threat_id: eindeutige Palo Alto Networks-ID für Bedrohungen
name: Name der Bedrohung
alert_severity: Schweregrad der Bedrohung. Entweder INFORMATIONAL, LOW, MEDIUM, HIGH oder CRITICAL
type: Art der Bedrohung
category: Untertyp der Bedrohung
alert_time: Zeitpunkt, zu dem die Bedrohung erkannt wurde
network: Kundennetzwerk, in dem die Bedrohung entdeckt wurde
source_ip_address: Quell-IP-Adresse des verdächtigen Traffics. Wenn Sie einen Load Balancer vonGoogle Cloud verwenden, ist die tatsächliche Client-IP-Adresse nicht verfügbar. Stattdessen wird die IP-Adresse Ihres Load Balancers angezeigt.
destination_ip_address: Ziel-IP-Adresse des verdächtigen Traffics
source_port: Quellport des verdächtigen Traffics
destination_port: Zielport des verdächtigen Traffics
ip_protocol: IP-Protokoll des verdächtigen Traffics
application: Anwendungstyp des verdächtigen Traffics, z. B. SSH
direction: Richtung des verdächtigen Traffics (Client-zu-Server oder Server-zu-Client)
session_id: eine interne numerische ID, die auf jede Sitzung angewendet wird
repeat_count: Anzahl der Sitzungen mit derselben Quell-IP, Ziel-IP, Anwendung und demselben Typ, die innerhalb von 5 Sekunden beobachtet wurden
uri_or_filename: URI oder Dateiname der relevanten Bedrohung, falls zutreffend
cves: eine Liste der mit der Bedrohung verknüpften CVEs
details: zusätzliche Informationen zum Bedrohungstyp aus dem Threat Vault von Palo Alto Networks
Threat Vault von Palo Alto Networks durchsuchen
Folgen Sie der Anleitung unten, um nach CVEs (Common Vulnerabilities and Exposures), Bedrohungs-IDs, Bedrohungsnamen und Bedrohungskategorien zu suchen.
Wenn Sie noch kein Konto haben, erstellen Sie eines in der LiveCommunity von Palo Alto Networks.
Greifen Sie mit Ihrem Konto auf den Threat Vault von Palo Alto Networks zu.
Suchen Sie anhand der Informationen aus der Bedrohungsbenachrichtigung im Threat Vault nach einem beliebigen der folgenden Werte:
Eine oder mehrere CVEs aus dem Feld cves
THREAT_ID aus dem Feld threat_id
THREAT_NAME aus dem Feld name
CATEGORY aus dem Feld category
Prüfen Sie, ob der Signaturstatus Freigegeben und nicht Deaktiviert lautet.
Wenn Deaktiviert ausgewählt ist, ist die Signatur nicht mehr gültig und wurde deaktiviert.
Wenn Cloud IDS die Updates von Palo Alto Networks nachholt, generiert die Signatur keine Benachrichtigungen mehr.
Wenn das Ergebnis von einer Datei ausgelöst würde, führen Sie die folgenden Schritte aus:
Suchen Sie auf der VirusTotal-Website nach den Hashes, die mit der Signatur verknüpft sind, um festzustellen, ob einer davon schädlich ist.
Wenn der Hash der Datei, die die Signatur ausgelöst hat, bekannt ist, vergleichen Sie ihn mit den Hashes im Threat Vault. Wenn sie nicht übereinstimmen, handelt es sich um eine Signaturkollision. Das bedeutet, dass die Datei und das schädliche Beispiel möglicherweise dieselben Bytewerte an denselben Byte-Offsets enthalten.
Wenn sie übereinstimmen und die Datei nicht schädlich ist, handelt es sich um ein falsch positives Ergebnis und Sie können die Bedrohungsbenachrichtigung ignorieren.
Wenn das Ergebnis durch eine Command-and-Control- oder DNS-Bedrohung ausgelöst wurde, führen Sie die folgenden Schritte aus:
Ermitteln Sie die Zieldomain, die die Signatur für ausgehende Kommunikation von einem Endpunkt ausgelöst hat.
Prüfen Sie die Bewertung der beteiligten Domains und IP-Adressen, um ein umfassendes Verständnis des potenziellen Bedrohungsniveaus zu erhalten.
Wenn sich der Traffic auf Ihr Unternehmen auswirkt und Sie davon überzeugt sind, dass er nicht schädlich ist, oder wenn Sie das Risiko in Kauf nehmen möchten, können Sie Ihrem Cloud IDS-Endpunkt Bedrohungsausnahmen hinzufügen, um die Bedrohungs-ID zu deaktivieren.
