收集 Palo Alto Prisma Cloud 記錄

本文說明如何設定 Google Security Operations 資訊提供，以收集 Palo Alto Prisma Cloud 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 PAN_PRISMA_CLOUD 攝入標籤的剖析器。

設定 Palo Alto Prisma Cloud

1. 使用管理員帳戶登入 Palo Alto Prisma Cloud Console。
2. 在「設定」選單中，按一下「存取金鑰」。
3. 按一下「新增」，然後輸入「名稱」。

4. 按一下「建立」，系統會顯示「存取金鑰 ID」和「私密金鑰」值。

5. 儲存「Access Key ID」和「Secret Key」值。設定 Google Security Operations 資訊提供時，需要這些值。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給的名稱，例如「Palo Alto Prisma Cloud Logs」。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Palo Alto Prisma Cloud」做為「記錄類型」。
7. 點選「下一步」。
8. 設定下列必要輸入參數：
   • 使用者名稱：指定您先前取得的存取金鑰 ID。
   • 密碼：指定您先前取得的密鑰。
   • API 主機名稱：指定 API 主機名稱。
9. 依序點按「繼續」和「提交」。

從內容中心設定動態饋給

為下列欄位指定值：

• 使用者名稱：指定您先前取得的存取金鑰 ID。
• 密碼：指定您先前取得的密鑰。
• API 主機名稱：指定 API 主機名稱。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各類動態饋給的規定，請參閱「依類型設定動態饋給」。

如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器程式碼會從 JSON 格式的 PAN PRISMA CLOUD 記錄檔中擷取欄位，執行資料轉換和對應，將資料結構化為 Chronicle UDM 結構定義。可處理各種記錄檔訊息結構 (包括巢狀物件和陣列)，以便在 Chronicle 中分析各種安全性事件和脈絡資訊。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。