Zscaler Internet Access と Sentinel の統合

# はじめに
セキュアウェブゲートウェイ (クラウドプロキシ) として有名な Zscaler Internet Access (ZIA)。こちらのアクセスログを SIEM で分析したいという要件は多いと思います。今回は Microsoft の SIEM 製品である Sentinel で ZIA のログを分析してみます。

# Sentinel とは？
Sentinel の説明はいろいろ記事があるため簡単な紹介だけ。以下が特長です。
- Microsoft の Azure で提供する クラウドネイティブ SIEM
- Azure サブスクリプションさえあればすぐに使い始めることが可能
- スケーラブルで使った分だけ従量課金
- UEBA や SOAR の機能も備える

詳細はこちらから。
https://learn.microsoft.com/ja-jp/azure/sentinel/overview

# ZIA のログ取り込み
Sentinel で分析するためにはまず ZIA のログを Log Analytics ワークスペースに取り込む必要があります。2022.11 時点ではクラウド同士の連携機能ができないため、ZIAの Nanolog Streaming Service (NSS) サーバと CEF コレクターを使用します。今回は Azure で確認していますが、他クラウドやオンプレでも OK です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/b9ef517f-77c7-6b3c-9b4b-b2781be42ded.png)


各構成を詳細に説明すると大変なので、このあたりは公式ドキュメントに任せます。

**Nanolog Streaming Service を構成**
https://help.zscaler.com/zia/nss-deployment-guide-microsoft-azure

**CEF コレクターを構成**
https://learn.microsoft.com/ja-jp/azure/sentinel/connect-log-forwarder?tabs=rsyslog
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/7a9a0423-6808-ec1a-592b-0cbce8c63a7b.png)


# 動作確認
問題なく構成できていれば、Log Analytics ワークスペースに以下のように Zscaler のログが CommonSecurityLog として記録されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/0b656678-9863-cd03-424b-bae323d450d0.png)

# 脅威検知
まずは「コンテンツ ハブ」から分析ルールや可視化用のブックを有効化します。コンテンツ ハブはデータ ソースごとにこれらの関連リソースをまとめてデプロイするためのコンテンツセットのギャラリーと考えていただければと思います。こちらを有効化しなくても分析ルールやブックなどが元々入っているものもありますが、よりサービスにフォーカスした形になっているので、まずは分析したいサービスがないか探すようにしましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/6c118847-9286-42e0-3aee-f448f08fb2bc.png)

次に分析ルールを確認して有効化します。
Zscaler に関連する分析ルールだけでも2022.11 現在で 40 以上あります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/b5ea42f5-88f1-1ba1-a43f-54b33f94d44e.png)

こちらを有効化することで分析ルールによる脅威検知が可能になります。
検知したインシデントは以下のようになります。こちらは不正な認証失敗のリクエストが大量に発生したケースです。ちなみにこちらのルールは Advanced Security Information Model (ASIM) という技術を使い、ZIA のログを正規化したログで分析をしているため、ZIA の他にもSquid ログなども併せて分析可能になります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/24f2dcaa-5708-3302-fd0e-171b47672b46.png)


こちらは取り込んだ脅威情報との突き合わせにより、脅威のある IP アドレスへのアクセスを ZIA のログから検知した結果です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/99eec369-e4a6-6d47-99d1-3989d7a8a4a8.png)


# 可視化
可視化は主にブックの機能を使用します。こちらも組み込みやコンテンツ ハブで提供されており、すぐ使うことが可能です。こちらに関しては正直なところ ZIA ポータル上でもかなりの範囲できれいに可視化できるので、単純な可視化の要件であればあえて Sentinel を使う必要もないかとは思います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/25cc44da-8e17-4487-9603-b557012ce78b.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/8171b787-3de7-6d76-d5a1-b35030f7347c.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/44ab9a60-4543-32eb-0420-973e9aedc1cb.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/4a223407-b19e-77a4-4f35-b0236a7393c7.png)


# セキュリティ運用自動化
いわゆる SOAR の領域ですが、Sentinel では Azure のサービスである Logic Apps を使用します。こちらを使うことで、Teams や Slack への通知やメールの送信、ServiceNow などの起票、ファイアウォール・プロキシへの IP や URL のブロックルールの作成、端末の隔離、ストレージサービスへの証跡の格納などがノーコードで実現可能です。
ZIA 関連では以下のようなテンプレートが準備されています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/b2386b2a-1eed-849c-9d5e-29c2f507aa37.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2981313/48b5a40b-7878-e3c6-4157-e6e197057e79.png)

こちらを使用することで、通常オペレータが実施していたような、インシデントに関連する IP アドレスや URL のブロックルール登録を自動化することが可能になります。

# まとめ
今回の記事では Sentinel を使用して ZIA のログの分析を行ってみました。今回紹介したものはすべて組み込みで提供されていますので、Azure のサブスクリプションさえあれば、すぐ使い始めることが可能です。ぜひ Zscaler のログ保管・分析を Sentinel で始めてみてはいかがでしょうか。