Palo Alto Cortex XDR-Benachrichtigungslogs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Palo Alto Cortex XDR-Benachrichtigungslogs erfassen, indem Sie einen Google Security Operations-Feed einrichten.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Ein Erfassungslabel gibt den Parser an, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel CORTEX_XDR.

Palo Alto Cortex XDR-Benachrichtigungen konfigurieren

Führen Sie die folgenden Aufgaben aus, um Palo Alto Cortex XDR-Benachrichtigungen zu konfigurieren:

API-Schlüssel für Palo Alto Cortex XDR-Benachrichtigungen abrufen

  1. Melden Sie sich im Cortex XDR-Portal an.
  2. Klicken Sie im Menü Einstellungen auf Einstellungen.
  3. Wählen Sie + Neuer Schlüssel aus.
  4. Wählen Sie im Abschnitt Sicherheitsstufe die Option Erweitert aus.
  5. Wählen Sie im Bereich Rollen die Option Betrachter aus.
  6. Klicken Sie auf Generieren.
  7. Kopieren Sie den API-Schlüssel und klicken Sie auf Fertig. Der API-Schlüssel ist Ihr eindeutiger Autorisierungsschlüssel und wird nur zum Zeitpunkt der Erstellung angezeigt. Dies ist erforderlich, wenn Sie den Google Security Operations-Feed konfigurieren.

API-Schlüssel-ID für Palo Alto Cortex XDR-Benachrichtigungen abrufen

Rufen Sie im Abschnitt Konfigurationen API-Schlüssel > ID auf. Notieren Sie sich die entsprechende ID-Nummer, die das x-xdr-auth-id:{key_id}-Token darstellt.

FQDN abrufen

  1. Rufen Sie API-Schlüssel auf.
  2. Klicken Sie auf URL kopieren. Speichern Sie die URL. Sie ist erforderlich, wenn Sie den Google Security Operations-Feed konfigurieren.

Feeds einrichten

So konfigurieren Sie diesen Logtyp:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Wählen Sie den Feed-Pack Cortex XDR aus.

  4. Konfigurieren Sie die folgenden erforderlichen Eingabeparameter:

    • Quelltyp: Drittanbieter-API (empfohlen)
    • HTTP-Header für die Authentifizierung: Geben Sie den Autorisierungsschlüssel und die Autorisierungsschlüssel-ID an, die Sie zuvor abgerufen haben.
    • API-Hostname: Geben Sie die URL an, die Sie zuvor erhalten haben.
    • Endpunkt: Geben Sie den Endpunkt an.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  5. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.

Referenz zur Feldzuordnung

Dieser Parser extrahiert Sicherheitsprotokolle von Palo Alto Networks Cortex XDR im JSON- oder SYSLOG-Format (Schlüssel/Wert), normalisiert Felder und ordnet sie dem UDM zu. Es verarbeitet sowohl JSON- als auch Schlüssel/Wert-Formate, führt die Datumsextraktion durch, reichert die Daten mit Metadaten an und strukturiert die Ausgabe für die Aufnahme in Google SecOps.

REST API-Anfragen in Cortex XDR aktivieren und einen Google SecOps-Feed konfigurieren

In diesem Leitfaden finden Sie eine detaillierte Anleitung zum Aktivieren von REST API-Anfragen in Cortex XDR und zum Konfigurieren eines entsprechenden Feeds in Google SecOps.

Teil 1: REST API-Anfragen in Cortex XDR aktivieren

Cortex XDR verwendet API-Schlüssel für die Authentifizierung. So generieren Sie einen API-Schlüssel:

  1. Melden Sie sich in der Cortex XDR-Verwaltungskonsole an.
  2. Gehen Sie zu Einstellungen.
  3. Rufen Sie API-Schlüssel auf.
  4. Generieren Sie einen neuen Schlüssel.
  5. Geben Sie einen Schlüsselnamen an (z. B. „SecOps-Integration“).
  6. Weisen Sie dem API-Schlüssel die erforderlichen Berechtigungen für den Zugriff auf die benötigten Daten zu. Das ist wichtig für die Sicherheit und sorgt dafür, dass der Schlüssel nur auf die benötigten Daten zugreifen kann. Informationen zu den für Ihren Anwendungsfall erforderlichen Berechtigungen finden Sie in der Cortex XDR-Dokumentation.
  7. Speichern Sie den API-Schlüssel sicher. Sie benötigen ihn für die Konfiguration des Google SecOps-Feeds. Dies ist das einzige Mal, dass Sie den vollständigen Schlüssel sehen. Kopieren Sie ihn daher jetzt.
  8. (Optional) Konfigurieren Sie ein Ablaufdatum für den API-Schlüssel, um die Sicherheit zu erhöhen.

