hub do fabricante
Zscaler
Tudo o que o ronutz.com tem sobre Zscaler, num só lugar: as ferramentas, agrupadas por família, os artigos e, quando existem, os guias de certificação, uma trilha de leitura, o capítulo de carreira, o registro da indústria e a linhagem. As ferramentas calculam localmente, no seu navegador; os artigos se baseiam na documentação do fabricante.
O trabalho com a Zscaler →
O capítulo de carreira: como foi de fato o trabalho com a Zscaler, quais contas, quais escalonamentos e que certificações ele rendeu.
A história da Zscaler na seção Indústria →
Como a Zscaler chegou até aqui: as aquisições, as viradas e as pessoas cujo trabalho foi parar dentro da plataforma.
Linhagem da Zscaler →
Do que a Zscaler é feita, e quem a fez. Cada aquisição abaixo é conferida em fontes primárias e traz a linha de produto em que se transformou, quando essa ligação está documentada, e não apenas deduzida.
Preparação para certificação
Ferramentas (10)
Zscaler Zero Trust Exchange
Explicador de decisão de encaminhamento do ZCC
Cole uma postura do Client Connector (estado de rede, ação de ZIA, versão de túnel) e leia de volta a espinha documentada de encaminhamento, camada por camada - com os mecanismos de bypass explicados, e a razão de isto ser um explicador e não um simulador declarada de saída.
RedesExplicador de fatores do score ZDX
Cole as métricas que o ZDX expõe e leia de volta o que cada uma é: família de probe, significado documentado, o score contra a faixa Poor documentada, e as notas de honestidade sobre o que a Zscaler não publica.
RedesPlanejador de Bypass SSL do ZIA
Cole uma lista de ativos e receba um plano determinístico de inspeção TLS: o que inspeciona, o que ganha uma regra Do Not Inspect, o que precisa de bypass no Client Connector — cada um com raciocínio referenciado, um livro-razão de pontos cegos e a checklist de salvaguardas.
Segurança e WAFSeletor de Túneis Zscaler
Responda seis perguntas sobre uma localidade - banda, HA, IP estático, criptografia, suporte a GRE, NAT dos endpoints - e receba a recomendação determinística GRE vs IPsec com a contagem mínima de túneis, calculada a partir dos números publicados pela própria Zscaler, com cada passo exibido.
RedesSimulador de ordem de regras do firewall ZIA
Cole uma lista de regras de Firewall Filtering e um flow opcional: veja a avaliação em ordem crescente com parada na primeira correspondência, descubra qual regra (ou a regra padrão negar-por-padrão) decide, e receba achados de sombreamento em pares nomeando as regras que nunca podem disparar.
Segurança e WAF
Fingerprints TLS
Analisador de entropia de User-Agent
Cole uma string de User-Agent e veja os tokens identificadores que ela expõe, os bits distintivos que cada um contribui e a migração para Client Hints.
Segurança e WAFDecodificador de fingerprint TLS JA4 / JA3
Decodifique um fingerprint JA4 de cliente TLS ou um JA3 em seus campos, calcule o JA4 com hash a partir dos valores brutos, ou calcule um MD5 de JA3. Detecta automaticamente qual você colar. Tudo no seu navegador.
Segurança e WAFExplicador de assinatura TCP/IP passiva p0f
Decodifique uma impressão digital SYN do p0f v3 em seus oito campos e veja o que cada um revela sobre o SO, o caminho de rede e a pilha do remetente.
RedesFingerprint TLS passivo JA3 / JA3N
Cole uma string JA3 e ela recomputa o hash JA3, computa o JA3N estável a permutação, decodifica os campos, e sinaliza valores GREASE.
Segurança e WAFImpressão digital pela ordem de cabeçalhos HTTP
Cole um bloco de cabeçalhos de requisição e veja como a ordem e a caixa dos cabeçalhos identificam o cliente - o análogo em HTTP passivo do JA3.
