O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros da SD-WAN do Prisma da Palo Alto

Versão do analisador:3.0

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Palo Alto Prisma SD-WAN (antigo CloudGenix) no Google Security Operations usando o agente do Bindplane.

A Palo Alto Prisma SD-WAN é uma solução de rede de longa distância definida por software fornecida na nuvem que oferece roteamento com reconhecimento de aplicativos, gerenciamento centralizado de políticas e conectividade automatizada de filiais. Ele simplifica as operações de WAN substituindo as redes tradicionais centradas em roteadores por uma estrutura segura e definida por aplicativo que otimiza o desempenho e reduz os custos.

Para mais informações, consulte a documentação da Palo Alto Prisma SD-WAN.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um host Windows 2016 ou mais recente ou Linux com systemd
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado ao console de gerenciamento da Palo Alto Prisma SD-WAN (Strata Cloud Manager ou controlador CloudGenix legado)
Conectividade de rede entre o host do agente do Bindplane e os dispositivos ION do Prisma SD-WAN

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Observação: esse arquivo JSON contém credenciais para autenticar o agente do Bindplane no Google SecOps.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```
O serviço precisa aparecer como RUNNING.

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sudo systemctl status observiq-otel-collector
```
O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cloudgenix_sdwan:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CLOUDGENIX_SDWAN
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cloudgenix_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cloudgenix_sdwan

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

Configuração do receptor:
- listen_address: endereço IP e porta a serem detectados. Use 0.0.0.0 para detectar em todas as interfaces. A porta 514 é padrão para syslog (requer privilégios de raiz no Linux; use 1514 para não raiz).
Configuração do exportador:
- creds_file_path: caminho completo para o arquivo de autenticação de ingestão do Google SecOps.
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID>: ID do cliente do Google SecOps.
- endpoint: URL do endpoint regional:
  - EUA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulte Endpoints regionais para ver a lista completa.

Salvar o arquivo de configuração

Depois de editar, salve o arquivo:
- Linux: pressione Ctrl+O, Enter e Ctrl+X.
- Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifique se o serviço está em execução:
```
sudo systemctl status observiq-otel-collector
```
2. Verifique se há erros nos registros:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:
1. Prompt de comando ou PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
2. Pressione Win+R, digite services.msc e pressione Enter.
3. Localize o Coletor do OpenTelemetry da observIQ.
4. Clique com o botão direito do mouse e selecione Reiniciar.
5. Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```
6. Verifique se há erros nos registros:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurar o encaminhamento de syslog da SD-WAN do Palo Alto Prisma

É possível configurar o encaminhamento de syslog em dispositivos ION individuais ou criar um perfil de syslog reutilizável que pode ser aplicado a vários dispositivos.

Opção 1: configurar a exportação do syslog em um dispositivo ION individual

Faça login no Strata Cloud Manager com privilégios de administrador.
Acesse Configuração > Prisma SD-WAN > Dispositivos ION > Reivindicados.
Selecione o dispositivo ION que você quer configurar para encaminhamento de syslog.
Clique em Configurar o dispositivo.
Selecione Exportação do Syslog.
Clique em Criar servidor Syslog.
Selecione Ativar este servidor Syslog.
Informe os seguintes detalhes de configuração:
- Nome: insira um nome descritivo (por exemplo, SecOps-Bindplane).
