Palo Alto Prisma Cloud のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Palo Alto Prisma Cloud のログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル PAN_PRISMA_CLOUD が付加されたパーサーに適用されます。

Palo Alto Prisma Cloud を構成する

1. 管理者アカウントで Palo Alto Prisma Cloud コンソールにログインします。
2. [設定] メニューで [アクセスキー] をクリックします。
3. [Add New] をクリックして名前を入力します。

4. [作成] をクリックします。[アクセスキー ID] と [秘密鍵] の値が表示されます。

5. [アクセスキー ID] と [秘密鍵] の値を保存します。これらの値は、Google Security Operations フィードを構成するときに必要です。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Palo Alto Prisma Cloud Logs）。
5. [ソースタイプ] として [サードパーティ API] を選択します。
6. [ログタイプ] として [Palo Alto Prisma Cloud] を選択します。
7. [次へ] をクリックします。
8. 次の必須入力パラメータを構成します。
   • ユーザー名: 前の手順で取得したアクセスキー ID を指定します。
   • パスワード: 前の手順で取得した秘密鍵を指定します。
   • API ホスト名: API ホスト名を指定します。
9. [次へ] をクリックしてから、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• ユーザー名: 前の手順で取得したアクセスキー ID を指定します。
• パスワード: 前の手順で取得した秘密鍵を指定します。
• API ホスト名: API ホスト名を指定します。

詳細オプション

• フィード名: フィードを識別する値が事前入力されています。
• ソースタイプ: ログを Google SecOps に収集するために使用される方法。
• アセット Namespace: フィードに関連付けられた Namespace。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。 各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーコードは、JSON 形式の PAN PRISMA CLOUD ログからフィールドを抽出し、データ変換とマッピングを実行して、データを Chronicle UDM スキーマに構造化します。ネストされたオブジェクトや配列など、さまざまなログ メッセージ構造を処理し、Chronicle 内での分析用に多様なセキュリティ イベントとコンテキスト情報を正規化します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。