收集 Palo Alto Networks 防火牆記錄

本文說明如何設定 Google Security Operations，使用兩種主要部署方法，從 Palo Alto Networks 擷取記錄。

請根據您的架構選取下列對應章節：

• Palo Alto Networks Firewall
  • 說明：直接從 PAN-OS 防火牆收集記錄。
  • 擷取方法：記錄會透過 syslog 傳送至 Google SecOps 轉寄站或 Bindplane 代理程式。Google SecOps 轉寄站已淘汰，請使用 Bindplane 代理程式轉寄記錄。
  • 支援的格式：CSV、CEF 和 LEEF。
• Palo Alto Networks Firewall Strata Logging Service
  • 說明：從雲端式 Strata Logging Service 收集記錄。
  • 擷取方法：使用 HTTPS Webhook，將記錄直接轉送至 Google SecOps。這個方法不需要本機轉送站。
  • 支援的格式：JSON 陣列。

Palo Alto Networks 防火牆

總覽

本文說明如何設定 syslog 和 Google SecOps 轉寄站，以收集 Palo Alto Networks 防火牆記錄。本文也說明 Palo Alto Networks 防火牆記錄欄位如何對應至 Google SecOps 統合資料模型 (UDM) 欄位。如要概略瞭解 Google SecOps 資料擷取，請參閱「將資料擷取至 Google SecOps」。擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 PAN_FIREWALL 擷取標籤的剖析器。

事前準備

• 確認 Palo Alto Networks 防火牆產品已正確部署及設定。如需詳細設定操作說明，請參閱 PAN-OS 說明文件。

• 如要瞭解部署哪些元件來收集 Palo Alto Networks 防火牆記錄，請查看部署架構。每個客戶的部署作業可能與此表示法不同，且可能更為複雜。下圖顯示如何在 Palo Alto Networks 防火牆上設定 syslog，並在 Linux 伺服器上安裝 Google SecOps 轉寄站，將記錄資料轉寄至 Google SecOps。剖析器支援以逗號分隔值 (CSV)、通用事件格式 (CEF) 和記錄事件擴充格式 (LEEF) 寫入的記錄。

  

• 確認 Google SecOps 剖析器支援的記錄格式和 PAN-OS 版本。下表列出 Google SecOps 剖析器支援的記錄格式和對應的 PAN-OS 版本：

  記錄格式	PAN-OS 版本
  CSV	10.1.3
  CEF	10.0.0
  LEEF	9.1.0

• 確認 Google SecOps 剖析器支援的 Palo Alto Networks 防火牆記錄類型。Google SecOps 剖析器支援下列 Palo Alto Networks 防火牆記錄類型：

  • 流量
  • 威脅
  • WildFire 提交項目
  • 隧道檢查
  • 設定
  • 系統
  • HIP 比對
  • IP-Tag
  • User-ID
  • 解密
  • 驗證
  • 網址篩選
  • 資料篩選
  • GlobalProtect
  • 關聯性
  • GTP
  • SCTP
  • 稽核

  如要進一步瞭解 Palo Alto Networks 防火牆記錄類型，請參閱「PAN-OS 記錄類型」。

• 請確保部署架構中的所有系統都設定為世界標準時間時區。

• 使用 Palo Alto Networks 防火牆剖析器前，請先查看舊版剖析器與目前 Palo Alto Networks 防火牆剖析器之間的欄位對應關係異動。在遷移過程中，請確保依賴原始欄位的規則、搜尋、資訊主頁或其他程序，都使用更新後的欄位。

  舉例來說，在先前的剖析器版本中，category 記錄欄位會對應至 security_result.description UDM 欄位。在目前的 Palo Alto Networks 防火牆剖析器中，category 記錄欄位會對應至 security_result.category_details UDM 欄位。如果您遷移至目前的 Palo Alto Networks 防火牆剖析器，並在規則中使用 category 欄位，則必須修改規則，才能使用目前剖析器的 security_result.category_details UDM 欄位。

設定 syslog 和 Google Security Operations 轉寄站

如要設定 syslog 和 Google SecOps 轉寄站，請完成下列步驟：

1. 如要監控 CSV 記錄，請設定 Syslog 伺服器設定檔。詳情請參閱「設定 syslog 伺服器設定檔」。設定 syslog 伺服器設定檔時，請將自訂記錄格式指定為「Default」。
2. 如要監控 CEF 記錄，請將 Palo Alto Networks 防火牆設為轉送 CEF 記錄。詳情請下載 PAN-OS CEF 整合指南 PDF，並參閱「設定 Palo Alto Networks NGFW 以輸出 CEF 事件」一節。
3. 如要監控 LEEF 記錄，請設定 Syslog 伺服器設定檔。詳情請參閱「以 LEEF 格式轉送自訂記錄」。

4. 設定 Google SecOps 轉寄站，將記錄傳送至 Google Security Operations。詳情請參閱「在 Linux 上安裝及設定轉寄站」。以下是 Google SecOps 轉送站設定範例：

     - syslog:
         common:
           enabled: true
           data_type: PAN_FIREWALL
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

在 PAN 防火牆上設定 syslog 轉送

建立 Syslog 伺服器設定檔

1. 登入 Palo Alto Networks 防火牆管理控制台。
2. 依序前往「Device」>「Server Profiles」>「Syslog」。
3. 按一下「Add」建立新的伺服器設定檔。
4. 提供下列設定詳細資料：
   • 名稱：輸入描述性名稱 (例如 Google SecOps BindPlane)。
   • Location：選取要使用這個設定檔的虛擬系統 (vsys) 或「Shared」。
5. 依序點選「伺服器」>「新增」，設定 Syslog 伺服器。
6. 提供下列伺服器設定詳細資料：
   • 名稱：輸入伺服器的描述性名稱 (例如 BindPlane Agent)。
   • Syslog 伺服器：輸入 BindPlane 代理程式 IP 位址。
   • 「Transport」(傳輸)：依據 BindPlane 代理程式設定，選取「UDP」或「TCP」(預設為 UDP)。
   • 「Port」(通訊埠)：輸入 BindPlane 代理程式通訊埠編號 (例如 514)。
   • 格式：視需求選取「BSD」 (預設) 或「IETF」。
   • Facility：選取「LOG_USER」 (預設) 或視需要選取其他設施。
7. 按一下「OK」儲存 Syslog 伺服器設定檔。

選用：設定 CEF 或 LEEF 的自訂記錄格式

如需 CEF (通用事件格式) 或 LEEF (記錄事件擴充格式) 記錄，而非 CSV 格式：

1. 在 Syslog 伺服器設定檔中，選取「Custom Log Format」分頁標籤。
2. 為每種記錄類型 (設定、系統、威脅、流量、網址、資料、WildFire、通道、驗證、使用者 ID、HIP 比對) 設定自訂記錄格式。
3. 如要瞭解 CEF 格式設定，請參閱 Palo Alto Networks CEF 設定指南。
4. 按一下「OK」儲存設定。

建立記錄轉送設定檔

1. 依序前往「Objects」>「Log Forwarding」。
2. 按一下「Add」，建立新的記錄轉送設定檔。
3. 提供下列設定詳細資料：
   • 「Name」：輸入設定檔名稱 (例如 Google SecOps Forwarding)。如要讓防火牆自動將這個設定檔指派給新的安全性規則和區域，請將其命名為 default。
4. 針對要轉送的每種記錄類型 (流量、威脅、WildFire 提交、網址篩選、資料篩選、通道、驗證)，設定下列項目：
   • 在相應的記錄類型部分，按一下「新增」。
   • 「Syslog」Syslog：選取您建立的 Syslog 伺服器設定檔 (例如 Google SecOps BindPlane)。
   • 「記錄嚴重性」：選取要轉送的嚴重性等級 (例如「全部」)。
5. 按一下「OK」，儲存記錄轉送設定檔。

將記錄轉送設定檔套用至安全性政策

1. 依序前往「政策」>「安全性」。
2. 選取要啟用記錄轉送功能的安全性規則。
3. 按一下要編輯的規則。
4. 前往「動作」分頁。
5. 在「Log Forwarding」選單中，選取您建立的記錄轉送設定檔 (例如 Google SecOps Forwarding)。
6. 按一下「OK」，儲存安全性政策設定。

調整系統記錄的記錄設定

1. 依序前往「裝置」>「記錄設定」。
2. 針對每種記錄類型 (系統、設定、使用者 ID、HIP 比對、Global Protect、IP 標記、SCTP) 和嚴重性等級，選取您建立的 syslog 伺服器設定檔。
3. 按一下「OK」儲存記錄設定。

修訂變更

1. 按一下防火牆網頁介面頂端的「Commit」(提交)。
2. 等待修訂版本順利完成。
3. 在 Google SecOps 控制台檢查傳入的 Palo Alto Networks 防火牆記錄，確認記錄已傳送至 Bindplane 代理程式。

使用 Bindplane 代理程式將記錄轉送至 Google SecOps

1. 安裝及設定 Linux 虛擬機器。
2. 在 Linux 上安裝及設定 Bindplane 代理程式，將記錄轉送至 Google SecOps。如要進一步瞭解如何安裝及設定 Bindplane 代理程式，請參閱 Bindplane 代理程式安裝和設定操作說明。

如果建立動態饋給時遇到問題，請與 Google SecOps 支援團隊聯絡。

支援的記錄格式

Palo Alto Networks 防火牆剖析器支援 LEEF、CEF 和 CSV 格式的記錄。

支援的記錄範例

• LEEF

  <14>Jan 22 02:20:19 device_host LEEF:1.0|Palo Alto Networks|PAN-OS Syslog Integration|10.2.12-h4|Microsoft MSOFFICE(52033)|ReceiveTime=2025/01/22 02:20:18|SerialNumber=01250100xxxx|cat=THREAT|Subtype=wildfire|devTime=Jan 22 2025 08:20:18 GMT|src=198.50.100.1|dst=198.50.100.2|srcPostNAT=198.50.100.3|dstPostNAT=198.50.100.4|RuleName=AZURE-US-NEW-CNF_Inbound_To_Azure-ALLOW|usrName=|SourceUser=|DestinationUser=|Application=smtp-base|VirtualSystem=vsys1|SourceZone=McD-Global-Zone|DestinationZone=Azure-Zone|IngressInterface=ae1.111|EgressInterface=ae2.409|LogForwardingProfile=Default-Traffic-Logging|SessionID=35331795|RepeatCount=1|srcPort=21578|dstPort=25|srcPostNATPort=0|dstPostNATPort=0|Flags=0x2000|proto=tcp|action=allow|Miscellaneous=\"......3...................xls\"|ThreatID=Microsoft MSOFFICE(52033)|URLCategory=malicious|sev=4|Severity=high|Direction=client-to-server|sequence=7462614601465681755|ActionFlags=0x8000000000000000|SourceLocation=198.50.100.1-198.50.100.255|DestinationLocation=United States|ContentType=|PCAP_ID=0|FileDigest=0ea04c99bf188c2e4207f60f92ca7c6f5088c7943ee63f45c50032bbd2bf7ea9|Cloud=demo.com|URLIndex=1|RequestMethod=|FileType=ms-office|Sender=sender@ab.myownpersonaldomain.com|Subject=\"............:.................................................................................-.........(Name)-2025-01-22...............:Y107202501220005, ............:........................, ...............:.........\"|Recipient=abc@demo.myownpersonaldomain.com|ReportID=117022282776|DeviceGroupHierarchyL1=143|DeviceGroupHierarchyL2=144|DeviceGroupHierarchyL3=39|DeviceGroupHierarchyL4=0|vSrcName=|DeviceName=device_host|SrcUUID=|DstUUID=|TunnelID=0|MonitorTag=|ParentSessionID=0|ParentStartTime=|TunnelType=N/A|ThreatCategory=N/A|ContentVer=WildFire-0
  

• CEF

  14>1 2024-04-04T16:21:56+02:00 FW-PERIMETRAL-AVG-01 - - - - CEF:0|Palo Alto Networks|PAN-OS|10.1.10-h2|end|TRAFFIC|1|src=198.51.100.1 dst=198.51.100.2 srcTranslatedAddress=198.51.100.3 dstTranslatedAddress=198.51.100.4 rule=FW_USER_NATS2_APP suser= duser= app=bittorrent vs=vsys1 sz=INSIDE dz=EXTERNAL InboundInterface=ae2.2266 OutboundInterface=ae1 lp=log_forwarding sid=2935823 cnt=1 spt=6881 dpt=51413 srcTranslatedPort=0 dstTranslatedPort=0 flags=0x7a proto=udp act=allow tbytes=475 in=150 out=325 pkt=2 pktReceived=1 pktSent=1 start=Apr 04 2024 14:21:56 GMT stime=1206 urlcat=any externalId=externalId reason=aged-out DGl1=11 DGl2=161 DGl3=0 DGl4=0 VsysName=STONESOFT dvchost=FW-PERIMETRAL-AVG-01 cat=from-policy ActionFlags=0x8000000000000000 srcUUID= dstUUID= TunnelID=0 MonitorTag= ParentSessionID=0 ParentStartTime= TunnelType=N/A SCTPAssocID=0 SCTPChunks=0 SCTPChunkSent=0 SCTPChunksRcv=0 RuleUUID=746c3eb6-3d51-4679-8438-bd0e00e170a8 HTTP2Con=0 LinkChange=0 PolicyID= LinkDetail= SDWANCluster= SDWANDevice= SDWANClustype= SDWANSite= DynamicUsrgrp= XFFIP= srcDevCat= srcDevProf= srcDevModel= srcDevVendor= srcDevOS= srcDevOSv= srcHostname= srcMac= dstDevCat= dstDevProf= dstDevModel= dstDevVendor= dstDevOS= dstDevOSv= dstHostname= dstMac= ContainerName= PODNamespace= PODName= srcEDL= dstEDL= GPHostID= EPSerial= srcDAG= dstDAG= HASessionOwner= TimeHighRes=2024-04-04T16:21:56.250+02:00 ASServiceType= ASServiceDiff="
  

• CSV

  1,2021/10/24 15:30:07,,CONFIG,0,2561,2021/10/24 15:30:07,198.51.100.0,,set,admin,Web,Succeeded, network virtual-router  VR1,,VR1  { ecmp { algorithm { ip-modulo ; } } protocol { bgp { routing-options { graceful-restart { enable yes; } } enable no; } rip { enable no; } ospf { enable no; } ospfv3 { enable no; } } routing-table { ip { static-route { vr1-log  { path-monitor { enable no; failure-condition any; hold-time 2; } nexthop { ip-address 198.51.100.0; } bfd { profile None; } interface ethernet1/1; metric 10; destination 0.0.0.0/0; route-table { unicast ; } } } } } interface [ ethernet1/1 ethernet1/2 ]; } ,7022390503849066572,0x0,0,0,0,0,,PA-VM,0,
  

欄位對應參考資料：記錄欄位對應至 UDM 欄位

本節說明剖析器如何將 Palo Alto Networks 防火牆記錄欄位，對應至各記錄類型的 Google SecOps UDM 事件欄位。Google SecOps 標籤鍵是指對應至 Labels.key UDM 欄位的鍵名稱。

舉例來說，如果是「Virtual System」欄位，欄位名稱在 CEF 格式中為「cs3」，在 LEEF 格式中則為「VirtualSystem」。UDM 欄位「about.labels.key」包含「vsys」值，而 UDM 欄位「about.labels.value」則包含該欄位的值。部分 CEF 或 LEEF 欄位名稱沒有與 CSV 欄位名稱對應的名稱。在這種情況下，如果您在 syslog 設定檔中，以自訂記錄格式新增自己的變數名稱，剖析器就不會將其對應至 UDM 欄位。

如要查看各記錄類型的對應參考資料，請參閱下列各節：

• 系統
• 設定
• 威脅/野火
• 流量
• 使用者 ID
• HIP 比對
• IP 標記
• 解密
• 隧道
• 驗證
• 網址
• 資料
• GlobalProtect
• Correlation
• GTP
• SCTP
• 稽核

系統

下表列出系統記錄類型的記錄欄位，以及對應的 UDM 欄位。

設定

下表列出設定記錄類型的記錄欄位，以及對應的 UDM 欄位。

威脅/WildFire

下表列出 Threat/WildFire 記錄類型的記錄欄位，以及對應的 UDM 欄位。

流量

下表列出流量記錄類型的記錄欄位，以及對應的 UDM 欄位。

User-ID

下表列出 user-id 記錄類型的記錄欄位，以及對應的 UDM 欄位。

HIP 比對

下表列出 HIP 比對記錄類型的記錄欄位，以及對應的 UDM 欄位。

IP 標記

下表列出 IP 標記記錄類型的記錄欄位，以及對應的 UDM 欄位。

解密

下表列出解密記錄類型的記錄欄位，以及對應的 UDM 欄位。

隧道

下表列出通道記錄類型的記錄欄位，以及對應的 UDM 欄位。

驗證

下表列出驗證記錄類型的記錄欄位，以及對應的 UDM 欄位。

網址

下表列出網址記錄類型的記錄欄位，以及對應的 UDM 欄位。

資料

下表列出資料記錄類型的記錄欄位，以及對應的 UDM 欄位。

GlobalProtect

下表列出 GlobalProtect 記錄類型的記錄欄位，以及對應的 UDM 欄位。

關聯性

下表列出關聯記錄類型的記錄欄位，以及對應的 UDM 欄位。

GTP

下表列出 gtp 記錄類型的記錄欄位，以及對應的 UDM 欄位。

SCTP

稽核

欄位對應參考資料：記錄類型與 UDM 事件類型

下表列出 Palo Alto Networks 防火牆記錄類型，以及對應的 UDM 事件類型。

記錄類型	UDM 事件類型
流量	NETWORK_CONNECTION
威脅	NETWORK_CONNECTION
網址篩選	NETWORK_CONNECTION
WildFire	SCAN_UNCATEGORIZED WildFire 提交記錄是威脅記錄類型的子類型，並使用相同的 syslog 格式。
資料篩選	NETWORK_UNCATEGORIZED
Globalprotect	USER_LOGIN/USER_LOGOUT/USER_RESOURCE_ACCESS 如果事件 ID (eventid) 記錄欄位包含「auth」或「login」值，或階段 (stage) 記錄欄位包含「login」值，則會設定 USER_LOGIN。 如果事件 ID (eventid) 記錄欄位包含「logout」值，或階段 (stage) 記錄欄位包含「logout」值，則會設定 USER_LOGOUT。 如果事件 ID (eventid) 或階段 (stage) 記錄欄位包含任何其他值，則會設定 USER_RESOURCE_ACCESS。
Tunnel	NETWORK_CONNECTION
GTP	NETWORK_CONNECTION
Config	SETTING_MODIFICATION/SETTING_CREATION/SETTING_DELETION/SETTING_UNCATEGORIZED 「Command (cmd)」欄位的值會決定 UDM 事件類型對應。 如果 cmd 欄位值為 add 或 clone，則會設定 SETTING_CREATION。 如果 cmd 欄位值為 delete，則會設定 SETTING_DELETION。 如果 cmd 欄位值為 edit、move、rename、set 或 commit，則會設定 SETTING_MODIFICATION。 如果 cmd 欄位值不含任何值，則會設定 SETTING_UNCATEGORIZED。
系統	如果子類型值為「dhcp」，則會設定 NETWORK_DHCP。 如果子類型值為「auth」，則會設定 USER_LOGIN。 如果說明值為「logged in」，則會設定 USER_LOGIN。 如果說明值為「登出」，則會設定 USER_LOGOUT。 如果是其他子類型值，則會設為 GENERIC_EVENT。
HIP 比對	NETWORK_CONNECTION
IP 標記	GENERIC_EVENT
User-ID	USER_LOGIN/USER_LOGOUT/USER_UNCATEGORIZED 如果子類型值為「login」，則會設定 USER_LOGIN。 如果子類型值為「logout」，則會設定 USER_LOGOUT。 如果子類型不含任何值，則會設為 USER_UNCATEGORIZED。
解密	NETWORK_CONNECTION
驗證	STATUS_UNCATEGORIZED
SCTP	NETWORK_CONNECTION
稽核	GENERIC_EVENT
CORRELATION	GENERIC_EVENT

Palo Alto Networks Firewall Strata Logging Service

總覽

Palo Alto Networks Strata Logging Service 為地端部署和虛擬 (私有雲和公有雲) 防火牆、Prisma Access 和 Cortex XDR 等雲端傳遞服務，提供雲端式集中化記錄儲存和匯總功能。Strata Logging Service 安全、彈性且容錯，可確保記錄資料保持最新狀態，並在需要時提供。Strata Logging Service 提供可擴充的記錄基礎架構，您不必規劃及部署記錄收集器，就能滿足記錄保留需求。如果您已有地端部署記錄收集器，Strata Logging Service 可與現有設定相輔相成，隨著業務成長擴充作業能力，或滿足新據點的能力需求。Palo Alto Networks 會透過這項服務，持續維護及監控記錄基礎架構。

本節說明如何設定 Palo Alto Networks Next-Generation Firewall (NGFW) 來產生記錄、將記錄轉送至 Strata Logging Service，以及使用 HTTPS Webhook 將記錄傳送至 Google SecOps。

下表說明這項部署作業支援的平台、管理模式、PAN-OS 版本和目的地設定：

類別	支援的設定
防火牆平台	所有 Palo Alto Networks NGFW 平台： 實體硬體：PA-400、PA-800、PA-3200、PA-5200 和 PA-7000 系列 VM-Series：VMware、AWS、Azure、 Google Cloud、KVM 和 Hyper-V 上的虛擬防火牆 CN-Series：適用於 Kubernetes 環境的容器化防火牆
管理模式	獨立：直接使用 PAN-OS 網頁 UI 或 CLI 管理防火牆 Panorama 管理：使用 Panorama 設備或雲端 Panorama 集中管理
PAN-OS 版本	PAN-OS 10.0 以上版本 (建議使用 11.x)
Google SecOps 目的地	Google SecOps 使用 Strata Logging Service HTTPS 記錄轉送 (JSON 陣列格式)

事前準備

透過 Strata Logging Service 設定記錄轉送前，請先確認下列必要條件：

• 確認 Strata Logging Service 剖析器支援的記錄格式和 PAN-OS 版本。下表列出 Strata Logging Service 剖析器支援的記錄格式和對應的 PAN-OS 版本：

  記錄格式	PAN-OS 版本
  JSON 陣列	10.0 以上版本

• 確認 Google SecOps 剖析器支援的 Palo Alto Networks 防火牆記錄類型。Google SecOps 剖析器支援下列 Palo Alto Networks 防火牆記錄類型：

  • 流量
  • 威脅
  • 隧道檢查
  • 系統
  • HIP 比對
  • IP-Tag
  • User-ID
  • 解密
  • 驗證
  • 網址篩選
  • GlobalProtect
  • SCTP
  • 稽核
  • 設定
  • DNS

• PAN-OS 版本：在所有防火牆平台 (PA-Series、VM-Series 和 CN-Series) 上安裝 PAN-OS 10.0 以上版本。如需一般防火牆設定操作說明，請參閱 PAN-OS 管理員指南和 Strata Logging Service 部署必要條件。

• Strata Logging Service 授權：確認 PAN-LGS-DL 授權在與防火牆相同的客戶服務入口網站 (CSP) 帳戶上啟用。

• 在所有平台上啟用 Cloud Logging：在每個防火牆上，依序前往「Device」(裝置) >「Setup」(設定) >「Management」(管理) >「Cloud Logging」，選取「Enable Cloud Logging」(啟用 Cloud Logging)，然後選取「Region」(區域)。VM-Series (PAVM)、CN-Series 和實體防火牆必須採用這項設定。

• 網路和防火牆存取權：確認防火牆管理介面可透過 TCP 通訊埠 443 存取下列完整網域名稱 (FQDN)，且不需 SSL 解密：

  • api.paloaltonetworks.com
  • apitrusted.paloaltonetworks.com
  • certificate.paloaltonetworks.com
  • certificatetrusted.paloaltonetworks.com
  • lic.lc.prod.us.cs.paloaltonetworks.com

• 管理員憑證：確認您具備防火牆的 Superuser 或 device-admin 角色，且可存取 Strata Hub 控制台。

• Google SecOps Webhook 網址：從 Google SecOps 執行個體取得特定區域的 HTTPS 端點網址 (請參閱步驟 2：設定 HTTPS 轉送設定檔)。

• SSL/TLS 憑證：取得 HTTPS Webhook 的有效 CA 憑證。Strata Logging Service 預先信任公開信任的憑證授權單位 (CA)，例如 GlobalSign 和 DigiCert。如果您使用自行簽署或私人 CA 憑證，則必須手動上傳。

• Panorama 外掛程式 (如果由 Panorama 管理)：在 Panorama 上安裝 Cloud Services 外掛程式 2.x 以上版本。

架構總覽

透過 Strata Logging Service 擷取記錄時，會遵循從 PAN-OS 防火牆到 Google SecOps 的三階段管道：

1. PAN-OS NGFW (PA 系列、VM 系列或 CN 系列) 透過 Cloud Logging (TCP 通訊埠 443 上的 TLS) 轉送記錄。
2. Strata Logging Service (https://stratacloudmanager.paloaltonetworks.com/) 會正規化、建立索引，並將記錄儲存在區域雲端儲存空間。
3. Google SecOps (chronicle.googleapis.com 區域專屬端點) 透過 HTTPS Webhook，接收來自 Strata Logging Service 的 GZIP 壓縮 JSON 陣列酬載。

下表說明記錄轉送架構的各個階段：

階段	元件	傳輸	說明
第 1 階段	PAN-OS NGFW (PA-Series、VM-Series、CN-Series；獨立或 Panorama 管理)	Cloud Logging (TCP 通訊埠 443 上的 TLS)	防火牆會產生多種類型的記錄。記錄轉送設定檔會指派給安全性政策規則，以啟用記錄轉送功能。您必須在每個防火牆上明確啟用 Cloud Logging。
第 2 階段	Strata Logging Service ((https://stratacloudmanager.paloaltonetworks.com/)，區域雲端儲存空間)	Cloud Storage (已建立索引並正規化)	Palo Alto Networks 雲端原生記錄基礎架構會接收所有已上線防火牆的記錄，並進行正規化和建立索引。這項服務提供記錄轉送應用程式，可將記錄推送至外部平台，每個執行個體最多支援 200 個目的地。
第 3 階段	Google SecOps (chronicle.googleapis.com，特定區域網址)	HTTPS Webhook、JSON 陣列 (GZIP 壓縮)	Strata Log Forwarding 會使用 HTTPS POST 將記錄推送至 Google SecOps。SSL/TLS 憑證和基本授權憑證有助於保護連線。Google SecOps 網址必須與 Strata Logging Service 區域相符。