Segurança e WAF
Artigos (29)
Zscaler Zero Trust Exchange
Campos de log do ZIA: o vocabulário em que as investigações são escritas
Um feed de log do ZIA é um template de campos que você escolhe - %s{login}, %s{csip}, %s{action} - e saber qual campo carrega o quê é a diferença entre um log e uma resposta. A divisão de trabalho web-versus-firewall, os campos com prefixo de ofuscação que pseudonimizam identidade, a regra de hex-encoding que mantém URLs hostis interpretáveis, e a sutileza do tier Standard em que sessões permitidas logam em agregado enquanto bloqueios logam por sessão.
Segurança e WAFLerCinco fabricantes de SSE, uma decisão, cinco respostas diferentes
Todo secure service edge precisa responder à mesma pergunta: este fluxo passa? Zscaler, Netskope, F5 Distributed Cloud, FortiSASE e Prisma Access respondem com maquinários genuinamente diferentes, e é nessas diferenças que as migrações dão errado.
Segurança e WAFLerCloud Firewall do ZIA: a ordem das regras é o jogo inteiro
A política de Firewall Filtering é uma máquina de primeira correspondência: regras avaliadas em ordem crescente, a avaliação para no primeiro acerto, e a regra padrão indeletável no fundo bloqueia tudo o que caiu através. A anatomia das regras, a convenção any-significa-ignorado, regras desabilitadas que guardam o lugar, o padrão de política recomendada, e a falha de sombreamento que a ordem torna possível.
Segurança e WAFLerComo levar o tráfego até o ZIA: a decisão de encaminhamento
Um proxy em nuvem só protege o que chega até ele, então todo projeto de ZIA começa com a mesma pergunta: como o tráfego chega lá? As quatro respostas que funcionam são o Client Connector no dispositivo, os túneis a partir da localidade, os arquivos PAC que direcionam os navegadores e o encadeamento de proxies (proxy chaining) a partir de uma borda que já existe. O que cada uma cobre, o que cada uma deixa escapar e como as implantações reais combinam as quatro em camadas.
RedesLerInspeção TLS no ZIA: a política, os bypasses e a conta
A inspeção TLS do ZIA é o padrão de interceptação por forward proxy rodando como política: regras avaliadas em ordem crescente decidem Inspect ou Do Not Inspect, uma CA da Zscaler ou do cliente assina os certificados regenerados, e cada bypass é um ponto cego deliberado. A anatomia das regras, os anteparos de certificado não confiável e TLS mínimo, por que aplicações com pinning precisam de isenção, e o que um fluxo não inspecionado ainda custa.
Segurança e WAFLerIPsec e IKE: como túneis cifrados negociam a si mesmos
IPsec são dois trabalhos numa suíte só: o IKE negocia quem você é e quais chaves usar; o ESP carrega os pacotes protegidos. IKEv1 versus IKEv2, o que uma security association realmente é, modo túnel versus transporte, por que o NAT quase quebrou tudo até o NAT-T, e por que criptografia sempre custa throughput - com um exemplo prático e vivo da matemática de capacidade.
RedesLerLocalidades e sublocalidades: como ensinar à nuvem onde ficam os seus sites
Uma localidade do ZIA é um site que a plataforma reconhece - pelos seus túneis ou pelos seus endereços de egresso - e o reconhecimento é o que destrava política por site, expectativas de autenticação e controle de banda. Sublocalidades subdividem um site por segmento de rede interna: o Wi-Fi de visitantes policiado diferente do andar corporativo, os servidores diferentes de ambos. Os interruptores de Gateway Options, os três modos documentados de banda, e por que a identificação de egresso é o jogo inteiro.
RedesLerO score ZDX: o que os probes medem e como o número é feito
O Zscaler Digital Experience transforma experiência de usuário num score de 1 a 100, e a anatomia é precisa: Web Probes medindo Page Fetch Time, DNS Time, Server Response Time e Availability; probes CloudPath medindo o caminho de rede salto a salto; probes a cada cinco minutos; o menor score da hora virando o score da hora; scores de grupo fazendo a média do pior de cada usuário. O que cada métrica significa, a análise automática de causa raiz da faixa Poor, e o que a Zscaler não publica sobre a fórmula.
