Zscaler Internet AccessとMicrosoft Defender for Cloud Appsを連携してみた

事前に必要な情報は以下の通りです。

連携手順

手順の流れとしては以下の通りです。
    １．    Zscaler NSS構築
    ２．    Zscaler NSSフィード設定
    ３．    MDCA ログ受信フォーマット設定、およびAPIトークン生成
    ４．    Zscaler NSS MDCA連携設定
    ５．    MDCA 否認アプリケーション設定
    ６．    Zscaler APIトークン登録

以降では各手順のポイントを説明します。
詳細手順は、公式ヘルプをご覧ください。

1. Zscaler NSS構築

ZIAのログ情報をMDCAへ連携するためにZscaler NSSを構築します。

Zscaler NSSを構築するための手順は公式ページをご参照ください。
※NSSのNSSフィードを追加するステップまで実施してください。

2. Zscaler NSSフィード設定

NSSを構築後、MDCAへ連携するログフォーマットの設定を行います。

Zscalerポータルの左のメニューから[管理] > [Nanolog配信サービス]をクリックします。
[NSSフィード]タブをクリックし、[追加 MCAS NSSフィード]をクリックします。

MDCAへ連携するログフォーマットを設定し、[保存]をクリックします。

• フィード名：任意
• NSSサーバ： 1で作成したNSS指定
• ステータス：有効

※その他項目はデフォルト設定とします。

左のメニューから[有効化] > [有効化]をクリックし、設定を反映します。以上、ZIAからMDCAへ連携するログフォーマットの設定が完了です。

3. MDCA ログ受信フォーマット設定、およびAPIトークン生成

MDCAで、ZIAのログ情報を受信する設定を行います。

Microsoft Defenderポータルの左のメニューから[設定] > [クラウドアプリ]をクリックします。
[クラウド検出] > [ログの自動アップロード]をクリックし、[データソース]タブの[データソースを追加]をクリックします。

以下項目を入力・選択し、[追加]をクリックします。

• 名前：NSS
• ソース：Zscaler ‐ QRadar LEEF
• レシーバーの種類：Syslog - UDP

　※ 上記全て固定設定となります。変更すると受信ができなくなります。

次に、ZscalerとAPI連携するためのトークンを生成します。

[システム] > [APIトークン]をクリックし、[トークンの追加]をクリックします。

トークン名は任意の名称を入力し、[生成]をクリックします。

「APIトークンが正常に生成されました」と表示されたことを確認します。
以下2点は以降の手順で使用するため、テキストファイルなど等へ貼り付けし保存しておきましょう。

• APIトークン・・・・コピーアイコンをクリック
• URL

　※後からAPIトークンをコピーできないため、必ず保存してください。

以上、MDCA ログ受信フォーマット設定、およびAPIトークン生成が完了です。

4. Zscaler NSSのMDCA連携設定

Zscaler NSSへ、MDCA連携を行うための設定を行います。
Zscaler NSSがMicrosoftテナントを識別するため、APIトークンやURLを入力します。

Zscaler NSSへSSHでログインし、以下のコマンドを実行します。
各項目を入力・Enterキーの押下を繰り返し、「MCAS enabled!」と表示されることを確認します。

以上、Zscaler NSSのMDCA連携設定が完了です。

5. MDCA 否認アプリケーション設定

ZIAとMDCAを連携する上で、MDCAで事前準備が必要です。

MDCA側で否認アプリケーションを1つ以上定義する必要があります。
定義していない場合、ZIAへアプリケーション情報の連携は行われません。

Microsoft Defenderポータルの左のメニューから[クラウドアプリ] > [クラウドアプリカタログ]をクリックします。
任意のアプリケーションを「承認しない」に設定します。

以上、MDCA 否認アプリケーション設定が完了です。

6. Zscaler APIトークン登録

ZIAへAPIトークンを登録し、MDCAとの連携を行います。

Zscalerポータルの左のメニューから[管理] > [パートナー統合]をクリックします。
[Microsoft Cloud App Security]タブをクリックし、Microsoft Cloud App Security（MCAS）認証トークンへMDCAで生成したAPIトークンを入力します。

[テスト]をクリックし、「トークンは有効です。(略)」と表示されることを確認します。

以下の通り、最終同期が行われたこと、アプリケーションURLが連携されたことを確認します。

以上、Zscaler APIトークン登録が完了です。