Zscaler ZIA

Zscaler ZIA 로그를 Panther 콘솔에 연결하기

개요

Panther는 다음을 수집하는 것을 지원합니다 Zscaler HTTP 소스 또는 AWS S3 소스 중 하나를 사용하여 인터넷 및 SaaS 액세스(ZIA) 로그입니다.

Panther에 Zscaler ZIA 로그를 온보딩하려면 Zscaler ZIA 구독이 있어야 합니다.

Zscaler ZIA 로그를 Panther에 온보딩하는 방법

Panther에 Zscaler ZIA 로그를 온보딩하려면 먼저 Panther에서 Zscaler ZIA 소스를 생성한 다음 Zscaler에서 NSS Cloud Feed를 구성합니다.

다음을 온보딩하는 경우 Zscaler ZIA 로그 유형 Panther에서:

• Zscaler에서는 각 로그 유형마다 서로 다른 NSS Cloud Feed를 생성해야 합니다.

• Panther에서는 모든 NSS Cloud Feed에 대해 하나의 Zscaler ZIA 소스를 생성하거나 각 NSS Cloud Feed마다 하나의 Zscaler ZIA 소스를 생성할 수 있습니다.

사전 요구 사항

• Zscaler 관리자 콘솔에 액세스할 수 있는 권한이 있어야 합니다.

1단계: Panther에서 Zscaler ZIA 소스 설정

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 우측 상단에서 클릭 새로 만들기.

3. "Zscaler ZIA"를 검색한 다음 해당 타일을 클릭합니다.

4. 일반 구성 전송 메커니즘 드롭다운에서 통합에 사용하려는 데이터 전송 방법을 선택합니다: HTTP 이전에 생성한 Snowflake 사용자 이름, 예를 들면 AWS S3 버킷.

   • Zscaler를 구성하여 ZIA 로그를 Panther HTTP 엔드포인트로 직접 스트리밍하거나 귀하의 환경에 있는 S3 버킷으로 스트리밍하도록 할 수 있으며, Panther는 이후 해당 버킷에서 가져옵니다.

     
5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 시작.

6. 선택한 데이터 전송 방법을 구성하기 위한 Panther의 지침을 따르십시오:

   • HTTP: Panther의 지침을 따르십시오 HTTP 소스 구성에 대한 지침을 따르세요5단계부터 시작하여.

     • 설정 중에, 구성 페이지에서 다음을 사용해야 합니다 공유 비밀 인증.

     • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • S3: 다음을 따르세요 Panther의 S3 소스 구성 지침.

     • 다음을 따르세요 Panther에서 S3 소스 설정에 관한 지침에서 1.5단계부터 시작합니다.

2단계(단, S3 수집의 경우에만): S3 버킷 설정

• 이 Zscaler SaaS 보안 API 및 Amazon S3 배포 가이드에서 다음을 따르십시오 Zscaler Cloud NSS를 Amazon S3와 통합 지침은 18페이지부터 시작합니다.

  • 다음 지점에 도달하면 중단하십시오 ZIA 관리자 포털에 클라우드 NSS 피드 추가 (37페이지)에 있는 항목은 다음 단계에서 완료할 것이므로 중단합니다.

3단계: Zscaler 관리자 콘솔에서 Cloud NSS Feed 구성

다음을 온보딩하는 경우 Zscaler ZIA 로그 유형에서, 각 로그 유형마다 서로 다른 NSS Cloud Feed를 생성해야 합니다. 이 단계를 각 로그 유형마다 반복하십시오.

HTTP 소스

데이터 전송으로 HTTP를 사용하는 경우:

• Zscaler 내 가이드의 다음을 따르십시오 Cloud NSS 피드 추가 온보딩하는 로그 유형에 따라 문서를 참조하십시오:

  • 다음을 위해 Zscaler.ZIA.AdminAuditLog다음을 따르십시오 관리자 감사 로그용 Cloud NSS 피드 추가.

