Diese Blogseite befasst sich mit der Überwachung des Zscaler Internet Access (ZIA)-Service auf dem Client-Gerät und der Erstellung eines Warnmechanismus, der die internen Sicherheitsteams informiert, wenn der ZIA-Service deaktiviert ist. Der Zweck hinter dieser Alarmierung ist es, die Sichtbarkeit des Endpunktgeräts zu gewährleisten und die Sicherheitslage in den Unternehmensumgebungen zu verbessern.
Bevor das Skript funktioniert, müssen Sie den CLI-Zugriff in Ihren Zscaler-App-Profilen aktivieren:
Melden Sie sich beim Zscaler Client Connector Portal an.
Gehen Sie zu App-Profile > Windows (oder macOS).
Bearbeiten Sie Ihre Richtlinie und suchen Sie den Abschnitt Command Line Interface Access.
Aktivieren Sie die Befehlszeilenschnittstelle und klicken Sie auf Speichern.
Erstellen Sie ein Skript, das den ZIA-Status prüft. Wenn der Status nicht "EIN" ist, wird das Skript mit Code 1 beendet, was JumpCloud als Alarmauslöser erkennt.
Für MacOS und Windows finden Sie unter folgendem Link die entsprechenden Befehlszeilenoptionen zur Entwicklung des Skripts
Auch ein Beispielskript für die Windows-Umgebung finden Sie hier.
a.) Erstellen Sie den Befehl:
Gehen Sie zu Geräteverwaltung > Befehle.
Klicken Sie auf (+) und wählen Sie Befehl.
Fügen Sie das von Ihnen erstellte Skript oder das oben angehängte Beispielskript ein.
Setzen Sie Typ auf PowerShell (Windows) oder Bash (Mac).
Wählen Sie unter Launch Events die Option Run as Repeating.
Stellen Sie ein, dass es alle 10 Minuten wiederholt wird.
Binden Sie es an die entsprechenden Gerätegruppen.
b.) Erstellen Sie die Alert Rule:
Gehen Sie zu Insights > Alerts (oder Alerts in der linken Navigationsleiste).
Klicken Sie auf die Registerkarte Regeln und dann auf + Regel.
Wählen Sie die Vorlage Command Execution Failure.
Bedingung: Wählen Sie den Befehl, den Sie im vorherigen Schritt erstellt haben.
Priorität: Setzen Sie sie auf Hoch oder Mittel.
Aktionen: - Schalten Sie Benachrichtigungen senden um.
Konfigurieren Sie Ihren Benachrichtigungskanal (E-Mail, Slack oder Webhook). Stellen Sie sicher, dass Ihre E-Mail dem Benachrichtigungskanal unter Einstellungen > Benachrichtigungskanäle hinzugefügt wurde.
Alle 10 Minuten führt JumpCloud das Skript aus.
Wenn ZIA "AUS" oder "DEAKTIVIERT" ist, wird das Skript mit 1 beendet.
JumpCloud sieht die 1, markiert die Befehlsausführung als "Fehlschlag" und löst sofort die Warnregel aus, um Ihnen eine E-Mail zu senden.