Implementieren Sie eine Cloud Armor-Regel oder eine Cloud-NGFW-Regel, um den schädlichen Traffic mithilfe der Quell- und Ziel-IP-Adressen der Verbindung aus dem Ergebnis zu blockieren.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eThis page outlines the process for investigating threat alerts generated by Cloud IDS, focusing on reviewing the details and taking action.\u003c/p\u003e\n"],["\u003cp\u003eAlert details include fields like \u003ccode\u003ethreat_id\u003c/code\u003e, \u003ccode\u003ename\u003c/code\u003e, \u003ccode\u003ealert_severity\u003c/code\u003e, \u003ccode\u003esource_ip_address\u003c/code\u003e, \u003ccode\u003edestination_ip_address\u003c/code\u003e, and many other identifiers in the JSON alert logs, providing comprehensive information on each threat.\u003c/p\u003e\n"],["\u003cp\u003eThe Palo Alto Networks Threat Vault can be searched using CVEs, threat IDs, threat names, or categories found in the alert logs to gain deeper insights into specific threats.\u003c/p\u003e\n"],["\u003cp\u003eFor file-based threats, the associated file hashes can be checked on VirusTotal and compared in the Threat Vault to determine if they are malicious or if it may be a signature collision or false positive.\u003c/p\u003e\n"],["\u003cp\u003eFor actionable results on traffic that is not considered malicious, there is the option to add Threat Exceptions in Cloud IDS or to block the traffic using Google Cloud Armor or Cloud NGFW rules.\u003c/p\u003e\n"]]],[],null,["# Investigate Threat Alerts\n\nThis page provides details about how to investigate the threat alerts that Cloud IDS\ngenerates.\n\nReview alert details\n--------------------\n\nYou can review the following JSON fields in the [alert log](/intrusion-detection-system/docs/logging):\n\n- `threat_id` - Unique Palo Alto Networks threat identifier.\n- `name` - Threat name.\n- `alert_severity` - Severity of the threat. One of `INFORMATIONAL`, `LOW`, `MEDIUM`, `HIGH`, or `CRITICAL`.\n- `type` - Type of the threat.\n- `category` - Sub-type of the threat.\n- `alert_time` - Time when the threat was discovered.\n- `network` - Customer network in which the threat was discovered.\n- `source_ip_address` - Suspected traffic's source IP address. When you use a Google Cloud load balancer, the true client IP address is not available, and this address is the IP address of your load balancer.\n- `destination_ip_address` - Suspected traffic's destination IP address.\n- `source_port` - Suspected traffic's source port.\n- `destination_port` - Suspected traffic's destination port.\n- `ip_protocol` - Suspected traffic's IP protocol.\n- `application` - Suspected traffic's application type---for example, SSH.\n- `direction` - Suspected traffic's direction (client-to-server or server-to-client).\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - Number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `uri_or_filename` - URI or filename of the relevant threat, if applicable.\n- `cves` - a list of CVEs associated with the threat\n- `details` - Additional information about the type of threat, taken from Palo Alto Networks' ThreatVault.\n\nSearch the Palo Alto Networks Threat Vault\n------------------------------------------\n\nUse the following instructions to search for Common Vulnerabilities and Exposures (CVEs),\nthreat IDs, threat names, and threat categories.\n\n1. If you don't already have an account, create an account on Palo Alto Networks'\n [LiveCommunity](https://live.paloaltonetworks.com/).\n\n2. Access the Palo Alto Networks\n [Threat Vault](https://www.paloaltonetworks.com/blog/threat-vault/)\n using your account.\n\n3. In the Threat Vault, search for any of the following values based on information from\n your threat alert:\n\n - One or more \u003cvar translate=\"no\"\u003eCVE\u003c/var\u003e from the `cves` field\n - \u003cvar translate=\"no\"\u003eTHREAT_ID\u003c/var\u003e from the `threat_id` field\n - \u003cvar translate=\"no\"\u003eTHREAT_NAME\u003c/var\u003e from the `name` field\n - \u003cvar translate=\"no\"\u003eCATEGORY\u003c/var\u003e from the `category` field\n4. Verify that the signature status says **Released** and not **Disabled**.\n\n 1. If **Disabled**, the signature is no longer valid and is disabled. When Cloud IDS catches up on updates from Palo Alto Networks, the signature stops generating alerts.\n5. If a file triggered the finding, perform the following steps:\n\n 1. Search for the hashes that are associated with the signature on the VirusTotal website to determine whether any of them are malicious.\n 2. If the hash of the file triggering the signature is known, compare it to those in Threat Vault. If they don't match it's a [signature collision](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cm3SCAS), which means that the file and the malicious sample might contain the same byte values in the same byte offsets. If they do match and the file isn't malicious, it's a false positive and you can disregard the threat alert..\n6. If a command-and-control or DNS threat triggered the finding, perform the following steps:\n\n 1. Identify the destination domain that triggered the signature on outbound communications from an endpoint.\n 2. Investigate the reputation of domains and IP addresses involved to develop a broad understanding of the potential threat level.\n7. If the traffic has a business impact and you are convinced that the traffic isn't\n malicious, or if you are willing to accept the risk, you can add\n [Threat Exceptions](/intrusion-detection-system/docs/configuring-ids#optional_configure_threat_exceptions)\n to your Cloud IDS endpoint to disable the threat ID, .\n\n8. Implement a [Cloud Armor rule](/armor/docs/rules-language-reference) or a\n [Cloud NGFW rule](/firewall/docs/firewall-policies-rule-details) to\n block the malicious traffic using the connection source and destination IP addresses\n in the finding."]]