RedesLerOverhead de túnel, MTU e MSS: a conta de bytes que todo túnel tem de fechar
Todo túnel acrescenta bytes, todo caminho tem um limite, e é na diferença entre os dois que aparece aquela lentidão que ninguém explica. Quanto cada encapsulamento custa, por que a fragmentação é a pior das três saídas, como o Path MTU Discovery deveria funcionar e como os firewalls o quebram, e o MSS clamping: o ajuste de uma linha que faz o TCP caber já na primeira tentativa.
RedesLerPerfis do Client Connector: onde o endpoint decide como encaminhar o tráfego
O comportamento do Zscaler Client Connector depende de dois documentos de configuração: o forwarding profile decide como o tráfego sai do dispositivo em cada estado de rede, e o app profile decide a política da plataforma (bypasses, arquivos PAC, certificados). Os três estados de rede, os critérios de trusted network que fazem o agente mudar de um estado para outro, por que o DNS é melhor que a resolução de hostname para essa detecção e como funcionam os bypasses que mantêm vivos as VPNs e os apps com certificate pinning.
Segurança e WAFLerTipos de túnel Zscaler: Z-Tunnel, GRE e IPsec, com os números
Três túneis levam tráfego ao Zero Trust Exchange, e eles não são intercambiáveis: o Z-Tunnel do Client Connector para dispositivos, GRE e IPsec para localidades. Os números de capacidade publicados - 1 Gbps, a penalidade de 250 Mbps sob NAT, 400 Mbps por IP de origem - os formatos de expansão que a própria documentação usa, o padrão de HA, e o hábito de MTU que mantém os três saudáveis.
RedesLerTúneis GRE: o envelope mais simples do mundo das redes
O Generic Routing Encapsulation coloca um pacote dentro de outro e não exige mais nada do caminho: sem criptografia, sem autenticação, só um envelope com o endereço de entrega. Por que essa simplicidade é justamente a vantagem: a anatomia dos 24 bytes, o que o GRE consegue transportar e o roteamento comum não consegue, a questão dos keepalives e o trade-off que o projetista aceita quando escolhe GRE em vez de um túnel criptografado.
RedesLerURL Filtering e Cloud App Control: duas políticas, uma regra de precedência
O ZIA controla o acesso web com duas políticas cooperantes: o URL Filtering julga destinos por categoria, o Cloud App Control julga aplicações por identidade e atividade - e por padrão a política de apps vence. Os verbos Allow/Caution/Block com cotas, o exemplo do Facebook direto da documentação, o interruptor Allow Cascading, e por que TLS não inspecionado limita o que qualquer das políticas consegue ver.
Segurança e WAFLerVinte perguntas a fazer antes de assinar uma proposta de SASE
Uma proposta de SASE é um arranjo de compra embrulhado em vários produtos, em geral numa assinatura de vários anos, em geral com um desconto que expira logo. As perguntas que decidem se ela serve raramente são sobre funcionalidades. São sobre para onde o tráfego vai, o que o time deixa de enxergar, o que acontece quando o caminho único falha, como é a saída, e o que o preço faz no segundo ano. Vinte delas, agrupadas para que um comitê diretor as faça ao fornecedor por escrito antes que o desconto faça o seu trabalho.
Operações e fieldcraftLerZero Trust Exchange: um proxy onde antes ficava o perímetro
A plataforma da Zscaler não é um firewall na nuvem: é um proxy distribuído pelo mundo inteiro que termina cada conexão, inspeciona o que consegue ver e só então abre uma nova conexão até o destino. Onde o ZIA, o ZPA e o ZDX se encaixam nessa central telefônica, o que um Public Service Edge faz de fato e por que conectar à aplicação, e não à rede, é a frase de arquitetura que explica todo o resto.
