收集 Palo Alto Prisma Cloud 提醒日志

概览

此解析器以 JSON 格式从 Palo Alto Prisma Cloud 中提取提醒日志，并将其转换为 UDM。解析器会执行数据规范化、类型转换和条件逻辑，以填充相应的 UDM 字段。它还会处理日志数据中的嵌套 JSON 结构和数组，以提取相关信息。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 Palo Alto Prisma Cloud 的特权访问权限。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 PAN Prisma Cloud 提醒。
5. 选择 Webhook 作为来源类型。
6. 选择 Palo Alto Prisma Cloud 提醒载荷作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分分隔符：用于分隔日志行的分隔符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

设置来自内容中心的 Feed

为以下字段指定值：

• 拆分分隔符：用于分隔日志行的分隔符，例如 \n。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。

• 提取标签：应用于相应 Feed 中所有事件的标签。

• 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。

• 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。

• 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。

为 Webhook Feed 创建 API 密钥

1. 前往 Google Cloud 控制台 > 凭据。

   转到“凭证”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。

3. 如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您生成的用于验证 Feed 的密钥。

将 Palo Alto Prisma Cloud Webhook 配置为 Google SecOps

1. 登录 Palo Alto Prisma Cloud。
2. 依次选择设置 > 集成和通知 ((and_then)) 集成。
3. 点击添加集成。
4. 选择 Webhook。
5. 为以下输入参数指定值：
   • 集成名称：提供一个独一无二的描述性名称（例如 Google SecOps）
   • Webhook 网址：输入 ENDPOINT_网址。
   • 可选：提供集成的说明。
   • 可选：启用自定义载荷 > 点击下一步以查看或修改自定义载荷。
6. 点击下一步。
7. 测试和保存集成。

配置 Palo Alto Prisma Cloud 提醒

1. 在 Palo Alto Prisma Cloud 控制台中，依次前往 Alerts > View Alert Rules。
2. 选择要修改的现有提醒规则。
3. 可选：为 Cloud Infrastructure 创建新提醒。
4. 可选：为 Cloud Workload创建新提醒。
5. 前往配置通知。
6. 选择 Webhook。
7. 可选：选择您希望在提醒规则触发提醒时发送通知的渠道。
8. 点击下一步。
9. 点击保存。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。