收集 Palo Alto Prisma Cloud 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Palo Alto Prisma Cloud 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 PAN_PRISMA_CLOUD 注入标签的解析器。

配置 Palo Alto Prisma Cloud

1. 使用管理员账号登录 Palo Alto Prisma Cloud 控制台。
2. 在设置菜单中，点击快捷键。
3. 点击 Add New（添加新内容），然后输入名称。

4. 点击创建。系统会显示访问密钥 ID 和密钥密文值。

5. 保存访问密钥 ID 和密钥值。配置 Google Security Operations Feed 时，您需要提供这些值。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name 字段中，输入 Feed 的名称，例如 Palo Alto Prisma Cloud Logs。
5. 选择第三方 API 作为来源类型。
6. 选择 Palo Alto Prisma Cloud 作为日志类型。
7. 点击下一步。
8. 配置以下必需的输入参数：
   • 用户名：指定您之前获得的访问密钥 ID。
   • 密码：指定您之前获得的密钥。
   • API 主机名：指定 API 主机名。
9. 点击下一步，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 用户名：指定您之前获得的访问密钥 ID。
• 密码：指定您之前获得的密钥。
• API 主机名：指定 API 主机名。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。 如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。

如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器代码从 JSON 格式的 PAN PRISMA CLOUD 日志中提取字段，执行数据转换和映射，以将数据结构化为 Chronicle UDM 架构。它可处理各种日志消息结构（包括嵌套对象和数组），以标准化各种安全事件和上下文信息，以便在 Chronicle 中进行分析。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。