Protokolle für Palo Alto Cortex XDR-Ereignisse erfassen

In diesem Dokument wird beschrieben, wie Sie Palo Alto Cortex XDR-Ereignislogs mit Google Cloud Storage in Google Security Operations aufnehmen. Der Parser extrahiert Sicherheitsereignisdaten aus JSON-Protokollen von Palo Alto Networks Cortex XDR. Die Daten werden normalisiert, indem Felder zugeordnet, Datentypen konvertiert und Ereignisse mit Metadaten wie Anbieter, Produkt und Ereignistypen angereichert werden. Dies erfolgt auf Grundlage der bedingten Logik, die mit den Feldern event_type und event_sub_type verknüpft ist. Außerdem werden Netzwerkverbindungen, Datei- und Registrierungsvorgänge, Prozessinformationen und Nutzeraktivitäten verarbeitet.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Google Cloud Speicher ist in Ihrer Google Cloud Umgebung eingerichtet und aktiv.
• Privilegierter Zugriff auf Google Cloud und entsprechende Berechtigungen
• Privilegierter Zugriff auf Palo Alto Cortex XDR

Google Cloud Storage-Bucket erstellen

1. Melden Sie sich in der Google Cloud -Konsole an.

2. Rufen Sie die Seite Cloud Storage-Buckets auf.

   Buckets aufrufen

3. Klicken Sie auf Erstellen.

4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

5. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus: * Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht (z. B. cortex-xdr-events-googlesecops). * Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

   Note: You can't enable hierarchical namespace in an existing bucket.
   
   * To add a bucket label, click the expander arrow to expand the **Labels** section.
   * Click **Add label** and specify a key and a value for your label.
   

6. Gehen Sie im Bereich Speicherort für Daten auswählen so vor: * Wählen Sie einen Standorttyp aus. * Wählen Sie im Menü des Standorttyps einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

   Note: If you select the **dual-region** location type, you can also choose to enable **turbo replication** by selecting the relevant checkbox.
   
   * To set up cross-bucket replication, expand the **Set up cross-bucket replication** section.
   

7. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

8. Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

9. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor: * Wählen Sie eine der Optionen unter Datenschutz aus, die Sie für Ihren Bucket festlegen möchten. * Wenn Sie auswählen möchten, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

10. Klicken Sie auf Erstellen.

Cortex XDR-Ereignisweiterleitung konfigurieren

1. Melden Sie sich in der Cortex XDR-Web-UI an.
2. Rufen Sie die Einstellungen > Konfigurationen > Datenverwaltung > Ereignisweiterleitung auf.
3. Aktivieren Sie die Lizenzen im Abschnitt Aktivierung.
4. Aktivieren Sie GB Event Forwarding (Weiterleitung von Ereignissen pro GB), um geparste Logs für Cortex XDR Pro pro GB zur Speicherung in ein externes SIEM zu exportieren.
5. Aktivieren Sie Endpoints Event Forwarding (Weiterleitung von Endpunkt-Ereignissen), um Rohdaten von Endpunkten für Cortex XDR Pro EP und Cloud Endpoints zu exportieren.
6. Speichern Sie die Auswahl.
7. Kopieren Sie den angezeigten Speicherpfad.
8. Generieren und herunterladen Sie das JSON-Webtoken des Dienstkontos, das den Zugriffsschlüssel enthält.
9. Speichern Sie sie an einem sicheren Ort.

Google Cloud Secret Manager konfigurieren

1. Melden Sie sich in der GCP an.
2. Rufen Sie die Seite Secret Manager auf.
3. Wenn Sie das zum ersten Mal tun, werden Sie aufgefordert, die Secret Manager API zu aktivieren.
4. Erstellen Sie ein Secret mit dem Namen EVENT_FRWD_CRTX_KEY und kopieren Sie den Inhalt der JSON-Datei xdr_sa_key.json, die Sie heruntergeladen haben, als Wert des Secrets.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds
• Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. PANW Cortex XDR Event Logs (PANW Cortex XDR-Ereignisprotokolle).
5. Wählen Sie Google Cloud Storage als Quelltyp aus.
6. Wählen Sie Palo Alto Cortex XDR-Ereignisse als Logtyp aus.
7. Klicken Sie auf Dienstkonto abrufen als Chronicle-Dienstkonto.
8. Klicken Sie auf Weiter.

9. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Storage-Bucket-URI: Google Cloud Storage-Bucket-URL (z. B. gs://cortex-xdr-events-chronicle).
   • URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.
   • Optionen zum Löschen von Quellen: Wählen Sie eine Löschoption aus.

10. Klicken Sie auf Weiter.

11. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

12. Nachdem der Feed erstellt wurde, suchen Sie ihn in der Liste Feeds und klicken Sie rechts neben der Zeile auf das Dreipunkt-Menü.

13. Wählen Sie Feed deaktivieren aus.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

• Storage-Bucket-URI: Google Cloud Storage-Bucket-URL (z. B. gs://cortex-xdr-events-chronicle).
• URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.

• Optionen zum Löschen von Quellen: Wählen Sie eine Löschoption aus.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
• Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

Secret-JSON-Zugriff auf Cloud Storage konfigurieren

1. Melden Sie sich in der GCP an.
2. Rufen Sie die Seite Secret Manager auf.
3. Wählen Sie das Secret EVENT_FRWD_CRTX_KEY aus.
4. Rufen Sie den Tab Berechtigungen auf.
5. Gewähren Sie dem zuvor erstellten Bucket cortex-xdr-events-chronicle die Rollen Storage-Objekt-Administrator und Leser alter Storage-Buckets.

Google SecOps-Berechtigungen für Cloud Storage konfigurieren

1. Rufen Sie IAM & Verwaltung > IAM auf.
2. Suchen Sie das Chronicle-Dienstkonto.
3. Gewähren Sie der Rolle Storage-Objekt-Betrachter (roles/storage.objectViewer) Zugriff auf den zuvor erstellten Bucket cortex-xdr-events-chronicle.

Erfassung von PANW Cortex XDR-Ereignisprotokollen in Project Cloud Storage konfigurieren

1. Rufen Sie in Google CloudAPIs und Dienste > Bibliothek auf.
2. Aktivieren Sie die Cloud Run und Artifact Registry APIs.
3. Öffnen Sie Cloud Shell, indem Sie in der oberen Navigationsleiste auf das Symbol klicken.

4. Laden Sie benutzerdefinierten Code mit dem folgenden Befehl herunter:

   git clone https://github.com/PaloAltoNetworks/google-cloud-cortex-chronicle.git
   

5. Wechseln Sie mit dem folgenden Befehl in das Verzeichnis:

   cd google-cloud-cortex-chronicle/
   

6. Öffnen Sie die Datei env.properties mit einem Editor wie vi.

7. Geben Sie die folgenden Konfigurationsdetails an:

   REGION=us-central1 # Update according to your project region
   REPO_NAME=panw-chronicle
   IMAGE_NAME=sync_cortex_bucket
   GCP_PROJECT_ID=chrxxxxxxxxx # Update according to your project ID
   JOB_NAME=cloud-run-job-cortex-data-sync # The Cloud Job name 
   ROJECT_NUMBER=80xxxxx9 # Update according to your project number
   # JOB ENV VARIABLES
   SRC_BUCKET=xdr-us-xxxxx-event-forwarding # Update with the Cortex XDR GCS bucket name
   DEST_BUCKET=cortex-xdr-events-chronicle # Update with the GCS name of the bucket you created
   SECRET_NAME=EVENT_FRWD_CRTX_KEY # Need to match the secret you created
   JOB_SCHEDULE_MINS=30
   

8. Erteilen Sie dem deploy.sh-Skript die erforderlichen Berechtigungen:

   chmod 744 deploy.sh
   

9. Führen Sie das Skript deploy.sh aus:

   ./deploy.sh
   

10. Ermitteln Sie das verwendete Cloud Job-Dienstkonto aus der Skriptausgabe.

11. Erteilen Sie dem Cloud Job-Dienstkonto die Berechtigung Secret Manager Secret Ancestor für den Zugriff auf das Secret, das Sie zuvor erstellt haben (im Beispiel EVENT_FRWD_CRTX_KEY).

12. Gehen Sie zu Secret Manager > EVENT_FRWD_CRTX_KEY (Secret) > Berechtigungen.

13. Rufen Sie in der Google SecOps-Plattform SIEM-Einstellungen> Feeds > XDR-Ereignisfeedname > Feed aktivieren auf.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten