收集 Palo Alto Prisma Cloud 提醒日志

此解析器以 JSON 格式从 Palo Alto Prisma Cloud 中提取提醒日志，并将其转换为 UDM。解析器会执行数据标准化、类型转换和条件逻辑，以填充相应的 UDM 字段。它还可以处理日志数据中的嵌套 JSON 结构和数组，以提取相关信息。本文档中的信息适用于具有 PAN_PRISMA_CA 注入标签的解析器。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 Palo Alto Prisma Cloud 的特权访问权限。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 PAN Prisma Cloud 提醒。
5. 选择 Webhook 作为来源类型。
6. 选择 Palo Alto Prisma Cloud 提醒载荷作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分定界符：用于分隔日志行的定界符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详细信息标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

为 webhook Feed 创建 API 密钥

1. 前往 Google Cloud 控制台 > 凭据。

   转到“凭据”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。

3. 如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您生成的用于验证 Feed 的密钥。

将 Palo Alto Prisma Cloud Webhook 配置为 Google SecOps

1. 登录 Palo Alto Prisma Cloud。
2. 依次选择设置 > 集成和通知 ((and_then)) 集成。
3. 点击添加集成。
4. 选择 Webhook。
5. 为以下输入参数指定值：
   • 集成名称：提供一个唯一且具有描述性的名称（例如 Google SecOps）
   • 网络钩子网址：输入 ENDPOINT_URL。
   • 可选：提供集成的说明。
   • 可选：启用自定义载荷 > 点击下一步以查看或修改自定义载荷。
6. 点击下一步。
7. 测试并保存集成。

配置 Palo Alto Prisma Cloud 提醒

1. 在 Palo Alto Prisma Cloud 控制台中，依次前往提醒 > 查看提醒规则。
2. 选择要修改的现有提醒规则。
3. 可选：为 Cloud Infrastructure 创建新提醒。
4. 可选：为 Cloud 工作负载创建新提醒。
5. 前往配置通知。
6. 选择 Webhook。
7. 可选：选择您要通过哪些渠道发送由提醒规则触发的提醒的通知。
8. 点击下一步。
9. 点击保存。

UDM 映射表

下表列出了从 Palo Alto Prisma Cloud 提醒载荷日志字段映射的 UDM 字段：

UDM 映射增量参考信息

2026 年 9 月 15 日，Google SecOps 发布了新版 Palo Alto Prisma Cloud 提醒载荷解析器，其中对 Palo Alto Prisma Cloud 提醒载荷日志字段到 UDM 字段的映射进行了重大更改。

日志字段映射增量

下表列出了 2026 年 9 月 15 日之前和之后公开的 Palo Alto Prisma Cloud 提醒载荷日志到 UDM 字段的映射差异（分别列在旧版映射和当前映射列中）：

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。