Teil 2: Feed in Google SecOps konfigurieren

Nachdem Sie den API-Schlüssel generiert haben, konfigurieren Sie den Feed in Google SecOps, um Daten von Cortex XDR zu empfangen:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neu hinzufügen.
  3. Wählen Sie Drittanbieter-API als Quelltyp aus.
  4. Wählen Sie den erforderlichen Protokolltyp aus, der den Daten entspricht, die Sie aus Cortex XDR aufnehmen möchten.
  5. Klicken Sie auf Weiter.
  6. Konfigurieren Sie die folgenden Eingabeparameter:
    • API-Endpunkt: Geben Sie die Basis-URL für die Cortex XDR API ein. Diese finden Sie in der Cortex XDR API-Dokumentation.
    • API-Schlüssel: Fügen Sie den zuvor generierten API-Schlüssel ein.
    • Andere Parameter: Je nach der verwendeten Cortex XDR API müssen Sie möglicherweise zusätzliche Parameter angeben, z. B. bestimmte Datenfilter oder Zeiträume. Weitere Informationen finden Sie in der Cortex XDR API-Dokumentation.
  7. Klicken Sie auf Weiter und dann auf Senden.

Wichtige Hinweise:

  • Ratenbegrenzung: Beachten Sie alle Ratenbegrenzungen, die von der Cortex XDR API auferlegt werden. Konfigurieren Sie den Feed entsprechend, um diese Limits nicht zu überschreiten.
  • Fehlerbehandlung: Implementieren Sie eine geeignete Fehlerbehandlung in Ihrer Google SecOps-Konfiguration, um Situationen zu bewältigen, in denen die Cortex XDR API nicht verfügbar ist oder Fehler zurückgibt.
  • Sicherheit: Speichern Sie den API-Schlüssel sicher und befolgen Sie die Best Practices für die Sicherheit. Rotieren Sie API-Schlüssel regelmäßig, um die Auswirkungen potenzieller Manipulationen zu minimieren.
  • Dokumentation: In der offiziellen Cortex XDR API-Dokumentation finden Sie detaillierte Informationen zu verfügbaren Endpunkten, Parametern und Datenformaten.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
action security_result.action Wenn action „BLOCKED“ enthält, legen Sie „BLOCK“ fest.
action security_result.action_details Wenn act nicht leer, null oder „none“ ist, verwenden Sie den Wert von act. Andernfalls, wenn action nicht „BLOCKED“ ist, verwenden Sie den Wert von action.
action_country security_result.about.location.country_or_region Direkte Zuordnung. Wird auch im verschachtelten Feld events verwendet.
action_file_path target.resource.attribute.labels Erstellt ein Label mit dem Schlüssel „action_file_path“ und dem Wert aus dem Logfeld.
action_file_sha256 target.file.sha256 Wird in Kleinbuchstaben umgewandelt.
action_local_port principal.port Wird in eine Ganzzahl umgewandelt.
action_remote_ip target.ip Zusammengeführt im Array target.ip.
action_remote_ip target.asset.ip In das Array target.asset.ip zusammengeführt.
action_remote_port target.port Wird in eine Ganzzahl umgewandelt.
act security_result.action_details Wird verwendet, wenn nicht leer, null oder „none“.
agent_data_collection_status Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
agent_device_domain target.administrative_domain Direkte Zuordnung.
agent_fqdn Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
agent_install_type Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
agent_is_vdi Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
agent_os_sub_type target.platform_version Direkte Zuordnung.
agent_os_type target.platform Wenn „Windows“, auf „WINDOWS“ festlegen.
agent_version Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
alert_id security_result.rule_id Direkte Zuordnung.
app target.application Direkte Zuordnung.
cat security_result.category_details Mit dem Feld security_result.category_details zusammengeführt.
category security_result.category Wenn „Malware“, auf „SOFTWARE_MALICIOUS“ festlegen.
category security_result.category_details Wird mit dem Feld security_result.category_details zusammengeführt.
cn1 network.session_id Direkte Zuordnung.
cn1Label Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
contains_featured_host Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
contains_featured_ip Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
contains_featured_user Nicht zugeordnet Obwohl dieses Feld im Rohlog vorhanden ist, wird es im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
creation_time metadata.event_timestamp In Zeitstempel umgewandelt.
cs1 security_result.rule_name Wird mit cs1Label verkettet, um die security_result.rule_name zu bilden.
cs1Label security_result.rule_name Wird mit cs1 verkettet, um die security_result.rule_name zu bilden.
