:
          - URL
      - 이름: urlcategory
        설명: 대상 URL의 카테고리입니다
        type: string
      - 이름: urlclass
        설명: 대상 URL의 클래스입니다
        type: string
      - 이름: urlsupercategory
        설명: 대상 URL의 상위 카테고리입니다
        type: string
      - name: user
        required: true
        설명: 이메일 주소 형식의 사용자의 로그인 이름입니다
        type: string
        지표:
          - 이메일
          - actor_id
          - username
      - 이름: useragent
        설명: 사용자 에이전트입니다
        type: string
      - 이름: vendor
        설명: 공급업체 이름입니다
        type: string

Zscaler.ZIA.FWLog

방화벽 로그는 소스 및 대상 IP, 프로토콜, 포트 및 세션 동작에 대한 세부 정보를 포함하여 Zscaler ZIA 방화벽이 관리하는 비웹 트래픽 이벤트를 기록합니다. 애플리케이션 사용 모니터링, 네트워크 정책 시행 및 의심스러운 또는 무단 트래픽 패턴 식별에 사용됩니다.

참조:

• 방화벽 로그 형식

스키마: Zscaler.ZIA.FWLog
설명: Zscaler ZIA 방화벽 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-firewall-logs
필드:
  - 이름: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 방화벽 로그 이벤트입니다.
    type: object
    필드:
      - 이름: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜입니다
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - 이름: action
        설명: 서비스가 트랜잭션에 대해 취한 조치(허용 또는 차단)입니다
        type: string
      - 이름: aggregate
        설명: 방화벽 세션이 집계되었는지 여부를 나타냅니다
        type: string
      - 이름: avgduration
        설명: 세션이 집계된 경우 평균 세션 지속 시간(밀리초)입니다
        type: bigint
      - 이름: cdip
        설명: 클라이언트 대상 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: cdport
        설명: 클라이언트 소스 포트입니다
        type: bigint
      - 이름: csip
        required: true
        설명: 클라이언트 소스 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: csport
        설명: 클라이언트 소스 포트입니다
        type: bigint
      - 이름: department
        설명: 사용자의 부서입니다
        type: string
      - 이름: destcountry
        설명: 대상 IP 주소의 국가 약어 코드입니다
        type: string
      - 이름: devicehostname
        설명: 장치의 호스트 이름입니다
        type: string
      - 이름: deviceowner
        설명: 장치 소유자입니다
        type: string
      - 이름: dnat
        설명: 대상 NAT 정책이 적용되었는지 여부를 나타냅니다
        type: string
      - name: duration
        설명: 세션 또는 요청 지속 시간(초)입니다
        type: bigint
      - 이름: durationms
        설명: 세션 또는 요청 지속 시간(밀리초)입니다
        type: bigint
      - 이름: inbytes
        설명: 서버에서 클라이언트로 전송된 바이트 수입니다
        type: bigint
      - 이름: ipcat
        설명: 서버 IP 주소에 해당하는 URL 카테고리입니다
        type: string
      - 이름: ipsrulelabel
        설명: 방화벽 세션에 적용된 IPS 정책의 이름입니다
        type: string
      - 이름: locationname
        설명: 세션이 시작된 위치의 이름입니다
        type: string
      - 이름: numsessions
        설명: 집계된 세션 수입니다
        type: bigint
      - 이름: nwapp
        설명: 액세스된 네트워크 애플리케이션입니다
        type: string
      - 이름: nwsvc
        설명: 사용된 네트워크 서비스입니다
        type: string
      - 이름: outbytes
        설명: 클라이언트에서 서버로 전송된 바이트 수입니다
        type: bigint
      - name: proto
        설명: IP 프로토콜 유형입니다
        type: string
      - 이름: rulelabel
        설명: 트랜잭션에 적용된 규칙의 이름입니다
        type: string
      - 이름: sdip
        설명: 서버 대상 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: sdport
        설명: 서버 대상 포트입니다
        type: bigint
      - 이름: ssip
        설명: 서버 소스 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: ssport
        설명: 서버 소스 포트입니다
        type: bigint
      - 이름: stateful
        설명: 방화벽 세션이 상태 저장인지 여부를 나타냅니다
        type: string
      - 이름: threatcat
        설명: IPS 엔진이 방화벽 세션에서 식별한 위협의 카테고리입니다
        type: string
      - 이름: threatname
        설명: IPS 엔진이 방화벽 세션에서 탐지한 위협의 이름입니다
        type: string
      - 이름: tsip
        설명: 클라이언트(출발지)의 터널 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: tunsport
        설명: 터널 포트입니다
        type: bigint
      - 이름: tuntype
        설명: 트래픽을 방화벽으로 전송하는 데 사용된 트래픽 전달 방식입니다
        type: string
      - name: user
        required: true
        설명: 이메일 주소 형식의 사용자의 로그인 이름입니다
        type: string
        지표:
          - 이메일
          - username
          - actor_id

Zscaler.ZIA.DNSLog

DNS 로그는 허용, 차단 또는 해결되지 않은 도메인을 포함하여 Zscaler ZIA가 처리한 모든 DNS 쿼리 및 응답을 캡처합니다. 도메인 사용에 대한 가시성을 제공하고 DNS 터널링과 같은 악의적이거나 의심스러운 활동을 탐지하며 안전한 DNS 필터링을 위한 정책 시행을 지원합니다.

참조:

• DNS 로그 형식

스키마: Zscaler.ZIA.DNSLog
설명: Zscaler ZIA DNS 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-dns-logs
필드:
  - 이름: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: DNS 로그 이벤트입니다.
    type: object
    필드:
      - 이름: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜입니다
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - name: category
        type: string
        설명: 이벤트 카테고리입니다
      - 이름: clt_sip
        설명: 사용자의 IP 주소입니다
        type: string
        지표:
          - ip
      - 이름: department
        설명: 사용자의 부서입니다
        type: string
      - 이름: devicehostname
        설명: 장치의 호스트 이름입니다
        type: string
      - 이름: deviceowner
        설명: 장치 소유자입니다
        type: string
      - 이름: dns_req
        설명: DNS 요청입니다
        type: string
        지표:
          - 도메인
      - 이름: dns_reqtype
        required: true
        설명: DNS 요청 유형
        type: string
      - 이름: dns_resp
        설명: DNS 응답입니다
        type: string
      - 이름: durationms
        설명: DNS 요청의 지속 시간(밀리초)입니다
        type: bigint
      - 이름: location
        설명: 이벤트 위치입니다
        type: string
      - 이름: reqaction
        설명: DNS 요청에 적용된 조치의 이름입니다
        type: string
      - 이름: reqrulelabel
        설명: DNS 요청에 적용된 규칙의 이름입니다
        type: string
      - 이름: resaction
        설명: DNS 응답에 적용된 조치의 이름입니다
        type: string
      - 이름: respipcategory
        설명: 응답 IP 카테고리입니다
        type: string
      - 이름: resrulelabel
        설명: DNS 응답에 적용된 규칙의 이름입니다
        type: string
      - 이름: srv_dip
        설명: 서버 IP입니다
        type: string
        지표:
          - ip
      - 이름: srv_dport
        설명: 서버 포트입니다
        type: bigint
      - name: user
        required: true
        설명: 이메일 주소 형식의 로그인 이름입니다
        type: string
        지표:
          - 이메일
          - username
          - actor_id