階段 1：在 PAN-OS 防火牆上產生記錄

如要設定 PAN-OS 防火牆，以便產生及轉送安全性和系統記錄，請完成下列步驟：

1. 依序前往「Device」>「Log Settings」。確認「System」(系統)、「Configuration」(設定) 和「HIP Match」(HIP 比對) 記錄檔已啟用，且嚴重性等級適當 (「System」(系統) 記錄檔至少為「Informational」(資訊))。PAN-OS 會自動產生這些系統層級記錄，不需要額外的設定檔。
2. 依序前往「Objects」>「Log Forwarding」>「Add」，建立記錄轉送設定檔。定義要轉送的記錄類型：Traffic、Threat、WildFire、URL Filtering 和 Auth。指派伺服器設定檔 (「Syslog」或「HTTP」)，並視需要設定篩選器。
3. 依序前往「Policies」(政策) >「Security」(安全性)，編輯各項規則，然後選取「Actions」(動作) 分頁標籤。選取「Log Forwarding」(記錄轉送) 設定檔，然後選取「Log at Session End」(在工作階段結束時記錄) (以及「Log at Session Start」(在工作階段開始時記錄)，此為選用)。依序點選「OK」和「Commit」。

詳情請參閱下列 Palo Alto Networks 資源：

• 在 PAN-OS 上設定記錄轉送
• 設定記錄轉送設定檔
• 設定系統記錄監控

階段 2：將記錄檔上線並轉送至 Strata

如要啟用 Strata Logging Service、將防火牆納入管理，以及驗證記錄傳送作業，請完成下列步驟：

1. 登入 Strata Hub 控制台，啟用 PAN-LGS-DL 授權。選取「CSP Account」(CSP 帳戶)、「Tenant/TSG」(租戶/TSG)，以及要儲存記錄的「Region」(區域)。

2. 在每個防火牆 (包括 PA 系列、VM 系列和 CN 系列) 上，依序前往「Device」(裝置) >「Setup」(設定) >「Management」(管理) >「Cloud Logging」：

   1. 選取「啟用 Cloud Logging」。
   2. 選取與 Strata Logging Service 執行個體相符的區域。
   3. 選用：如要將記錄副本同時傳送至 Strata Logging Service 和地端部署 Panorama，請選取「Enable Duplicate Logging」(啟用重複記錄)。
   4. 依序點選「OK」和「Commit」。

3. 確認防火牆與 Strata Logging Service 之間的連線能力：

   1. 依序前往「裝置」>「設定」>「管理」>「Cloud Logging」，然後按一下「顯示狀態」。確認狀態顯示為「Connected」(已連線)。
   2. 在 Strata Hub 控制台中開啟 Strata Log Viewer，確認記錄是否已送達。

   3. 如要從 PAN-OS CLI 驗證連線能力，請執行下列指令：

      show logging-status
      

4. 選用：如要擷取 DNS 查詢、HTTP 使用者代理程式字串和工作階段中繼資料 (Cortex XSIAM 和 IoT Security 必備)，請在「Cloud Logging」設定中選取「Enable Enhanced Application Logging」(啟用進階應用程式記錄功能)。

詳情請參閱下列 Palo Alto Networks 資源：

• 將防火牆上線至 Strata Logging Service
• 開始將記錄傳送至 Strata Logging Service
• Strata Logging Service 部署作業必要條件和規劃
• 將防火牆記錄檔上線並擷取至 Strata 的指南

階段 3：設定 HTTPS Webhook 來轉送記錄

如要使用 HTTPS Webhook，將記錄從 Strata Logging Service 轉送至 Google SecOps，請完成下列步驟。

步驟 1：使用 Unroll 處理器設定 Google SecOps 管道

如要使用 Unroll 處理器，將 Palo Alto Networks Strata Logging Service JSON 陣列記錄拆分為個別記錄事件，請完成下列步驟：

1. 為 Palo Alto Networks Firewall (PAN_FIREWALL) 記錄類型建立Webhook 動態饋給。請使用下列格式產生 Webhook 網址：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

2. 使用您建立的 Webhook 動態饋給，建立 Google SecOps 資料處理管道並新增串流。

3. 新增「剖析 JSON」處理器，剖析原始 JSON 酬載 (這是「展開」處理器的必要條件)。

4. 新增「Unroll」處理器，將 JSON 陣列記錄拆分為個別記錄事件，然後儲存並啟用管道。

步驟 2：設定 HTTPS 轉送設定檔

1. 如要建立 HTTPS 轉送設定檔，請登入 Strata Hub 控制台，開啟 Strata Logging Service 執行個體，然後依序前往「Log Forwarding」(記錄轉送) >「Add」(新增)。

2. 設定設定檔名稱和 Google SecOps 網址：

   • Profile Name：輸入描述性名稱 (例如 PAVM-Chronicle-HTTPS)。Profile Type 預設為 Log Forwarding。

   • 網址：輸入特定區域的 Google SecOps HTTPS Webhook 網址 (開頭為 https://，預設通訊埠為 443，格式為 ENDPOINT_URL?key=API_KEY&secret=SECRET)，該網址應與 Strata Logging Service 區域相符，如下表所示。

     詳情請參閱「設定 SIEM Webhook」。

   Strata Logging Service 區域	Google SecOps 擷取網址
   美國	https://chronicle.googleapis.com
   歐洲	https://europe-chronicle.googleapis.com
   亞洲	https://asia-southeast1-chronicle.googleapis.com

步驟 3：設定伺服器驗證

在「Server Authentication」(伺服器驗證) 部分，設定 HTTPS 端點的 SSL/TLS 憑證：

1. 如果您使用自行簽署或私人 CA，請拖曳 CA 憑證檔案，或按一下「Upload CA Certificate」(上傳 CA 憑證)。如果您使用公開信任的 CA (例如 GlobalSign)，則預設公開根憑證已受信任，不需要上傳。只有在需要更換現有憑證時，才按一下「Delete」(刪除)。
2. 確認「Certificate Details」(憑證詳細資料) 與端點的 CA 相符。請確認 HTTPS 接收器提供由這個 CA 簽署的 TLS 憑證；如果憑證鏈結不相符，則「Test Connection」(測試連線) 步驟會失敗。

您可以前往 Google Trust Services 存放庫頁面，從「Root CAs」(根憑證授權單位) 區段下載根憑證。

下表顯示「Server Authentication」(伺服器驗證) 區段中顯示的憑證詳細資料範例：

憑證欄位	範例值
慣用名稱	GlobalSign Root CA
到期時間：	1/28/2028
核發者：	GlobalSign Root CA
目的	伺服器驗證 (驗證 HTTPS 接收器的 TLS 憑證)

步驟 4：設定用戶端驗證和用戶端授權

Google SecOps 會透過用戶端驗證，確認傳入的要求來自 Strata Logging Service。用戶端授權會提供 Strata Logging Service 呼叫 Google SecOps 端點時使用的憑證。

在「Client Authorization」(用戶端授權) 部分，設定下列欄位：

• Type：選取「Basic Authorization」。
• 使用者名稱：輸入預留位置值，例如 test。Google SecOps HTTPS 端點不需要使用者名稱。
• 密碼：輸入預留位置值，例如 test。Google SecOps HTTPS 端點不需要密碼。

下表說明 Google SecOps 的用戶端授權設定：

授權類型	使用時機	Google SecOps 設定
基本授權	HTTPS 接收器需要使用者名稱和密碼憑證	Google SecOps HTTPS 端點不需要這些憑證，因此請在使用者名稱和密碼欄位輸入預留位置值，例如 test

步驟 5：測試連線並儲存

1. 按一下「Client Authorization」(用戶端授權) 區段底部的「Test Connection」(測試連線)。Strata Logging Service 會將測試酬載傳送至 Google SecOps HTTPS 端點：
   • 成功：這個狀態表示連線成功。按一下「Next」(下一步)。
   • 失敗：確認 CA 憑證相符、Google SecOps 網址與所在區域相符、憑證正確，以及端點接受 GZIP 壓縮的 JSON 陣列酬載。
2. 測試連線成功後，按一下「下一步」。
3. 在「Payload Format」(酬載格式) 清單中，選取「Array JSON」(陣列 JSON)。

4. 選取要轉送至 Google SecOps 的記錄類型：

   • 流量記錄 (建議將 action = deny 用於高價值警示)
   • 威脅記錄 (severity >= High)
   • WildFire 記錄
   • 系統和驗證記錄 (severity = Critical)

5. 按一下 [儲存]。在防火牆上產生測試事件 (例如存取遭封鎖的網址)，並確認事件在 1 到 5 分鐘內顯示於 Google SecOps 控制台。

詳情請參閱下列 Palo Alto Networks 資源：

• 將記錄轉送至 HTTPS 伺服器
• 轉送 Strata Logging Service 的記錄
• 將記錄轉送至 Syslog 伺服器
• 伺服器憑證驗證
• Log Forwarding API 版本資訊
• Strata Logging Service 記錄參考資料
• Strata Logging Service 管理總覽

支援的記錄格式

Palo Alto Networks Strata Logging Service 防火牆剖析器支援 JSON 和 JSON 陣列格式的記錄。

支援的記錄範例

下列記錄範例顯示支援的 Strata Logging Service 格式：

• JSON 陣列

  [{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:50.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 141475,  "RepeatCount": 1,  "SourcePort": 47343,  "DestinationPort": 53,  "NATSourcePort": 35449,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 354,  "BytesSent": 149,  "BytesReceived": 205,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:22.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796487925,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:51.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.5",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/8",  "LogSetting": "IoT Security Default Profile",  "SessionID": 195791,  "RepeatCount": 1,  "SourcePort": 53359,  "DestinationPort": 53,  "NATSourcePort": 51905,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 278,  "BytesSent": 133,  "BytesReceived": 145,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:22.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796487926,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:51.000000Z",  "SourceAddress": "198.51.100.6",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 262531,  "RepeatCount": 1,  "SourcePort": 56168,  "DestinationPort": 53,  "NATSourcePort": 32784,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 351,  "BytesSent": 149,  "BytesReceived": 202,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:23.000000Z",  "SessionDuration": 0,  "URLCategory": "any",  "SequenceNo": 7650419021796487928,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:53.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 76996,  "RepeatCount": 1,  "SourcePort": 49024,  "DestinationPort": 53,  "NATSourcePort": 9559,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 342,  "BytesSent": 145,  "BytesReceived": 197,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:24.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796489539,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:53.080000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:53.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.5",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/8",  "LogSetting": "IoT Security Default Profile",  "SessionID": 117181,  "RepeatCount": 1,  "SourcePort": 43566,  "DestinationPort": 53,  "NATSourcePort": 37003,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 348,  "BytesSent": 148,  "BytesReceived": 200,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:24.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796489538,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:53.080000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null}]
  

欄位對應參考資料：記錄欄位對應至 UDM 欄位

本節說明剖析器如何將 Palo Alto Networks Strata Logging Service 防火牆記錄欄位，對應至各記錄類型的 Google SecOps UDM 事件欄位。

如要查看各記錄類型的對應參考資料，請參閱下列各節：

• 系統
• 威脅
• 流量
• 使用者 ID
• HIP 比對
• IP 標記
• 解密
• 隧道
• 驗證
• 網址
• GlobalProtect
• SCTP
• 稽核
• 設定
• DNS

系統

下表列出系統記錄類型的記錄欄位，以及對應的 UDM 欄位。

威脅

下表列出威脅記錄類型的記錄欄位，以及對應的 UDM 欄位。

流量

下表列出流量記錄類型的記錄欄位，以及對應的 UDM 欄位。

User-ID

下表列出 User-Id 記錄類型的記錄欄位，以及對應的 UDM 欄位。

HIP 比對

下表列出 HIP 比對記錄類型的記錄欄位，以及對應的 UDM 欄位。

IP 標記

下表列出 IP 標記記錄類型的記錄欄位，以及對應的 UDM 欄位。

解密

下表列出 Decryption 記錄類型的記錄欄位，以及對應的 UDM 欄位。

隧道

下表列出 Tunnel 記錄類型的記錄欄位，以及對應的 UDM 欄位。

驗證

下表列出「驗證」記錄類型的記錄欄位，以及對應的 UDM 欄位。

網址

下表列出網址記錄類型的記錄欄位，以及對應的 UDM 欄位。

GlobalProtect

下表列出 GlobalProtect 記錄類型的記錄欄位，以及對應的 UDM 欄位。

SCTP

下表列出 SCTP 記錄類型的記錄欄位，以及對應的 UDM 欄位。

稽核

下表列出稽核記錄類型的記錄欄位，以及對應的 UDM 欄位。

設定

下表列出 Config 記錄類型的記錄欄位，以及對應的 UDM 欄位。

DNS

下表列出 DNS 記錄類型的記錄欄位，以及對應的 UDM 欄位。

欄位對應參考資料：記錄類型與 UDM 事件類型

下表列出 Palo Alto Networks Strata Logging Service 防火牆記錄類型，以及對應的 UDM 事件類型。

記錄類型	UDM 事件類型
流量	NETWORK_CONNECTION
威脅	NETWORK_CONNECTION
網址篩選	NETWORK_CONNECTION
Tunnel	NETWORK_CONNECTION
系統	如果子類型值為「dhcp」，則會設定 NETWORK_DHCP。 如果子類型值為「auth」，則會設定 USER_LOGIN。 如果說明值為「logged in」，則會設定 USER_LOGIN。 如果說明值為「登出」，則會設定 USER_LOGOUT。 如果是其他子類型值，則會設為 GENERIC_EVENT。
HIP 比對	NETWORK_CONNECTION
IP 標記	GENERIC_EVENT
User-ID	USER_LOGIN/USER_LOGOUT/USER_UNCATEGORIZED 如果子類型值為「login」，則會設定 USER_LOGIN。 如果子類型值為「logout」，則會設定 USER_LOGOUT。 如果子類型不含任何值，則會設為 USER_UNCATEGORIZED。
解密	NETWORK_CONNECTION
驗證	STATUS_UNCATEGORIZED
Globalprotect	USER_LOGIN/USER_LOGOUT/USER_RESOURCE_ACCESS 如果 Stage 記錄欄位值為「login」，則會設定 USER_LOGIN。 如果 Stage 記錄欄位值為「logout」，則會設定 USER_LOGOUT。 如果 Stage 記錄欄位有任何其他值，則會設定 USER_RESOURCE_ACCESS。
SCTP	NETWORK_CONNECTION
稽核	GENERIC_EVENT
Config	SETTING_MODIFICATION/SETTING_CREATION/SETTING_DELETION/SETTING_UNCATEGORIZED/GENERIC_EVENT 如果 EventName 記錄欄位值為「add」或「clone」，則會設定 SETTING_CREATION。 如果 EventName 記錄欄位值為「delete」，則會設定 SETTING_DELETION。 如果 EventName 記錄欄位值為「edit」、「move」、「rename」、「set」或「commit」，則會設定 SETTING_MODIFICATION。 如果 EventName 記錄欄位有任何其他值，則會設定 SETTING_UNCATEGORIZED。 如果沒有主體欄位，則會設定 GENERIC_EVENT。
DNS	NETWORK_DNS

後續步驟

• 將資料擷取至 Google SecOps

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。