  • 다음을 위해 Zscaler.ZIA.WebLog다음을 따르십시오 웹 로그용 Cloud NSS 피드 추가.

  • 다음을 위해 Zscaler.ZIA.FWLog다음을 따르십시오 방화벽 로그용 Cloud NSS 피드 추가.

  • 다음을 위해 Zscaler.ZIA.DNSLog다음을 따르십시오 DNS 로그용 Cloud NSS 피드 추가.

• Cloud NSS Feed를 구성할 때 다음 사항을 유의하십시오:

  • NSS 유형: 선택하세요 웹용 NSS 온보딩하려는 경우 관리자 감사 이전에 생성한 Snowflake 사용자 이름, 예를 들면 웹 로그 유형, 또는 방화벽용 NSS 온보딩하려면 Firewall 이전에 생성한 Snowflake 사용자 이름, 예를 들면 DNS 로그 유형입니다.

  • SIEM 비율: 다음으로 두십시오 무제한.

  • SIEM 유형: 선택하세요 기타.

  • OAuth 2.0 인증: 이 설정은 비활성화되어야 합니다.

  • 최대 배치 크기: 기본값으로 두십시오.

  • API URL: Panther에서 이전 단계에서 생성한 HTTP 소스 URL Panther 콘솔에서 생성한 1단계.

  • HTTP 헤더: 키 1 필드에 x-panther-zscaler. 에서 값 1 필드에 위에서 Databricks에서 생성한 공유 비밀 값 Panther에서 생성하거나 입력한 1단계.

  • 로그 유형: 로그를 Panther로 전송하려는 로그 유형을 선택하고 나머지 필드는 그대로 두십시오.

  • 시간대: GMT, 다음과 같이 Panther는 UTC 타임스탬프를 기대합니다.

S3 소스

지원되는 로그 유형

Zscaler.ZIA.AdminAuditLog

관리자 감사 로그는 로그인, 로그아웃 및 리소스 작업(예: 생성 및 업데이트)과 같은 Zscaler 관리자 콘솔의 주요 이벤트를 기록합니다. 관리자 감사 로그는 주로 의심스러운 활동을 조사하거나 오류를 진단하고 문제를 해결하는 데 사용됩니다.

참조:

• 감사 로그에 대한 일반 정보

• 관리자 감사 로그의 형식

스키마: Zscaler.ZIA.AdminAuditLog
설명: Zscaler ZIA 관리자 감사 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-admin-audit-logs
필드:
  - name: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 감사 로그 이벤트입니다.
    type: object
    필드:
      - 이름: time
        required: true
        설명: 감사 로그의 타임스탬프.
        type: timestamp
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - name: recordid
        required: true
        설명: 로그의 고유 식별자입니다.
        type: string
      - 이름: action
        required: true
        설명: 수행된 작업입니다.
        type: string
      - name: category
        설명: 작업이 수행된 포털 내 위치입니다.
        type: string
      - name: subcategory
        설명: 작업이 수행된 포털 내 하위 위치입니다.
        type: string
      - 이름: resource
        설명: 하위 카테고리 내의 특정 위치입니다.
        type: string
      - name: interface
        설명: 사용자가 작업을 수행한 수단입니다.
        type: string
      - name: adminid
        설명: 작업을 수행한 관리자의 로그인 ID입니다.
        type: string
        지표:
          - 이메일
          - actor_id
      - name: clientip
        설명: 관리자에 대한 소스 IP 주소입니다.
        type: string
        지표:
          - ip
      - 이름: result
        설명: 작업의 결과입니다.
        type: string
      - name: errorcode
        설명: 작업이 실패한 경우의 오류 코드입니다.
        type: string
      - name: auditlogtype
        설명: 관리자 감사 로그 유형입니다.
        type: string
      - name: preaction
        설명: 정책 또는 구성 변경 전의 데이터입니다.
        유형: json
      - name: postaction
        설명: 정책 또는 구성 변경 후의 데이터입니다.
        유형: json

Zscaler.ZIA.WebLog

웹 로그는 허용 및 차단된 웹 사이트 요청을 포함하여 Zscaler를 통한 사용자 인터넷 활동에 대한 자세한 정보를 기록합니다. URL 카테고리, 위험 수준 및 정책 시행 조치를 추적하여 브라우징 행동 모니터링, 규정 준수 시행 및 잠재적 위협 탐지에 필수적입니다.

