收集 Palo Alto Prisma Cloud 警報記錄

這個剖析器會從 Palo Alto Prisma Cloud 擷取 JSON 格式的快訊記錄，並轉換為 UDM。剖析器會執行資料正規化、類型轉換和條件邏輯，以填入適當的 UDM 欄位。此外，這項功能還會處理記錄資料中的巢狀 JSON 結構和陣列，以擷取相關資訊。本文中的資訊適用於具有 PAN_PRISMA_CA 攝取標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• Palo Alto Prisma Cloud 的特殊權限。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態消息名稱」欄位中，輸入動態消息的名稱，例如「PAN Prisma Cloud Alerts」。
5. 選取「Webhook」做為「來源類型」。
6. 選取「Palo Alto Prisma Cloud 快訊有效負載」做為「記錄類型」。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
9. 點選「下一步」。
10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。
11. 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。
12. 複製並儲存密鑰。您無法再次查看這個密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使先前的密鑰失效。
13. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您需要在用戶端應用程式中指定這個端點網址。
14. 按一下 [完成]。

為 Webhook 動態饋給建立 API 金鑰

1. 前往 Google Cloud 控制台 > 憑證。

   前往「憑證」

2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。

3. 將 API 金鑰存取權限制在 Google Security Operations API。

指定端點網址

1. 在用戶端應用程式中，指定 webhook 動態饋給中提供的 HTTPS 端點網址。

2. 以以下格式在自訂標頭中指定 API 金鑰和私密金鑰，啟用驗證：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建議：將 API 金鑰指定為標頭，而非在網址中指定。

3. 如果 Webhook 用戶端不支援自訂標頭，您可以使用查詢參數指定 API 金鑰和密鑰，格式如下：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   更改下列內容：

   • ENDPOINT_URL：動態消息端點網址。
   • API_KEY：用於向 Google Security Operations 進行驗證的 API 金鑰。
   • SECRET：您產生的密鑰，用於驗證動態消息。

將 Palo Alto Prisma Cloud 網頁掛鉤設定為 Google SecOps

1. 登入 Palo Alto Prisma Cloud。
2. 依序選取「設定」>「整合與通知」 ((and_then))「整合」。
3. 按一下「新增整合」。
4. 選取「Webhook」。
5. 指定下列輸入參數的值：
   • 整合名稱：提供不重複的描述性名稱 (例如「Google SecOps」)
   • Webhook 網址：輸入 ENDPOINT_URL。
   • 選用：提供整合功能的「Description」(說明)。
   • 選用：啟用「自訂酬載」> 按一下「下一步」，即可檢查或修改自訂酬載。
6. 點選「下一步」。
7. 測試並儲存整合。

設定 Palo Alto Prisma Cloud 警報

1. 在 Palo Alto Prisma Cloud 控制台中，依序前往「Alerts」(快訊) >「View Alert Rules」(查看快訊規則)。
2. 選取要編輯的現有快訊規則。
3. 選用：為「Cloud Infrastructure」建立新快訊。
4. 選用：為「Cloud Workload」(雲端工作負載) 建立新快訊。
5. 前往「設定通知」。
6. 選取「Webhook」。
7. 選用：選取要傳送快訊通知的管道，這些快訊是由快訊規則觸發。
8. 點選「下一步」。
9. 按一下 [儲存]。

UDM 對應表

本節說明剖析器如何將原始記錄欄位對應至 Unified Data Model (UDM) 欄位。

記錄結構 1：含有記錄陣列的記錄 (未匯總的快訊)

記錄結構 2：含有 records[].aggregatedAlerts 陣列的記錄

記錄結構 3：單一 JSON 物件記錄 (備援)

事件類型對應

• 系統會根據下列邏輯設定 metadata.event_type 欄位：

  if [has_user] == "true" and ([has_principal] == "true" or [has_target] == "true") {
      metadata.event_type = USER_UNCATEGORIZED
  if [aggregatedAlert][host] != "" and [target_present] == "true" and [principal_user_present] != "true" {
      metadata.event_type = USER_RESOURCE_ACCESS
      } else if [principal_user_present] == "true" {
          metadata.event_type = USER_UNCATEGORIZED
      } else if [principal_present] == "true" and [aggregatedAlert][host] != "" {
          metadata.event_type = STATUS_UPDATE
      } else {
          metadata.event_type = GENERIC_EVENT
      }
  }
  

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。