Esse analisador extrai dados de IOC dos registros JSON do Palo Alto Networks Autofocus, mapeando campos para a UDM. Ele processa indicadores de domínio, IPv4 e IPv6, priorizando o domínio e convertendo endereços IP para o formato adequado. Ele descarta tipos de indicadores não compatíveis e define a categorização padrão como MALWARE, a menos que Trojan seja especificamente identificado na mensagem.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Criar um feed personalizado do Palo Alto AutoFocus
Faça login no Palo Alto AutoFocus.
Acesse Feeds.
Selecione um feed já criado. Se não houver um feed, crie um.
Clique em
add
Criar um feed.
Dê um nome descritivo.
Crie uma consulta.
Selecione o método Saída como URL.
Clique em Salvar.
Acesse os detalhes do feed:
Copie e salve o feed <ID> do URL. Por exemplo, https://autofocus.paloaltonetworks.com/IOCFeed/<ID>/IPv4AddressC2.
Copie e salve o nome do feed.
Configurar feeds
Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:
Configurações do SIEM > Feeds
Central de conteúdo > Pacotes de conteúdo
Configure feeds em "Configurações do SIEM" > "Feeds".
Para configurar um feed, siga estas etapas:
Acesse Configurações do SIEM>Feeds.
Clique em Adicionar novo feed.
Na próxima página, clique em Configurar um único feed.
No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Palo Alto Autofocus.
Selecione API de terceiros como o Tipo de origem.
Selecione PAN Autofocus como o Tipo de registro.
Clique em Próxima.
Especifique valores para os seguintes parâmetros de entrada:
Cabeçalho HTTP de autenticação: chave de API usada para autenticar em autofocus.paloaltonetworks.com no formato apiKey:<value>. Substitua <value> pela chave de API do AutoFocus copiada anteriormente.
ID do feed: ID personalizado do feed.
Nome do feed: nome personalizado do feed.
Clique em Próxima.
Revise a configuração do feed na tela Finalizar e clique em Enviar.
Configurar feeds na Central de conteúdo
Especifique valores para os seguintes campos:
Cabeçalho HTTP de autenticação: chave de API usada para autenticar em autofocus.paloaltonetworks.com no formato apiKey:<value>. Substitua <value> pela chave de API do AutoFocus copiada anteriormente.
ID do feed: ID personalizado do feed.
Nome do feed: nome personalizado do feed.
Opções avançadas
Nome do feed:um valor pré-preenchido que identifica o feed.
Tipo de origem:método usado para coletar registros no Google SecOps.
Namespace do recurso:namespace associado ao feed.
Rótulos de ingestão:rótulos aplicados a todos os eventos deste feed.
Tabela de mapeamento do UDM
Campo de registro
Mapeamento do UDM
Lógica
indicator.indicatorType
indicator.indicatorType
Mapeado diretamente do registro bruto. Convertido para maiúsculas.
indicator.indicatorValue
event.ioc.domain_and_ports.domain
Mapeado se indicator.indicatorType for DOMAIN.
indicator.indicatorValue
event.ioc.ip_and_ports.ip_address
Mapeado se indicator.indicatorType corresponder a "IP(V4|V6|)(_ADDRESS|)". Convertido para o formato de endereço IP.
Mapeado se estiver presente para a primeira tag (índice 0). Definido como PAN Autofocus IOC pelo analisador. Definido como HIGH pelo analisador. Definido como TROJAN se o campo message contiver Trojan. Caso contrário, será definido como MALWARE.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis parser ingests IOC data from Palo Alto Networks Autofocus JSON logs into Google SecOps, mapping various fields to the UDM format, including domain, IPv4, and IPv6 indicators.\u003c/p\u003e\n"],["\u003cp\u003eTo utilize this functionality, users must have a Google SecOps instance and privileged access to Palo Alto AutoFocus, along with a valid license and API key.\u003c/p\u003e\n"],["\u003cp\u003eUsers will need to configure a custom feed within Palo Alto AutoFocus and then set up a corresponding feed within Google SecOps to ingest the logs, specifying parameters like the API key, Feed ID, and Feed Name.\u003c/p\u003e\n"],["\u003cp\u003eThe parser categorizes indicators as \u003cstrong\u003eMALWARE\u003c/strong\u003e by default, unless the term \u003cstrong\u003eTrojan\u003c/strong\u003e is found in the message field, in which case it is categorized as \u003cstrong\u003eTROJAN\u003c/strong\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping includes the fields indicator type, indicator value, wildfireRelatedSampleVerdictCounts, and the description of the tags, with logic for converting types and values where needed.\u003c/p\u003e\n"]]],[],null,["# Collect Palo Alto Networks IOC logs\n===================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis parser extracts IOC data from Palo Alto Networks Autofocus JSON logs, mapping fields to the UDM. It handles domain, IPv4, and IPv6 indicators, prioritizing **domain** and converting IP addresses to the appropriate format. It drops unsupported indicator types and defaults categorization to **MALWARE** unless **Trojan** is specifically identified in the message.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Palo Alto AutoFocus.\n\nConfigure Palo Alto AutoFocus license\n-------------------------------------\n\n1. Sign in to Palo Alto [Customer Support Portal](https://support.paloaltonetworks.com).\n2. Go to **Assets** \\\u003e **Site Licenses**.\n3. Select **Add Site License**.\n4. Enter the code.\n\nObtain Palo Alto AutoFocus API Key\n----------------------------------\n\n1. Sign in to Palo Alto [Customer Support Portal](https://support.paloaltonetworks.com).\n2. Go to **Assets** \\\u003e **Site Licenses**.\n3. Locate the Palo Alto AutoFocus license.\n4. Click **Enable** in the Actions column.\n5. Click **API Key** in the API Key column.\n6. **Copy** and **Save** the API Key from the top bar.\n\nCreate Palo Alto AutoFocus custom Feed\n--------------------------------------\n\n1. Sign in to Palo Alto AutoFocus.\n2. Go to **Feeds**.\n3. Select a feed already created. If no feed is present, proceed to create one.\n4. Click add **Create A Feed**.\n5. Provide a descriptive name.\n6. Create a **query**.\n7. Select **Output** method as **URL**.\n8. Click **Save**.\n9. Access the feed details:\n - **Copy** and **Save** the feed `\u003cID\u003e` from the URL. (For example, `https://autofocus.paloaltonetworks.com/IOCFeed/\u003cID\u003e/IPv4AddressC2`)\n - **Copy** and **Save** the feed name.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **Palo Alto Autofocus Logs**.\n5. Select **Third party API** as the **Source type**.\n6. Select **PAN Autofocus** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Authentication HTTP header** : API Key used to authenticate to autofocus.paloaltonetworks.com in **`apiKey:\u003cvalue\u003e`** format. Replace `\u003cvalue\u003e` with the AutoFocus API Key copied previously.\n - **Feed ID**: Custom feed ID.\n - **Feed Name**: Custom feed name.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
