Palo Alto Networks Prisma Cloud

このドキュメントでは、Palo Alto Networks Prisma Cloud を Google Security Operations の SOAR モジュールと統合する方法について説明します。Google SecOps プラットフォームでは、Palo Alto Networks Prisma Cloud の統合は Palo Alto Prisma Cloud と呼ばれます。

統合バージョン: 3.0

Prisma Cloud を Google SecOps と統合する

統合には次のパラメータが必要です。

パラメータ 説明
API Root 必須

Prisma Cloud インスタンスの API ルート。

デフォルト値は https://api3.prismacloud.io です。
Access Key ID 必須

Prisma Cloud アカウントのアクセスキー ID。
Secret Access Key 必須

Prisma Cloud アカウントのシークレット アクセスキー。
Verify SSL 必須

選択すると、Google SecOps は Prisma Cloud サーバーへの接続用の SSL 証明書が有効であることを確認します。

デフォルトで選択されています。

必要に応じて、後の段階で変更できます。Prisma Cloud インスタンスを構成すると、ハンドブックでそのインスタンスを使用できます。Prisma Cloud の複数のインスタンスの構成とサポートについては、複数のインスタンスのサポートをご覧ください。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

操作

Prisma Cloud 統合で使用可能なアクションのリストは次のとおりです。

アセットを拡充する

Prisma Cloud を使用して、リソースに関する情報を拡充します。

このアクションは Google SecOps エンティティに対して実行されません。サポートされているエンティティの詳細については、サポートされているエンティティ タイプをご覧ください。

アクション入力

このアクションには次のパラメータが必要です。

パラメータ 説明
Asset Identifiers 必須

詳細を取得するアセット ID のカンマ区切りのリスト。

アセット識別子は、アセット ID またはアセットの制限付きリソース名（RRN）です。

アクションの出力

このアクションでは、次の出力が提供されます。

アクションの出力タイプ アクションの出力の可用性
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
スクリプトの結果 利用可能
出力メッセージ 利用可能
JSON の結果

次の例は、アセットの拡充アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "id":"2dcffa4a51d892bcf48ed80652e75650",
    "externalAssetId":"5115585594921894848",
    "cloudType":"gcp",
    "createdTs":1707216238063,
    "insertTs":1707216238063,
    "dynamicData":null,
    "data":{
        "id":"5115585594921894848",
        "kind":"compute#instance",
        "name":"example-name-rgmn",
        "tags":{
            "items":[
                "example-name"
            ],
            "fingerprint":"ycXN3kijHZc="
        },
        "zone":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/zones/us-central1-a",
        "disks":[
            {
                "boot":true,
                "kind":"compute#attachedDisk",
                "mode":"READ_WRITE",
                "type":"PERSISTENT",
                "index":0,
                "source":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/zones/us-central1-a/disks/example-name-rgmn",
                "licenses":[
                    "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/licenses/LICENSE_ID"
                ],
                "interface":"SCSI",
                "autoDelete":true,
                "deviceName":"persistent-disk-0",
                "diskSizeGb":"30",
                "architecture":"X86_64",
                "guestOsFeatures":[
                    {
                        "type":"GVNIC"
                    },
                    {
                        "type":"SEV_CAPABLE"
                    },
                    {
                        "type":"UEFI_COMPATIBLE"
                    },
                    {
                        "type":"VIRTIO_SCSI_MULTIQUEUE"
                    }
                ],
                "shieldedInstanceInitialState":{
                    "dbxs":[
                    ]
                }
            }
        ],
        "labels":{
            "goog-ccm":"true",
            "goog-solutions-console-solution-id":"java-application",
            "goog-solutions-console-deployment-name":"java-application"
        },
        "status":"RUNNING",
        "metadata":{
            "kind":"compute#metadata",
            "items":[
                {
                    "key":"created-by",
                    "value":"projects/PROJECT_ID/regions/us-central1/instanceGroupManagers/example-name"
                },
                {
                    "key":"instance-template",
                    "value":"projects/PROJECT_ID/global/instanceTemplates/xwiki-us-central1-a-temp"
                },
                {
                    "key":"startup-script",
                    "value":"#! /bin/bash\n\nsed -i \"s/$(echo JGROUP_BUCKET | sed -e 's/\\([[\/.*]\\|\\]\\)/\\\\&/g')/$(echo xwiki-jgroup-PROJECT_ID-gce | sed -e 's/[\/&]/\\\\&/g')/g\" /usr/lib/xwiki/WEB-INF/observation/remote/jgroups/tcp.xml\nsed -i \"s/$(echo ACCESS_KEY | sed -e 's/\\([[\/.*]\\|\\]\\)/\\\\&/g')/$(echo GOOG1E | sed -e 's/[\/&]/\\\\&/g')/g\" /usr/lib/xwiki/WEB-INF/observation/remote/jgroups/tcp.xml\nsed -i \"s/$(echo SECRET_KEY | sed -e 's/\\([[\/.*]\\|\\]\\)/\\\\&/g')/$(echo IvgTtIJJq+68sI9XISo2qMXGyONmFDf7U9QuegN/ | sed -e 's/[\/&]/\\\\&/g')/g\" /usr/lib/xwiki/WEB-INF/observation/remote/jgroups/tcp.xml\n\nDB_PASS=\"$(gcloud secrets versions access --secret xwiki-db-password latest --project PROJECT_NAME)\"\n\nbash /home/xwiki_startup.sh \"203.0.113.2\" \"xwiki\" \"${DB_PASS}\" \"203.0.113.242\"\nbash /home/xwiki_deploy_flavor.sh \"203.0.113.2\" \"xwiki\" \"${DB_PASS}\" \"203.0.113.242\"\n"
                }
            ],
            "fingerprint":"_s0ui1yxFME="
        },
        "selfLink":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/zones/us-central1-a/instances/example-name-rgmn",
        "scheduling":{
            "preemptible":false,
            "automaticRestart":true,
            "onHostMaintenance":"MIGRATE",
            "provisioningModel":"STANDARD"
        },
        "cpuPlatform":"Intel Cascade Lake",
        "fingerprint":"YBMt5z3lxpI=",
        "machineType":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/zones/us-central1-a/machineTypes/n2-standard-2",
        "minCpuPlatform":"Intel Cascade Lake",
        "serviceAccounts":[
            {
                "email":"example@developer.gserviceaccount.com",
                "scopes":[
                    "https://www.googleapis.com/auth/cloud-platform",
                    "https://www.googleapis.com/auth/compute",
                    "https://www.googleapis.com/auth/devstorage.full_control",
                    "https://www.googleapis.com/auth/devstorage.read_only",
                    "https://www.googleapis.com/auth/logging.write",
                    "https://www.googleapis.com/auth/monitoring.write",
                    "https://www.googleapis.com/auth/service.management.readonly",
                    "https://www.googleapis.com/auth/servicecontrol",
                    "https://www.googleapis.com/auth/trace.append"
                ]
            }
        ],
        "startRestricted":false,
        "labelFingerprint":"Cy_Kdpu4cz8=",
        "creationTimestamp":"2024-02-05T16:28:31.856-08:00",
        "networkInterfaces":[
            {
                "kind":"compute#networkInterface",
                "name":"nic0",
                "network":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/networks/NETWORK_ID",
                "networkIP":"203.0.113.2",
                "stackType":"IPV4_ONLY",
                "subnetwork":"https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/us-central1/subnetworks/SUBNETWORK_ID",
                "fingerprint":"lpKHF5wzhv4="
            }
        ],
        "deletionProtection":false,
        "lastStartTimestamp":"2024-02-05T16:28:47.038-08:00",
        "shieldedInstanceConfig":{
            "enableVtpm":true,
            "enableSecureBoot":false,
            "enableIntegrityMonitoring":true
        },
        "shieldedInstanceIntegrityPolicy":{
            "updateAutoLearnPolicy":true
        }
    },
    "name":"example-name-rgmn",
    "regionId":"us-central1",
    "regionName":"US",
    "riskGrade":"B",
    "stateId":null,
    "url":"https://console.cloud.google.comhttps://console.cloud.google.com/compute/instancesDetail/zones/us-central1-a/instances/example-name-rgmn?project=PROJECT_NAME",
    "vpcId":null,
    "vpcName":null,
    "relationshipCounts":1,
    "vulnerabilityCounts":{
        "critical":17,
        "high":38,
        "knownExploits":{
            "critical":0,
            "high":0,
            "low":0,
            "medium":0
        },
        "low":31,
        "medium":59,
        "old":{
            "critical":0,
            "high":0,
            "low":0,
            "medium":0
        },
        "patchable":{
            "critical":17,
            "high":38,
            "low":5,
            "medium":26
        }
    },
    "vpcExternalAssetId":null,
    "tags":{
        "goog-ccm":true,
        "xwiki-us-central1-autoscale":"",
        "goog-solutions-console-deployment-name":"java-application",
        "goog-solutions-console-solution-id":"java-application"
    },
    "assetType":"Google Compute Engine VM Instance",
    "serviceName":"Google Compute Engine",
    "resourceType":"Google Compute Engine VM Instance",
    "accountGroup":"account",
    "accountName":"Example-Name",
    "assetClassId":"compute",
    "assetClass":"Compute",
    "deleted":false,
    "problem":[
        
    ],
    "alertsCount":[
        {
            "count":5,
            "severity":"high"
        },
        {
            "count":3,
            "severity":"critical"
        },
        {
            "count":2,
            "severity":"low"
        }
    ],
    "attributes":{
        "altAssetId":"example-name-rgmn.us-central1-a.c.PROJECT_NAME.internal",
        "name":"example-name-rgmn.us-central1-a.c.PROJECT_NAME.internal",
        "provider":"gcp",
        "accountID":"example-account",
        "region":"us-central1-a",
        "resourceName":"5115585594921894848",
        "osRelease":"focal",
        "osDistro":"ubuntu",
        "distro":"Ubuntu 20.04.5 LTS",
        "scannedBy":"Agentless",
        "docker":"",
        "kubernetes":"",
        "cluster":"",
        "vmImage":"hsa-xwiki-vm-img-latest",
        "collections":[
            "All"
        ],
        "scanPassed":true,
        "stage":"run",
        "lastScanTime":"2024-02-12T18:25:39.39Z"
    },
    "alertCountBySeverity":[
        {
            "severity":"high",
            "count":5
        },
        {
            "severity":"critical",
            "count":3
        },
        {
            "severity":"low",
            "count":2
        }
    ]
}
スクリプトの結果

次の表に、アセットの拡充アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
出力メッセージ

ケースウォールで [アセットを拡充] アクションを実行すると、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully enriched the following resources using information from Palo Alto Prisma Cloud: ASSET_ID

Action wasn't able to enrich the following assets using information from Palo Alto Prisma Cloud: ASSET_ID

None of the provided assets were enriched.

 アクションが成功しました。
Error executing action "Enrich Assets". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

Ping

このアクションを使用して、Prisma Cloud サーバーへの接続をテストします。

アクション入力

なし

アクションの出力

このアクションでは、次の出力が提供されます。

アクションの出力タイプ アクションの出力の可用性
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能
出力メッセージ 利用可能
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
出力メッセージ

ケースウォールで Ping アクションを実行すると、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully connected to the Palo Alto Prisma Cloud server with the provided connection parameters! アクションが成功しました。
Failed to connect to the Palo Alto Prisma Cloud server! Error is ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

アラートに応答

Prisma Cloud を使用してアラートに対応する。

このアクションは Google SecOps エンティティに対して実行されません。サポートされているエンティティの詳細については、サポートされているエンティティ タイプをご覧ください。

アクション入力

このアクションには次のパラメータが必要です。

パラメータ 説明
Alert ID 必須

レスポンス アラートの ID。
Response Type Optional

アラートのステータス。

Snooze 値が選択されている場合、[スヌーズ時間] パラメータは必須です。

値は次のいずれかです。
  • 閉じる
  • スヌーズ
  • もう一度開く
  • 修復
Snooze Time Optional

スヌーズ時間（時間単位）。
Dismiss Note Optional

解雇の根拠を示すメモ。

アクションの出力

このアクションでは、次の出力が提供されます。

アクションの出力タイプ アクションの出力の可用性
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
スクリプトの結果 利用可能
出力メッセージ 利用可能
JSON の結果

次の例は、[Respond To Alert] アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
"response_status": {"Reopened", "Snoozed", "Dismissed", "Remediated", "No Remediation Applied."} 
}
スクリプトの結果

次の表に、アラートへの対応アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
出力メッセージ

ケースウォールで Ping アクションを実行すると、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully responded to an alert with ID ALERT_ID in Palo Alto Prisma Cloud. アクションが成功しました。
Error executing action "Respond To Alert". Reason: Alert with ID ALERT_ID wasn't found in Palo Alto Prisma Cloud. Please check the spelling.

操作を実行できませんでした。

アラートが見つかりません。スペルを確認してください。
Error executing action "Respond To Alert". Reason: The Response Type parameter is misconfigured. Select a valid value for the Response Type parameter.

操作を実行できませんでした。

[Response Type] パラメータの値を確認します。
Error executing action "Respond To Alert". Reason: Action couldn't respond to alert with ID ALERT_ID in Palo Alto Prisma Cloud. Please check the action configuration parameters.

操作を実行できませんでした。

入力パラメータ値を確認します。
Error executing action "Respond To Alert". Reason: The Response Type parameter was set to "Snooze". Make sure that the Snooze Time parameter value is configured and valid.