Segurança e WAFLer
Mais
App Segments e Access Policy no ZPA: nomear as aplicações, depois merecê-las
O plano de controle do ZPA é um vocabulário de quatro camadas - App Segments nomeando aplicações, Segment Groups agrupando-as para política, Server Groups amarrando-as a grupos de App Connector - e uma Access Policy que nega por padrão, avalia de cima para baixo por primeira correspondência no segmento mais específico, e condiciona cada allow a critérios de atributos SAML a postura. A regra de precedência do bypass, a ressalva do domínio do IdP, e a doutrina do block-acima-do-allow.
Segurança e WAFLerArquitetura do ZPA: duas chamadas de saída e um broker no meio
O Zscaler Private Access não expõe nada: o usuário disca para fora, um App Connector ao lado da aplicação disca para fora, e um Service Edge costura os dois num Microtunnel por aplicação. Os componentes - App Connectors, Public e Private Service Edges, a Central Authority - o modelo de TLS de dentro para fora que torna os apps invisíveis, e por que o broker nunca inspeciona os dados que carrega.
Segurança e WAFLerAtualizações e gestão de mudanças: como operar a mudança numa plataforma que também muda sozinha
Uma plataforma de segurança em nuvem tem três correntes de mudança - a nuvem do fornecedor, a sua frota de agentes e a sua política - e só as duas últimas recebem as suas ordens. O que o admin de fato governa: as Update Settings do Client Connector e os sumários de release por ano para a frota, o audit log como registro de mudanças de política, e as disciplinas de rollout em anéis e janela de congelamento, que são prática de operador sobre os controles documentados, declaradas como tal.
Segurança e WAFLerCASB no Exchange: inline, fora de banda, e a postura do próprio SaaS
O CASB da Zscaler não é uma caixa separada, e sim dois pontos de observação sobre o mesmo cérebro de política: inline, montado no proxy ZIA sobre dados em movimento, e fora de banda, conectando-se aos tenants SaaS por API para escanear dados em repouso. O que cada plano vê que o outro não vê, a descoberta de shadow IT, a auditoria de configuração-contra-frameworks do SSPM, e por que os engines de DLP afinados uma vez aplicam nos dois planos.
Segurança e WAFLerData Loss Prevention no ZIA: dicionários, engines e os tiers de fingerprint
O DLP inline da Zscaler são os quatro instrumentos dos fundamentos montados numa hierarquia: dicionários com botões de confiança e proximidade, engines combinando dicionários por expressões booleanas, e regras mirando engines no tráfego - com EDM e IDM como os tiers de fingerprint da suíte Advanced, indexados do seu lado pelo Index Tool. Os critérios das regras, a sutileza da lógica AND, OCR para imagens, e o pré-requisito de inspeção sob tudo.
Segurança e WAFLerFile Type Control e Cloud Sandbox: os dois juízes do download
Um arquivo entrando ou saindo pelo ZIA responde a dois juízes: as regras de File Type Control sobre que tipos de arquivo podem sequer se mover, e o Cloud Sandbox sobre o que arquivos nunca vistos realmente fazem. A denylist de hashes em toda a nuvem que transforma uma detonação na imunidade de todos, a decisão de First-Time Action que troca paciência do usuário por paciente zero, e o que o tier Advanced amplia.
Segurança e WAFLerFusões e aquisições no Exchange: acesso no dia um sem fundir redes
O cenário de integração de M&A é onde o zero trust paga sua arquitetura: o ZPA concede às pessoas da empresa adquirida acesso no dia um a aplicações nomeadas sem juntar redes, espaço RFC 1918 sobreposto deixa de ser bloqueio porque connectors resolvem localmente de cada lado, a identidade se funde em fases atrás de SAML e SCIM, e o encaminhamento migra localidade a localidade. A ordem das operações, e por que a fusão de redes pode esperar indefinidamente.