참조:

• 웹 로그의 형식

스키마: Zscaler.ZIA.WebLog
설명: Zscaler ZIA 웹 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-web-logs
필드:
  - name: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 웹 로그 이벤트입니다.
    type: object
    필드:
      - name: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜
        timeFormats:
          - '%Y-%m-%d %H:%M:%S'
        isEventTime: true
      - 이름: reason
        type: string
        설명: 서비스가 취한 조치 및 트랜잭션이 차단된 경우 적용된 정책입니다
      - name: event_id
        설명: 각 로그의 고유 기록 식별자
        type: string
      - 이름: protocol
        설명: 트랜잭션의 프로토콜 유형
        type: string
      - 이름: action
        설명: 서비스가 트랜잭션에 대해 취한 조치
        type: string
      - name: transactionsize
        설명: 바이트 단위의 HTTP 트랜잭션 총 크기
        type: bigint
      - name: responsesize
        설명: 헤더 및 페이로드를 포함한 HTTP 응답의 총 크기(바이트)
        type: bigint
      - name: requestsize
        설명: 요청 크기(바이트)
        type: bigint
      - name: ClientIP
        설명: 사용자의 IP 주소
        type: string
        지표:
          - ip
      - name: appclass
        설명: 액세스된 애플리케이션의 웹 애플리케이션 분류입니다.
        type: string
      - name: appname
        설명: 클라우드 애플리케이션의 이름
        type: string
      - name: bwthrottle
        설명: 구성된 대역폭 정책으로 인해 트랜잭션이 제한되었는지 여부를 나타냅니다
        type: string
      - name: clientpublicIP
        설명: 클라이언트 공용 IP 주소
        type: string
        지표:
          - ip
      - name: contenttype
        설명: 콘텐츠 유형의 이름
        type: string
      - name: department
        설명: 사용자의 부서
        type: string
      - name: devicehostname
        설명: 장치의 호스트 이름
        type: string
      - name: deviceowner
        설명: 장치 소유자
        type: string
      - name: dlpdictionaries
        설명: 일치한 DLP 사전(있는 경우)
        type: string
      - name: dlpengine
        설명: 일치한 DLP 엔진(있는 경우)
        type: string
      - name: fileclass
        설명: 트랜잭션 중에 다운로드된 파일의 분류
        type: string
      설명: 파일명
        설명: 트랜잭션에 관련된 파일 유형입니다.
        type: string
      - 이름: hostname
        설명: 액세스 중인 URL의 호스트 이름입니다.
        지표:
          - hostname
        type: string
      - name: keyprotectiontype
        설명: HSM 보호 또는 소프트웨어 보호 중간 CA 인증서가 사용되었는지 여부를 나타냅니다
        type: string
      - 이름: location
        설명: 소스의 게이트웨이 위치 또는 하위 위치입니다.
        type: string
      - name: pagerisk
        설명: 대상 URL의 페이지 위험 지수 점수입니다.
        type: string
      - 이름: product
        설명: 제품 이름
        type: string
      - name: refererURL
        설명: 참조자 URL
        type: string
      - name: requestmethod
        설명: 요청 방법
        type: string
      - name: serverip
        설명: 대상 서버 IP 주소입니다. 요청이 차단된 경우 0.0.0.0으로 표시됩니다.
        type: string
        지표:
          - ip
      - 이름: status
        설명: 응답 코드
        type: string
      - name: threatcategory
        설명: 트랜잭션에서 감지된 맬웨어의 카테고리(있는 경우)
        type: string
      - name: threatclass
        설명: 트랜잭션에서 감지된 맬웨어의 분류(있는 경우)
        type: string
      - name: threatname
        설명: 트랜잭션에서 감지된 위협의 이름(있는 경우)
        type: string
      - name: unscannabletype
        설명: 스캔 불가능한 파일 유형
        type: string
      - name: url
        required: true
        설명: 대상 URL
        type: string
        지표:
          - url
      - name: urlcategory
        설명: 대상 URL의 카테고리
        type: string
      - name: urlclass
        설명: 대상 URL의 클래스
        type: string
      - name: urlsupercategory
        설명: 대상 URL의 상위 카테고리
        type: string
      - name: user
        required: true
        설명: 이메일 주소 형식의 사용자의 로그인 이름
        type: string
        지표:
          - 이메일
          - actor_id
          - username
      - name: useragent
        설명: 사용자 에이전트
        type: string
      - name: vendor
        설명: 공급업체 이름
        type: string