操作を実行できませんでした。

[Snooze Time] パラメータの値を確認します。
Error executing action "Respond To Alert". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

コネクタ

Google SecOps でコネクタを構成する手順の詳細については、コネクタの構成をご覧ください。

Palo Alto Prisma Cloud - アラート コネクタ

このコネクタを使用して、Prisma Cloud からアラートを取得します。

動的リストは、次の例に示すように policy.name パラメータと連携して動作します。

"filters": [
 {
     "operator": "=",
     "name": "policy.name",
     "value": "Google Cloud VM instance that is internet reachable with unrestricted access (203.0.113.0/24)"
 },
 {
     "operator": "=",
     "name": "policy.name",
     "value": "Compute Engine with IAM write access level"
 }
]

コネクタの入力

コネクタには次のパラメータが必要です。

パラメータ 説明
Product Field Name 必須

プロダクト フィールド名を取得するソース フィールド名。

デフォルト値は policy_policyType です。
Event Field Name 必須

イベント フィールド名を取得するソース フィールド名。

デフォルト値は resource_cloudType です。
Environment Field Name 省略可

環境名が保存されるフィールドの名前。

環境フィールドが見つからない場合、環境はデフォルトの環境に設定されます。
Environment Regex Pattern 省略可

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
API Root 必須

Prisma Cloud インスタンスの API ルート。

デフォルト値は https://api3.prismacloud.io です。
Access Key ID 必須

Prisma Cloud アカウントのアクセスキー ID。
Secret Access Key 必須

Prisma Cloud アカウントのシークレット アクセスキー。
Lowest Severity to Fetch 省略可

取得するアラートの最も低い重大度。

値を指定しない場合、コネクタはすべての重大度のアラートを取り込みます。

有効な値:
  • 重大
  • 高
  • 中
  • 低
  • 情報
Max Hours Backwards Optional

コネクタがインシデントの取得を開始するまでの時間数。このパラメータは、コネクタを初めて有効にした後の最初のコネクタ イテレーションに 1 回だけ適用されます。

デフォルト値は 1 時間です。
Max Alerts To Fetch 省略可

1 回のコネクタの反復処理で処理するアラートの数。

デフォルト値は 100 です。最大値は 1000 です。
Use dynamic list as a blocklist 必須

選択すると、動的リストがブロックリストとして使用されます。

デフォルトでは選択されていません。
Verify SSL 必須

選択すると、Google SecOps は Prisma Cloud サーバーへの接続用の SSL 証明書が有効であることを確認します。

デフォルトでは選択されていません。
Proxy Server Address Optional

使用するプロキシ サーバーのアドレス。
Proxy Username Optional

認証に使用するプロキシのユーザー名。
Proxy Password Optional

認証に使用するプロキシ パスワード。

コネクタ イベント

コネクタ イベントの例を次に示します。

{
 "id": "ID",
 "status": "open",
 "reason": "NEW_ALERT",
 "firstSeen": 1706971601230,
 "lastSeen": 1706971601230,
 "alertTime": 1706971601230,
 "lastUpdated": 1707806767098,
 "saveSearchId": "b1ccf7df-d2c8-4588-8d06-b62738fd9745",
 "policy": {
     "policyId": "45488d62-6abe-4938-9b7a-aaa44858540e",
     "name": "Data destruction risk due to a publicly exposed and vulnerable Google Cloud VM instance with delete permissions",
     "policyType": "attack_path",
     "systemDefault": true,
     "description": "This policy idnces as soon as possible.",
     "severity": "critical",
     "recommendation": "The followinge vulnerabilities quickly.",
     "labels": [
         "Prisma_Cloud"
     ],
     "lastModifiedOn": 1702006359544,
     "lastModifiedBy": "user@example.com",
     "deleted": false,
     "findingTypes": [],
     "remediable": false
 },
 "alertRules": [
     {
         "policyScanConfigId": "9612cba4-4f76-44ec-b11f-9c01ba9a4c04",
         "name": "Default Alert Rule",
         "enabled": true,
         "scanAll": true,
         "target": {
             "accountGroups": [],
             "excludedAccounts": [],
             "regions": [],
             "tags": []
         },
         "createdBy": "example@example.com",
         "alertRuleNotificationConfig": [],
         "allowAutoRemediate": false,
         "notifyOnOpen": true,
         "notifyOnSnoozed": false,
         "notifyOnDismissed": false,
         "notifyOnResolved": false
     }
 ],
 "resource": {
     "id": "ID",
     "name": "gke-gke-pc-pool-1-4e52a225-12id",
     "account": "Example-Account",
     "accountId": "ACCOUNT_ID",
     "cloudAccountGroups": [
         "Default Account Group"
     ],
     "region": "US",
     "regionId": "us-central1",
     "resourceType": "INSTANCE",
     "resourceApiName": "gcloud-compute-instances-list",
     "cloudServiceName": "Google Compute Engine",
     "data": {},
     "cloudType": "gcp",
     "resourceTs": 1706915178410,
     "internalResourceId": "INTERNAL_RESOURCE_ID",
     "cloudAccountOwners": [
         "user1@example.com",
         "user2@example.com"
     ],
     "unifiedAssetId": "393924d2b306c07490b19615c6e1a265",
     "resourceConfigJsonAvailable": false,
     "resourceDetailsAvailable": true
 },
 "networkAnomaly": false
}

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。