RedesLerNanolog, NSS, Cloud NSS e LSS: como tirar os logs de lá
Os logs da Zscaler moram no Nanolog, do lado da nuvem; três caminhos de entrega os trazem para casa: a máquina virtual NSS transmitindo logs comprimidos via mTLS ao seu SIEM, o Cloud NSS postando lotes direto na API HTTPS de um SIEM, e o Log Streaming Service do ZPA entregando logs de acesso privado através dos seus App Connectors. A anatomia de dois núcleos da VM, os limites de feeds, a semântica de status HTTP em que um 400 descarta o lote, e a única regra de exclusão que impede o pipeline de comer a si mesmo.
RedesLerO alerta de exfiltração: um passo a passo do sinal à resposta de postura
Um alerta de suspeita de exfiltração de dados é o cenário em que toda a série Zscaler converge: leia o alerta contra os campos de log, estabeleça o que a inspeção podia de fato ver, percorra os planos de DLP e CASB pelo que saiu e pelo que repousa exposto, verifique os corredores não-web do firewall, e responda com mudanças de postura - isolamento para o cinzento, bypasses apertados, vigilância de contagem de bytes - em vez de um único bloqueio heroico.
Segurança e WAFLerO audit log de administradores: quem mudou o quê, de onde, com que resultado
O ZIA registra toda ação de admin - console e API igualmente - como um registro de auditoria de anatomia precisa: timestamp, ação, categoria e subcategoria, recurso, admin, IP do cliente, interface, resultado e um diff de antes/depois. O bloqueio de cinco-falhas-num-minuto que se escreve no próprio log, a janela de retenção de seis meses, como a trilha flui para um SIEM, e como lê-la em busca de escalada de privilégios.
Segurança e WAFLerPostura e confiança do dispositivo: como deixar o estado do dispositivo votar
A identidade diz quem está pedindo; a postura diz de onde estão pedindo. Na plataforma Zscaler, o Client Connector avalia condições do dispositivo, o ZPA as consome como posture profiles nos critérios da access policy, e o ZIA consome níveis de device trust nas próprias regras - um sensor, dois planos de política. Como o voto funciona por sessão, por que critérios de postura são conjuntivos com a identidade, e os limites honestos de perguntar a um dispositivo sobre ele mesmo.
Segurança e WAFLerRelatórios e sumários executivos: como transformar o Nanolog em frases que a liderança lê
Entre o fluxo bruto de logs e o slide de diretoria fica a camada de relatórios do ZIA: relatórios interativos para o loop siga-o-fio do analista, relatórios agendados para o calendário, dashboards para a parede, e o formato de sumário executivo para a liderança. Para que serve cada forma, por que perguntas de uso-ao-longo-do-tempo pertencem a relatórios e não a greps de log, e a fronteira honesta onde o relatório termina e o SIEM começa.
Segurança e WAFLerTroubleshooting de acesso no ZPA: política, saúde ou DNS - escolha o suspeito certo
Uma falha intermitente de app privado tem exatamente três famílias de suspeitos na geometria do ZPA: a política disse não, as pernas de entrega estão doentes, ou o connector não resolve ou não alcança o servidor. Como separá-las rápido - a distinção negado-versus-quebrado, saúde de connector e DNS como os culpados usuais da intermitência, as armadilhas de bypass de segmento que se disfarçam de indisponibilidade, e onde os diagnósticos de fato moram.
RedesLerTroubleshooting do Client Connector: o menu de diagnóstico e as quatro primeiras verificações
Quando um usuário 'não consegue navegar pelo Zscaler', o Client Connector carrega seu próprio kit: os estados de conexão, Export Logs, captura de pacotes habilitada pelo admin, Restart Service e o Log Mode com escopo de sessão. A verificação em ip.zscaler.com, o probe de portal cativo generate_204, a faixa sintética 100.64.0.0/16 de onde o Private Access endereça as aplicações, a assinatura de estrangulamento de DTLS que uma troca para TLS cura, e a disciplina de localizar antes de consertar.
RedesLer