- IP do servidor ou FQDN do servidor: selecione IP do servidor e insira o endereço IP do host do agente Bindplane (por exemplo, 192.168.1.100).
- Porta do servidor: insira 514 (ou a porta configurada no agente do Bindplane). As portas padrão são 514 para TCP ou UDP e 6514 para TLS.
- Protocolo: selecione UDP (padrão), TCP ou TLS.
- Nível de gravidade: selecione crítico, grave ou leve. Os registros e eventos do nível de gravidade selecionado e superiores são exportados.
Para exportar registros de fluxo, ative a opção Registro de fluxo.
Clique em Salvar.
Verifique se as mensagens do syslog estão sendo recebidas conferindo os registros do agente do Bindplane.

Observação: o número máximo de servidores syslog aceitos por dispositivo ION é 16. Os dispositivos ION usam o formato RFC 5424 do syslog para todos os protocolos.

Opção 2: criar um perfil de syslog reutilizável

Faça login no Strata Cloud Manager com privilégios de administrador.
Acesse Configuração > Prisma SD-WAN > Perfis e modelos > Syslog.
Clique em Criar perfil do Syslog.
Informe os seguintes detalhes de configuração:
- Nome: digite um nome para o perfil do syslog (por exemplo, SecOps-Bindplane).
- Descrição: se quiser, insira uma descrição.
- IP do servidor ou FQDN do servidor: selecione IP do servidor e insira o endereço IP do host do agente do Bindplane.
- Porta do servidor: insira 514 (ou a porta configurada no agente do Bindplane).
- Protocolo: selecione UDP.
Em Registros de segurança, selecione os tipos de registros a serem encaminhados:
- Ameaça: registros de detecção de ameaças.
- DNS: registros de segurança de DNS.
- URL: registros de filtragem de URL.
Clique em Salvar.
Atribua o perfil do syslog aos dispositivos ION desejados na configuração do dispositivo.
Verifique se as mensagens do syslog estão sendo recebidas conferindo os registros do agente do Bindplane.

Observação: os perfis de syslog permitem aplicar a mesma configuração de syslog em vários dispositivos ION. Para mais informações, consulte a documentação do syslog do Prisma SD-WAN.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
`_about`	`about`	Mesclado
`_intermediary`	`intermediary`	Mesclado
`MSG`	`metadata.description`	Mapeado diretamente
`CODE`	`metadata.product_event_type`	Mapeado diretamente
`FACILITY`	`metadata.product_event_type`	Mapeado diretamente
`log_type`	`metadata.product_event_type`	Mapeado diretamente
`APP_NAME`	`network.http.user_agent`	Mapeado diretamente
`PROTOCOL_NAME`	`network.ip_protocol`	Mapeado diretamente
`BYTES_RECVD`	`network.received_bytes`	Mapeado diretamente
`BYTES_SENT`	`network.sent_bytes`	Mapeado diretamente
`CLOUDGENIX_HOST`	`principal.hostname`	Mapeado diretamente
`ION_HOST`	`principal.hostname`	Mapeado diretamente
`NAME`	`principal.hostname`	Mapeado diretamente
`SRC_INTERFACE`	`principal.hostname`	Mapeado diretamente
`SRC_IP`	`principal.ip`	Mesclado
`src_ip`	`principal.ip`	Mesclado
`SRC_PORT`	`principal.port`	Mapeado diretamente
`PROCESS_NAME`	`principal.process.file.full_path`	Mapeado diretamente
`pid`	`principal.process.pid`	Mapeado diretamente
`sec_result`	`security_result`	Mesclado
`DST_INTERFACE`	`target.hostname`	Mapeado diretamente
`REMOTE_HOSTNAME`	`target.hostname`	Mapeado diretamente
`DST_IP`	`target.ip`	Mesclado
`REMOTE_IP`	`target.ip`	Mesclado
`dest_ip`	`target.ip`	Mesclado
`DST_PORT`	`target.port`	Mapeado diretamente
`VPN_LINK_ID`	`target.resource.id`	Mapeado diretamente
N/A	`about`	Constante: `_about`
N/A	`intermediary`	Constante: `_intermediary`
N/A	`metadata.event_type`	Constante: `GENERIC_EVENT`
N/A	`metadata.product_name`	Constante: `CloudGenix SD-WAN`
N/A	`metadata.vendor_name`	Constante: `Palo Alto Networks`
N/A	`network.received_bytes`	Constante: `uinteger`
N/A	`network.sent_bytes`	Constante: `uinteger`
N/A	`principal.ip`	Constante: `src_ip`
N/A	`security_result`	Constante: `sec_result`
N/A	`target.ip`	Constante: `REMOTE_IP`

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.