Palo Alto Prisma Cloud のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Palo Alto Prisma Cloud のログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル PAN_PRISMA_CLOUD が付加されたパーサーに適用されます。

Palo Alto Prisma Cloud を構成する

1. 管理者アカウントで Palo Alto Prisma Cloud コンソールにログインします。
2. [設定] メニューで [アクセスキー] をクリックします。
3. [Add New] をクリックして名前を入力します。

4. [作成] をクリックします。[アクセスキー ID] と [秘密鍵] の値が表示されます。

5. [アクセスキー ID] と [秘密鍵] の値を保存します。これらの値は、Google Security Operations フィードを構成するときに必要です。

フィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Palo Alto Prisma Cloud Logs）。
5. [ソースタイプ] として [サードパーティ API] を選択します。
6. [ログタイプ] として [Palo Alto Prisma Cloud] を選択します。
7. [次へ] をクリックします。
8. 次の必須入力パラメータを構成します。
   • ユーザー名: 前の手順で取得したアクセスキー ID を指定します。
   • パスワード: 前の手順で取得した秘密鍵を指定します。
   • API ホスト名: API ホスト名を指定します。
9. [次へ] をクリックしてから、[送信] をクリックします。

フィールド マッピング リファレンス

このパーサーコードは、JSON 形式の PAN PRISMA CLOUD ログからフィールドを抽出し、データ変換とマッピングを実行して、データを Chronicle UDM スキーマに構造化します。ネストされたオブジェクトや配列など、さまざまなログ メッセージ構造を処理し、Chronicle 内での分析用に多様なセキュリティ イベントとコンテキスト情報を正規化します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。