Zscaler.ZIA.FWLog

방화벽 로그는 소스 및 대상 IP, 프로토콜, 포트 및 세션 작업에 대한 세부 정보를 포함하여 Zscaler ZIA 방화벽이 관리하는 웹이 아닌 트래픽 이벤트를 기록합니다. 애플리케이션 사용 모니터링, 네트워크 정책 시행 및 의심스럽거나 무단 트래픽 패턴 식별에 사용됩니다.

참조:

• 방화벽 로그의 형식

스키마: Zscaler.ZIA.FWLog
설명: Zscaler ZIA 방화벽 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-firewall-logs
필드:
  - name: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: 방화벽 로그 이벤트입니다.
    type: object
    필드:
      - name: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - 이름: action
        설명: 서비스가 트랜잭션에 대해 취한 조치, 허용 또는 차단
        type: string
      - name: aggregate
        설명: 방화벽 세션이 집계되었는지 여부를 나타냅니다
        type: string
      - name: avgduration
        설명: 세션이 집계된 경우 평균 세션 지속 시간(밀리초)
        type: bigint
      - name: cdip
        설명: 클라이언트 대상 IP 주소
        type: string
        지표:
          - ip
      - name: cdport
        설명: 클라이언트 소스 포트
        type: bigint
      - name: csip
        required: true
        설명: 클라이언트 소스 IP 주소
        type: string
        지표:
          - ip
      - name: csport
        설명: 클라이언트 소스 포트
        type: bigint
      - name: department
        설명: 사용자의 부서
        type: string
      - name: destcountry
        설명: 대상 IP 주소의 국가 약어 코드
        type: string
      - name: devicehostname
        설명: 장치의 호스트 이름
        type: string
      - name: deviceowner
        설명: 장치 소유자
        type: string
      - name: dnat
        설명: 대상 NAT 정책이 적용되었는지 여부를 나타냅니다
        type: string
      - name: duration
        설명: 세션 또는 요청 지속 시간(초)
        type: bigint
      - name: durationms
        설명: 세션 또는 요청 지속 시간(밀리초)
        type: bigint
      - name: inbytes
        설명: 서버에서 클라이언트로 전송된 바이트 수
        type: bigint
      - name: ipcat
        설명: 서버 IP 주소에 해당하는 URL 카테고리
        type: string
      - name: ipsrulelabel
        설명: 방화벽 세션에 적용된 IPS 정책의 이름
        type: string
      - name: locationname
        설명: 세션이 시작된 위치의 이름
        type: string
      - name: numsessions
        설명: 집계된 세션 수
        type: bigint
      - name: nwapp
        설명: 액세스된 네트워크 애플리케이션
        type: string
      - name: nwsvc
        설명: 사용된 네트워크 서비스
        type: string
      - name: outbytes
        설명: 클라이언트에서 서버로 전송된 바이트 수
        type: bigint
      - name: proto
        설명: IP 프로토콜 유형
        type: string
      - name: rulelabel
        설명: 트랜잭션에 적용된 룰의 이름
        type: string
      - name: sdip
        설명: 서버 대상 IP 주소
        type: string
        지표:
          - ip
      - name: sdport
        설명: 서버 대상 포트
        type: bigint
      - name: ssip
        설명: 서버 소스 IP 주소
        type: string
        지표:
          - ip
      - name: ssport
        설명: 서버 소스 포트
        type: bigint
      - name: stateful
        설명: 방화벽 세션이 상태 저장형인지 여부를 나타냅니다
        type: string
      - name: threatcat
        설명: IPS 엔진에 의해 방화벽 세션에서 식별된 위협의 카테고리
        type: string
      - name: threatname
        설명: IPS 엔진에 의해 방화벽 세션에서 감지된 위협의 이름
        type: string
      - name: tsip
        설명: 클라이언트(소스)의 터널 IP 주소
        type: string
        지표:
          - ip
      - name: tunsport
        설명: 터널 포트
        type: bigint
      - name: tuntype
        설명: 트래픽을 방화벽으로 전송하는 데 사용된 트래픽 전달 방식
        type: string
      - name: user
        required: true
        설명: 이메일 주소 형식의 사용자의 로그인 이름
        type: string
        지표:
          - 이메일
          - username
          - actor_id