cs2 additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel aus cs2Label und dem Stringwert aus cs2.
cs2Label additional.fields Wird als Schlüssel für den cs2-Wert in additional.fields verwendet.
cs3 additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel aus cs3Label und dem Stringwert aus cs3.
cs3Label additional.fields Wird als Schlüssel für den cs3-Wert in additional.fields verwendet.
cs4 additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel aus cs4Label und dem Stringwert aus cs4.
cs4Label additional.fields Wird als Schlüssel für den cs4-Wert in additional.fields verwendet.
cs5 additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel aus cs5Label und dem Stringwert aus cs5.
cs5Label additional.fields Wird als Schlüssel für den cs5-Wert in additional.fields verwendet.
cs6 additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel aus cs6Label und dem Stringwert aus cs6.
cs6Label additional.fields Wird als Schlüssel für den Wert cs6 in additional.fields verwendet.
CSPaccountname additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel „CSPaccountname“ und dem Stringwert aus dem Logfeld.
description metadata.description Direkte Zuordnung. Wird auch für security_result.description verwendet, wenn event_type nicht GENERIC_EVENT ist.
destinationTranslatedAddress target.ip In das Array target.ip zusammengeführt.
destinationTranslatedAddress target.asset.ip In das Array target.asset.ip zusammengeführt.
destinationTranslatedPort target.port Wird in eine Ganzzahl umgewandelt, wenn nicht leer oder -1.
deviceExternalId security_result.about.asset_id Beginnt mit „Externe Geräte-ID: “.
dpt target.port Wird in eine Ganzzahl umgewandelt, wenn destinationTranslatedPort leer oder -1 ist.
dst target.ip In das Array target.ip zusammengeführt.
dst target.asset.ip In das Array target.asset.ip zusammengeführt.
dst_agent_id target.ip Wird in eine IP-Adresse umgewandelt und in das target.ip-Array eingefügt, wenn es sich um eine gültige IP-Adresse handelt.
dst_agent_id target.asset.ip Wird in eine IP-Adresse umgewandelt und in das target.asset.ip-Array eingefügt, wenn es sich um eine gültige IP-Adresse handelt.
dvchost principal.hostname Direkte Zuordnung.
dvchost principal.asset.hostname Direkte Zuordnung.
endpoint_id target.process.product_specific_process_id Mit „cor:“ vorangestellt.
event_id Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
event_sub_type Nicht zugeordnet Obwohl dieses Feld im Rohlog vorhanden ist, wird es im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
event_timestamp metadata.event_timestamp In Zeitstempel umgewandelt. Wird auch im verschachtelten Feld events verwendet.
event_type metadata.event_type Wird basierend auf der Logik einem UDM-Ereignistyp zugeordnet. Wird auch im verschachtelten Feld events verwendet.
event_type metadata.product_event_type Direkte Zuordnung.
event_type security_result.threat_name Direkte Zuordnung.
events Verschachtelte Ereignisse Felder im events-Array werden entsprechenden UDM-Feldern in verschachtelten events-Objekten zugeordnet. Weitere Informationen finden Sie in den einzelnen Feldzuordnungen.
external_id Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fileId target.resource.attribute.labels Erstellt ein Label mit dem Schlüssel „fileId“ und dem Wert aus dem Logfeld.
fileHash target.file.sha256 In Kleinbuchstaben umgewandelt. Legt metadata.event_type auf FILE_UNCATEGORIZED fest.
filePath target.file.full_path Direkte Zuordnung. Legt metadata.event_type auf FILE_UNCATEGORIZED fest.
fw_app_category Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_app_id Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_app_subcategory Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_app_technology Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_device_name Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_email_recipient Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_email_sender Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_email_subject Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_interface_from Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_interface_to Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_is_phishing Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_misc Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_rule Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_rule_id Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_serial_number Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_url_domain Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_vsys Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
