Coletar registros de alertas do Palo Alto Prisma Cloud

Visão geral

Esse analisador extrai registros de alertas do Palo Alto Prisma Cloud no formato JSON, transformando-os no UDM. O analisador realiza normalização de dados, conversões de tipo e lógica condicional para preencher os campos adequados do UDM. Ele também processa estruturas JSON aninhadas e matrizes nos dados de registro para extrair informações relevantes.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• Acesso privilegiado ao Prisma Cloud da Palo Alto.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em "Configurações do SIEM" > "Feeds".

Para configurar um feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Alertas do Prisma Cloud da PAN.
5. Selecione Webhook como o Tipo de origem.
6. Selecione Payload de alertas do Palo Alto Prisma Cloud como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
9. Clique em Próxima.
10. Revise a configuração do feed na tela Finalizar e clique em Enviar.
11. Clique em Gerar chave secreta para autenticar o feed.
12. Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.
13. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.
14. Clique em Concluído.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

Opções avançadas

• Nome do feed:um valor pré-preenchido que identifica o feed.
• Tipo de origem:método usado para coletar registros no Google SecOps.
• Namespace do recurso:namespace associado ao feed.

• Rótulos de ingestão:rótulos aplicados a todos os eventos deste feed.

• Clique em Gerar chave secreta para autenticar o feed.

• Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.

• Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.

Criar uma chave de API para o feed de webhook

1. Acesse console doGoogle Cloud > Credenciais.

   Ir para Credenciais

2. Clique em Criar credenciais e, em seguida, selecione Chave de API.

3. Restrinja o acesso da chave de API à API Google Security Operations.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o URL do endpoint HTTPS fornecido no feed do webhook.

2. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendação: especifique a chave de API como um cabeçalho em vez de no URL.

3. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Substitua:

   • ENDPOINT_URL: o URL do endpoint do feed.
   • API_KEY: a chave de API para autenticar no Google Security Operations.
   • SECRET: a chave secreta gerada para autenticar o feed.

Configurar o webhook da Palo Alto Prisma Cloud para o Google SecOps

1. Faça login no Prisma Cloud da Palo Alto.
2. Selecione Configurações > Integrações e notificações ((and_then)) Integrações.
3. Clique em Adicionar integração.
4. Selecione Webhook.
5. Especifique valores para os seguintes parâmetros de entrada:
   • Nome da integração: forneça um nome exclusivo e descritivo (por exemplo, Google SecOps).
   • URL do webhook: insira o ENDPOINT_URL.
   • Opcional: forneça uma Descrição da integração.
   • Opcional: ative Payload personalizado > clique em Próxima para revisar ou alterar o payload personalizado.
6. Clique em Próxima.
7. Testar e Salvar integração.

Configurar alertas da Palo Alto Prisma Cloud

1. No console do Palo Alto Prisma Cloud, acesse Alertas > Ver regras de alerta.
2. Selecione uma regra de alerta para editar.
3. Opcional: Criar um alerta para Infraestrutura de nuvem.
4. Opcional: criar um alerta para carga de trabalho na nuvem.
5. Acesse Configurar notificações.
6. Selecione Webhook.
7. Opcional: selecione os canais em que você quer enviar notificações de alertas acionados pela regra de alerta.
8. Clique em Próxima.
9. Clique em Salvar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.