Zscaler.ZIA.DNSLog

DNS 로그는 허용되었거나 차단되었거나 확인되지 않은 도메인을 포함하여 Zscaler ZIA가 처리한 모든 DNS 쿼리 및 응답을 캡처합니다. 도메인 사용에 대한 가시성을 제공하고 DNS 터널링과 같은 악의적 또는 의심스러운 활동을 탐지하는 데 도움을 주며 안전한 DNS 필터링을 위한 정책 시행을 지원합니다.

참조:

• DNS 로그의 형식

스키마: Zscaler.ZIA.DNSLog
설명: Zscaler ZIA DNS 로그
참고 URL: https://help.zscaler.com/zia/nss-feed-output-format-dns-logs
필드:
  - name: sourcetype
    required: true
    설명: 로그 이벤트를 생성하는 소스의 유형입니다.
    type: string
  - name: event
    required: true
    설명: DNS 로그 이벤트입니다.
    type: object
    필드:
      - name: datetime
        required: true
        type: timestamp
        설명: 트랜잭션의 시간 및 날짜
        timeFormats:
          - '%a %b %e %H:%M:%S %Y'
        isEventTime: true
      - name: category
        type: string
        설명: 이벤트 카테고리
      - name: clt_sip
        설명: 사용자의 IP 주소
        type: string
        지표:
          - ip
      - name: department
        설명: 사용자의 부서
        type: string
      - name: devicehostname
        설명: 장치의 호스트 이름
        type: string
      - name: deviceowner
        설명: 장치 소유자
        type: string
      - name: dns_req
        설명: DNS 요청
        type: string
        지표:
          - 도메인
      - name: dns_reqtype
        required: true
        설명: DNS 요청 유형
        type: string
      - name: dns_resp
        설명: DNS 응답
        type: string
      - name: durationms
        설명: DNS 요청의 지속 시간(밀리초)
        type: bigint
      - 이름: location
        설명: 이벤트 위치
        type: string
      - name: reqaction
        설명: DNS 요청에 적용된 조치의 이름
        type: string
      - name: reqrulelabel
        설명: DNS 요청에 적용된 룰의 이름
        type: string
      - name: resaction
        설명: DNS 응답에 적용된 조치의 이름
        type: string
      - name: respipcategory
        설명: 응답 IP 카테고리
        type: string
      - name: resrulelabel
        설명: DNS 응답에 적용된 룰의 이름
        type: string
      - name: srv_dip
        설명: 서버 IP
        type: string
        지표:
          - ip
      - name: srv_dport
        설명: 서버 포트
        type: bigint
      - name: user
        required: true
        설명: 이메일 주소 형식의 로그인 이름
        type: string
        지표:
          - 이메일
          - username
          - actor_id