收集 Palo Alto Prisma Cloud 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Palo Alto Prisma Cloud 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 PAN_PRISMA_CLOUD 注入标签的解析器。

配置 Palo Alto Prisma Cloud

1. 使用管理员账号登录 Palo Alto Prisma Cloud 控制台。
2. 在设置菜单中，点击快捷键。
3. 点击 Add New（添加新内容），然后输入名称。

4. 点击创建。系统会显示访问密钥 ID 和密钥值。

5. 保存访问密钥 ID 和密钥值。配置 Google Security Operations Feed 时，您需要提供这些值。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name 字段中，输入 Feed 的名称，例如 Palo Alto Prisma Cloud Logs。
5. 选择第三方 API 作为来源类型。
6. 选择 Palo Alto Prisma Cloud 作为日志类型。
7. 点击下一步。
8. 配置以下必需的输入参数：
   • 用户名：指定您之前获得的访问密钥 ID。
   • 密码：指定您之前获得的密钥。
   • API 主机名：指定 API 主机名。
9. 点击下一步，然后点击提交。

字段映射参考

此解析器代码从 JSON 格式的 PAN PRISMA CLOUD 日志中提取字段，执行数据转换和映射，以将数据结构化为 Chronicle UDM 架构。它可处理各种日志消息结构（包括嵌套对象和数组），以对各种安全事件和背景信息进行标准化处理，以便在 Chronicle 中进行分析。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。