Raccogliere i log di Palo Alto Prisma SD-WAN

Supportato in:

Questo documento spiega come importare i log di Palo Alto Prisma SD-WAN (in precedenza Cloudgenix SD-WAN) in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log di sistema e di flusso, mappandoli al modello Unified Data Model (UDM). Gestisce i messaggi syslog strutturati e non strutturati, eseguendo l'analisi delle coppie chiave-valore e la corrispondenza Grok per estrarre informazioni pertinenti come IP di origine/destinazione, nomi host, tipi di eventi e dettagli di sicurezza e compila i campi UDM di conseguenza. Il parser elabora anche i log di flusso, estraendo le informazioni di rete e mappandole agli schemi di rete, principal, target, intermediario e risultati di sicurezza di UDM.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso con privilegi a Palo Alto Prisma SD-WAN (in precedenza Cloudgenix SD-WAN)

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    ```yaml
receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CLOUDGENIX_SDWAN'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
```

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare il profilo Syslog di Prisma SD-WAN

  1. Accedi a Prisma SD-WAN.
  2. Vai a Gestisci > Risorse > Profili di configurazione.
  3. Seleziona Syslog.
  4. Fai clic su Crea profilo Syslog.
  5. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome per questo profilo.
    • Seleziona la casella di controllo Abilita logging di flusso.
    • Gravità: seleziona il livello di gravità tra Critica, Grave o Minore.
    • Protocollo: seleziona il tipo di protocollo UDP o TCP, a seconda della configurazione dell'agente Bindplane.
    • Seleziona il pulsante di opzione IP server.
    • Inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta server: inserisci il numero di porta dell'agente Bindplane.
  6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
ACTION security_result.action Se ACTION_CODE è "1", imposta "ALLOW". Altrimenti, se ACTION_CODE non è vuoto, impostalo su "BLOCK". In caso contrario, il valore predefinito è "UNKNOWN_ACTION" della parte precedente del parser.
ACTION_CODE security_result.action Utilizzato nella logica per determinare security_result.action.
APP_NAME network.http.user_agent Mappato direttamente.
BYTES_RECVD network.received_bytes Mappato direttamente, convertito in numero intero senza segno.
BYTES_SENT network.sent_bytes Mappato direttamente, convertito in numero intero senza segno.
CLOUDGENIX_HOST principal.hostname Mappato direttamente se il campo NAME è vuoto. Utilizzato come nome host intermedio se è presente NAME.
CODE metadata.product_event_type Concatenato con FACILITY per formare metadata.product_event_type. Utilizzato anche per determinare metadata.event_type (ad es. se CODE contiene "DOWN", metadata.event_type è impostato su "STATUS_SHUTDOWN").
DESTINATION_ZONE_NAME about.labels Mappato direttamente come etichetta con la chiave "DESTINATION_ZONE_NAME".
DEVICE_TIME metadata.event_timestamp Mappato direttamente dopo l'analisi come data.
DST_INTERFACE target.hostname Mappato direttamente.
DST_IP target.ip Mappato direttamente.
DST_PORT target.port Mappato direttamente, convertito in numero intero.
ELEMENT_ID about.labels Mappato direttamente come etichetta con la chiave "ELEMENT_ID".
EVENT_TIME metadata.event_timestamp Mappato direttamente dopo l'analisi come data.
FACILITY metadata.product_event_type Concatenato con CODE per formare metadata.product_event_type.
FLOW_EVENT security_result.summary Utilizzato come parte della stringa security_result.summary.
IDENTIFIER about.labels Mappato direttamente come etichetta con la chiave "IDENTIFIER".
ION_HOST principal.hostname Mappato direttamente se i campi CLOUDGENIX_HOST e NAME sono vuoti.
MSG metadata.description Mappato direttamente. Utilizzato anche per la corrispondenza delle espressioni regolari per determinare metadata.event_type ed estrarre target.ip.
NAME principal.hostname Mappato direttamente. Se presente, CLOUDGENIX_HOST diventa intermediary.hostname.
PROCESS_NAME principal.process.file.full_path Mappato direttamente.
PROTOCOL_NAME network.ip_protocol Mappato direttamente, convertito in maiuscolo.
REMOTE_HOSTNAME target.hostname Mappato direttamente.
REMOTE_IP target.ip Mappato direttamente.
RULE_NAME security_result.rule_name Mappato direttamente.
SEVERITY security_result.severity, security_result.severity_details Mappato a security_result.severity_details. Utilizzato anche per determinare security_result.severity (ad es. se SEVERITY è "minor", security_result.severity è impostato su "LOW").
SOURCE_ZONE_NAME about.labels Mappato direttamente come etichetta con la chiave "SOURCE_ZONE_NAME".
SRC_INTERFACE principal.hostname Mappato direttamente.
SRC_IP principal.ip Mappato direttamente.
SRC_PORT principal.port Mappato direttamente, convertito in numero intero.
VPN_LINK_ID target.resource.id Mappato direttamente.
(Parser Logic) is_alert Impostato su true se log_type è "alert" o "alarm".
(Parser Logic) is_significant Impostato su true se log_type è "alert" o "alarm".
(Parser Logic) metadata.event_type Determinato da una serie di istruzioni condizionali basate sui valori di CODE, MSG, src_ip e dest_ip. Il valore predefinito è "GENERIC_EVENT".
(Parser Logic) metadata.log_type Imposta il valore su "CLOUDGENIX_SDWAN".
(Parser Logic) metadata.product_event_type Il valore predefinito è la concatenazione di CODE e FACILITY. Imposta "cgxFlowLogV1" per i log di flusso.
(Parser Logic) metadata.product_name Imposta il valore su "CloudGenix SD-WAN".
(Parser Logic) metadata.vendor_name Imposta "Palo Alto Networks".
(Parser Logic) principal.process.pid Imposta il valore di pid dal log non elaborato per i log di flusso.
(Parser Logic) security_result.action Il valore predefinito è "UNKNOWN_ACTION".
(Parser Logic) security_result.severity Il valore predefinito è "UNKNOWN_SEVERITY". Impostato in base al valore di SEVERITY. Imposta "INFORMATIONAL" per i log di flusso.
(Parser Logic) security_result.summary Imposta in base al valore di CODE per i messaggi syslog. Imposta una stringa descrittiva che includa FLOW_EVENT, SRC_IP e DST_IP per i log di flusso.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.