fw_xff Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
host_ip principal.ip Durch Komma getrennt und in das Array principal.ip zusammengeführt.
host_ip principal.asset.ip Durch Kommas getrennt und im Array principal.asset.ip zusammengeführt.
host_name principal.hostname Direkte Zuordnung.
host_name principal.asset.hostname Direkte Zuordnung.
hosts target.hostname Extrahiert den Hostnamen aus dem ersten Element des Arrays hosts.
hosts target.asset.hostname Extrahiert den Hostnamen aus dem ersten Element des Arrays hosts.
hosts target.user.employee_id Extrahiert die Nutzer-ID aus dem ersten Element des hosts-Arrays.
incident_id metadata.product_log_id Direkte Zuordnung.
is_whitelisted Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
local_insert_ts Nicht zugeordnet Obwohl dieses Feld im Rohlog vorhanden ist, wird es im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
mac principal.mac Durch Kommas getrennt und im Array principal.mac zusammengeführt.
matching_status Nicht zugeordnet Dieses Feld ist zwar im Rohlog vorhanden, wird aber im endgültigen UDM nicht dem IDM-Objekt zugeordnet.
metadata.description security_result.description Wird verwendet, wenn event_type GENERIC_EVENT ist.
metadata.event_type metadata.event_type Wird basierend auf Logik mit event_type, host_ip und anderen Feldern festgelegt.
metadata.log_type metadata.log_type Legen Sie diesen Wert auf „CORTEX_XDR“ fest.
metadata.product_name metadata.product_name Legen Sie diesen Wert auf „Cortex“ fest.
metadata.vendor_name metadata.vendor_name Legen Sie diesen Wert auf „Palo Alto Networks“ fest.
msg security_result.description Direkte Zuordnung.
name security_result.summary Direkte Zuordnung.
PanOSDGHierarchyLevel1 security_result.detection_fields Erstellt ein Schlüssel/Wert-Paar in security_result.detection_fields mit dem Schlüssel „PanOSDGHierarchyLevel1“ und dem Wert aus dem Logfeld.
PanOSDestinationLocation target.location.country_or_region Direkte Zuordnung.
PanOSDynamicUserGroupName principal.group.group_display_name Direkte Zuordnung, wenn nicht leer oder „-“.
PanOSSourceLocation principal.location.country_or_region Direkte Zuordnung.
PanOSThreatCategory security_result.category_details Mit dem Feld security_result.category_details zusammengeführt.
PanOSThreatID security_result.threat_id Direkte Zuordnung.
principal.asset.attribute.labels principal.asset.attribute.labels Erstellt ein Label mit dem Schlüssel „Source“ und dem Wert aus dem Feld source.
proto network.ip_protocol In Großbuchstaben umgewandelt. Legt metadata.event_type auf NETWORK_CONNECTION fest.
request network.http.referral_url Direkte Zuordnung.
rt metadata.event_timestamp In Zeitstempel umgewandelt.
security_result.severity security_result.severity Legen Sie den Wert auf die Großbuchstabenversion von severity fest.
severity security_result.severity In Großbuchstaben umgewandelt.
shost principal.hostname Direkte Zuordnung. Legt metadata.event_type auf STATUS_UPDATE fest.
shost principal.asset.hostname Direkte Zuordnung. Legt metadata.event_type auf STATUS_UPDATE fest.
source principal.asset.attribute.labels Wird als Wert für das Label „Quelle“ verwendet.
source security_result.summary Wird verwendet, wenn die Filter not_json und grok übereinstimmen.
sourceTranslatedAddress principal.ip Mit dem Array principal.ip zusammengeführt.
sourceTranslatedAddress principal.asset.ip In das Array principal.asset.ip zusammengeführt.
sourceTranslatedPort principal.port Wird in eine Ganzzahl konvertiert, wenn sie nicht leer oder -1 ist.
spt principal.port In Ganzzahl umgewandelt.
sr_summary security_result.summary Wird verwendet, wenn not_json- und grok-Filter übereinstimmen.
src principal.ip Mit dem Array principal.ip zusammengeführt.
src principal.asset.ip Zusammengeführt im Array principal.asset.ip.
suser principal.user.user_display_name Direkte Zuordnung.
tenantCDLid additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel „tenantCDLid“ und dem Stringwert aus dem Logfeld.
tenantname additional.fields Erstellt ein Schlüssel/Wert-Paar in additional.fields mit dem Schlüssel „tenantname“ und dem Stringwert aus dem Logfeld.
users target.user.userid Verwendet das erste Element des Arrays users.
xdr_url metadata.url_back_to_product Direkte Zuordnung.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten