Collecter les journaux d'alertes Prisma Cloud de Palo Alto

Présentation

Cet analyseur extrait les journaux d'alerte de Palo Alto Prisma Cloud au format JSON et les transforme en UDM. L'analyseur effectue la normalisation des données, les conversions de type et la logique conditionnelle pour remplir les champs UDM appropriés. Il gère également les structures et les tableaux JSON imbriqués dans les données de journaux pour extraire les informations pertinentes.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps.
• Accès privilégié à Palo Alto Prisma Cloud.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM > Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Alertes PAN Prisma Cloud).
5. Sélectionnez Webhook comme type de source.
6. Sélectionnez Charge utile des alertes Palo Alto Prisma Cloud comme Type de journal.
7. Cliquez sur Suivant.
8. Facultatif : Spécifiez les valeurs des paramètres d'entrée suivants :
   • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.
9. Cliquez sur Suivant.
10. Vérifiez la configuration du flux sur l'écran Finaliser, puis cliquez sur Envoyer.
11. Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.
12. Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.
13. Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous devez spécifier cette URL de point de terminaison dans votre application cliente.
14. Cliquez sur OK.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.

• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

• Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.

• Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.

• Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous devez spécifier cette URL de point de terminaison dans votre application cliente.

Créer une clé API pour le flux de webhook

1. Accédez à la consoleGoogle Cloud > Identifiants.

   Accéder à "Identifiants"

2. Cliquez sur Créer des identifiants, puis sélectionnez Clé API.

3. Restreignez l'accès à la clé API à l'API Google Security Operations.

Spécifier l'URL du point de terminaison

1. Dans votre application cliente, spécifiez l'URL du point de terminaison HTTPS fournie dans le flux de webhook.

2. Activez l'authentification en spécifiant la clé API et la clé secrète dans l'en-tête personnalisé au format suivant :

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recommandation : Spécifiez la clé API en tant qu'en-tête au lieu de la spécifier dans l'URL.

3. Si votre client de webhook n'accepte pas les en-têtes personnalisés, vous pouvez spécifier la clé API et la clé secrète à l'aide de paramètres de requête au format suivant :

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Remplacez les éléments suivants :

   • ENDPOINT_URL : URL du point de terminaison du flux.
   • API_KEY : clé API pour s'authentifier auprès de Google Security Operations.
   • SECRET : clé secrète que vous avez générée pour authentifier le flux.

Configurer le webhook Palo Alto Prisma Cloud pour Google SecOps

1. Connectez-vous à Palo Alto Prisma Cloud.
2. Sélectionnez Paramètres > Intégrations et notifications ((and_then)) Intégrations.
3. Cliquez sur Add Integration (Ajouter une intégration).
4. Sélectionnez Webhook.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Nom de l'intégration : indiquez un nom unique et descriptif (par exemple, Google SecOps).
   • URL de webhook : saisissez ENDPOINT_URL.
   • Facultatif : Fournissez une description de l'intégration.
   • Facultatif : Activez Charge utile personnalisée > cliquez sur Suivant pour examiner ou modifier la charge utile personnalisée.
6. Cliquez sur Suivant.
7. Tester et Enregistrer l'intégration.

Configurer les alertes Palo Alto Prisma Cloud

1. Dans la console Palo Alto Prisma Cloud, accédez à Alerts > View Alert Rules.
2. Sélectionnez une règle d'alerte existante à modifier.
3. Facultatif : créez une alerte pour Infrastructure cloud.
4. Facultatif : Créez une alerte pour Charge de travail cloud.
5. Accédez à Configurer les notifications.
6. Sélectionnez Webhook.
7. Facultatif : Sélectionnez les canaux sur lesquels vous souhaitez envoyer des notifications d'alertes déclenchées par la règle d'alerte.
8. Cliquez sur Suivant.
9. Cliquez sur Enregistrer.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.