Dieser Parser extrahiert IOC-Daten aus JSON-Logs von Palo Alto Networks Autofocus und ordnet Felder dem UDM zu. Es verarbeitet Domain-, IPv4- und IPv6-Indikatoren, wobei domain priorisiert und IP-Adressen in das entsprechende Format konvertiert werden. Nicht unterstützte Indikatortypen werden entfernt und die Kategorisierung wird standardmäßig auf MALWARE festgelegt, sofern in der Nachricht nicht ausdrücklich Trojaner angegeben ist.
Hinweise
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Wählen Sie einen bereits erstellten Feed aus. Wenn kein Feed vorhanden ist, erstellen Sie einen.
Klicken Sie auf
Hinzufügen
Feed erstellen.
Geben Sie einen aussagekräftigen Namen an.
Erstellen Sie eine Abfrage.
Wählen Sie als Ausgabemethode die Option URL aus.
Klicken Sie auf Speichern.
Rufen Sie die Feeddetails auf:
Kopieren und Speichern Sie den Feed <ID> aus der URL. Beispiel: https://autofocus.paloaltonetworks.com/IOCFeed/<ID>/IPv4AddressC2
Kopieren Sie den Feednamen und speichern Sie ihn.
Feeds einrichten
So konfigurieren Sie einen Feed:
Rufen Sie die SIEM-Einstellungen>Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Palo Alto Autofocus Logs.
Wählen Sie Drittanbieter-API als Quelltyp aus.
Wählen Sie PAN Autofocus als Logtyp aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
HTTP-Authentifizierungsheader: API-Schlüssel zur Authentifizierung bei autofocus.paloaltonetworks.com im Format apiKey:<value>. Ersetzen Sie <value> durch den zuvor kopierten AutoFocus API-Schlüssel.
Feed-ID: Benutzerdefinierte Feed-ID.
Feedname: Name des benutzerdefinierten Feeds.
Klicken Sie auf Weiter.
Prüfen Sie die Feedkonfiguration auf dem Bildschirm Finalize (Abschließen) und klicken Sie dann auf Submit (Senden).
UDM-Zuordnungstabelle
Logfeld
UDM-Zuordnung
Logik
indicator.indicatorType
indicator.indicatorType
Direkt aus dem Rohlog zugeordnet. In Großbuchstaben umgewandelt.
indicator.indicatorValue
event.ioc.domain_and_ports.domain
Wird zugeordnet, wenn indicator.indicatorTypeDOMAIN ist.
indicator.indicatorValue
event.ioc.ip_and_ports.ip_address
Wird zugeordnet, wenn indicator.indicatorType mit „IP(V4|V6|)(_ADDRESS|)" übereinstimmt. In IP-Adressformat konvertiert.
Wird zugeordnet, sofern vorhanden. In String umgewandelt.
tags.0.description
event.ioc.description
Wird zugeordnet, sofern für das erste Tag (Index 0) vorhanden. Wird vom Parser auf PAN Autofocus IOC festgelegt. Wird vom Parser auf HIGH gesetzt. Auf TROJAN setzen, wenn das Feld messageTrojan enthält. Andernfalls auf MALWARE setzen.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis parser ingests IOC data from Palo Alto Networks Autofocus JSON logs into Google SecOps, mapping various fields to the UDM format, including domain, IPv4, and IPv6 indicators.\u003c/p\u003e\n"],["\u003cp\u003eTo utilize this functionality, users must have a Google SecOps instance and privileged access to Palo Alto AutoFocus, along with a valid license and API key.\u003c/p\u003e\n"],["\u003cp\u003eUsers will need to configure a custom feed within Palo Alto AutoFocus and then set up a corresponding feed within Google SecOps to ingest the logs, specifying parameters like the API key, Feed ID, and Feed Name.\u003c/p\u003e\n"],["\u003cp\u003eThe parser categorizes indicators as \u003cstrong\u003eMALWARE\u003c/strong\u003e by default, unless the term \u003cstrong\u003eTrojan\u003c/strong\u003e is found in the message field, in which case it is categorized as \u003cstrong\u003eTROJAN\u003c/strong\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping includes the fields indicator type, indicator value, wildfireRelatedSampleVerdictCounts, and the description of the tags, with logic for converting types and values where needed.\u003c/p\u003e\n"]]],[],null,["# Collect Palo Alto Networks IOC logs\n===================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis parser extracts IOC data from Palo Alto Networks Autofocus JSON logs, mapping fields to the UDM. It handles domain, IPv4, and IPv6 indicators, prioritizing **domain** and converting IP addresses to the appropriate format. It drops unsupported indicator types and defaults categorization to **MALWARE** unless **Trojan** is specifically identified in the message.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Palo Alto AutoFocus.\n\nConfigure Palo Alto AutoFocus license\n-------------------------------------\n\n1. Sign in to Palo Alto [Customer Support Portal](https://support.paloaltonetworks.com).\n2. Go to **Assets** \\\u003e **Site Licenses**.\n3. Select **Add Site License**.\n4. Enter the code.\n\nObtain Palo Alto AutoFocus API Key\n----------------------------------\n\n1. Sign in to Palo Alto [Customer Support Portal](https://support.paloaltonetworks.com).\n2. Go to **Assets** \\\u003e **Site Licenses**.\n3. Locate the Palo Alto AutoFocus license.\n4. Click **Enable** in the Actions column.\n5. Click **API Key** in the API Key column.\n6. **Copy** and **Save** the API Key from the top bar.\n\nCreate Palo Alto AutoFocus custom Feed\n--------------------------------------\n\n1. Sign in to Palo Alto AutoFocus.\n2. Go to **Feeds**.\n3. Select a feed already created. If no feed is present, proceed to create one.\n4. Click add **Create A Feed**.\n5. Provide a descriptive name.\n6. Create a **query**.\n7. Select **Output** method as **URL**.\n8. Click **Save**.\n9. Access the feed details:\n - **Copy** and **Save** the feed `\u003cID\u003e` from the URL. (For example, `https://autofocus.paloaltonetworks.com/IOCFeed/\u003cID\u003e/IPv4AddressC2`)\n - **Copy** and **Save** the feed name.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **Palo Alto Autofocus Logs**.\n5. Select **Third party API** as the **Source type**.\n6. Select **PAN Autofocus** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Authentication HTTP header** : API Key used to authenticate to autofocus.paloaltonetworks.com in **`apiKey:\u003cvalue\u003e`** format. Replace `\u003cvalue\u003e` with the AutoFocus API Key copied previously.\n - **Feed ID**: Custom feed ID.\n - **Feed Name**: Custom feed name.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
