Palo Alto přes Broker Agent

Kopírovat odkaz na aktuální článek Sdílet e-mailem

Tento článek (PDF) Celá dokumentace (PDF)

Integrace Palo Alto a ESET PROTECT umožňuje ingestování a normalizaci vybraných indikátorů síťové bezpečnosti (protokoly hrozeb) a poskytuje přehled o hrozbách souvisejících se sítí společně s bezpečnostními událostmi ESET. Indikátory jsou k dispozici pro prozkoumání ve webové konzoli ESET PROTECT > Rozšířené vyhledávání.

Integrace je založena na protokolu Syslog a během nastavení integrace nainstaluje na cílové zařízení agenta Broker Agent. Broker Agent je komponenta, která shromažďuje data a předává je na platformu ESET PROTECT.

ESET PROTECT nabízí dvě možnosti nastavení integrace, ze kterých si můžete vybrat: Optimální a vlastní nastavení. Pokud zvolíte Optimální nastavení, společnost ESET za vás zajistí nastavení a údržbu, včetně vytvoření a správy profilu Syslog. Pokud vyberete možnost Vlastní nastavení, nastavíte a spravujete profil Syslog sami v Palo Alto a jeho konfigurační údaje zadáte během procesu nastavení ve webové konzoli ESET PROTECT.

Pokud používáte starší verzi integrace Palo Alto, která je nyní zastaralá, doporučujeme nainstalovat integraci Palo Alto prostřednictvím Broker Agenta. Před instalací integrace Palo Alto prostřednictvím Broker Agenta odstraňte zastaralou verzi ve webové konzoli ESET PROTECT a veškeré související konfigurace v Palo Alto, abyste předešli možným problémům a zajistili čistou instalaci.

Předpoklady

•Ve své síti jste nakonfigurovali firewall Palo Alto.

•Firewall Palo Alto generuje protokoly hrozeb.

•Připravili jste cílové zařízení s operačním systémem Windows Server 2016 nebo novějším.

•Na cílovém zařízení je nainstalován ESET Management Agent a zařízení je připojeno k ESET PROTECT.

•Cílové zařízení může přijímat příchozí provoz Syslog na nakonfigurovaném portu.

•Povolili jste přístup API v Palo Alto a vygenerovali jste klíč API podle Palo Alto pokynů (vyžadováno pro optimální nastavení).

•Vygenerovali jste a exportovali veřejný certifikát z Palo Alto a vybrali jste jej pro komunikaci přes TLS s rozhraním pro správu (nutné pro optimální nastavení).

•Nakonfigurovali jste profil Syslog s formátem protokolu IETF ve firewallu Palo Alto (vyžadováno pro Vlastní nastavení).

Každá integrace vyžaduje jedinečný certifikát; certifikáty mezi integracemi nesdílejte.

Jak povolit integraci

Chcete-li nainstalovat a nastavit Palo Alto pomocí integrační aplikace Broker Agent, přejděte ve webové konzoli ESET PROTECT na Integrace > Marketplace a postupujte podle následujících kroků.

1.Na Marketplace najděte Palo Alto via Broker Agent a klikněte na Připojit.

2.Přečtěte si oznámení Než začnete a klikněte na Pokračovat.

3.V části Obecné nastavení vyplňte následující pole. Poté klikněte na Další.

•Vyberte společnost (povinné) – vyberte společnost, pro kterou integraci konfigurujete. Toto pole se zobrazuje pouze uživatelům MSP.

•Název (volitelné) – Zadejte jedinečný název integrace.

•Popis (volitelné) – Zadejte popis integrace.

4.V části Vybrat konfiguraci vyberte požadovanou možnost nastavení. Poté klikněte na Další.

•Optimální nastavení – společnost ESET za vás zajistí nastavení i údržbu, včetně vytvoření a správy profilů Syslog.

•Vlastní nastavení – profil Syslog si nastavíte a spravujete sami v Palo Alto a jeho konfigurační údaje zadáte během procesu nastavení ve webové konzoli ESET PROTECT.

5.V části Cíl vyberte cílové zařízení pro integraci a klikněte na Další.

Zařízení uvedená v části Cíl pocházejí z části Počítače.

Sloupec Stav agenta Broker udává, zda je agent Broker na zařízení nainstalován. Pokud na vybraném zařízení není nainstalován Broker Agent, automaticky se nainstaluje nejnovější verze Broker Agenta.

Můžete vybrat jedno cílové zařízení.

6.V části Nastavení instance vyplňte následující pole. Poté klikněte na Další.

Krok Nastavení instance se zobrazí pouze v případě, že jste v kroku Výběr konfigurace zvolili možnost Optimální nastavení. Pokud jste zvolili možnost Vlastní nastavení, přejděte ke kroku Nastavení syslogu.

•Adresa IP/název hostitele (povinné) – Zadejte IP adresu nebo název hostitele vašeho Palo Alto firewallu.

•Port API (povinné) – Vyberte port API, který používá váš firewall Palo Alto.

•Klíč API (povinné) – Zadejte klíč API, který vygeneroval váš firewall Palo Alto.

•Certifikát (povinné) – Nahrajte veřejný certifikát exportovaný z Palo Alto.

7.V Nastavení Syslogu vyplňte následující pole. Poté klikněte na Další.

•IP adresa posluchače (Bind) (volitelné) – Zadejte IP adresu, na které má konektor naslouchat příchozím zprávám Syslog. Pokud není zadáno, bude konektor naslouchat na všech dostupných síťových rozhraních (0.0.0.0).

Známý problém

Pole IP adresa posluchače (Bind) je ve většině konfigurací volitelné. Pokud však zvolíte Optimální nastavení, zadejte IP adresu. Ponechání tohoto pole prázdného může způsobit, že integrace nebude fungovat správně.

•Povolené zdrojové IP adresy (volitelné) – Zadejte IP adresy nebo CIDR bloky, ze kterých může naslouchací služba Syslog přijímat příchozí zprávy. Pomocí nastavení UDP a TCP zabráníte podvržení protokolů z neautorizovaných zařízení v místní síti. Pokud nezadáte IP adresu, posluchač přijímá připojení z jakékoli IP adresy.

•Protokol (povinné) – vyberte komunikační protokol.

•Port (povinné) – Zadejte číslo portu, které se má použít pro připojení. Pokud více integrací používá stejné cílové zařízení, nastavte pro každou integraci jedinečný port pro naslouchání Syslogu, abyste předešli konfliktům portů.

•Nastavení závažnosti (povinné) – Vyberte typy závažnosti pro protokoly, které mají být přijímány. K dispozici jsou následující nastavení závažnosti:

oVšechny úrovně závažnosti – zahrnuje informační, nízkou, střední, vysokou a kritickou.

oKritická

oVysoká a vyšší

oStřední a vyšší

oNízká a vyšší

8.V části Souhrn zkontrolujte nastavení a klikněte na Vytvořit.

Po dokončení nastavení integrace se data z Palo Alto zobrazí tady: webová konzole ESET PROTECT > Rozšířené vyhledávání. Načtěte data z Palo Alto pomocí následujícího filtru:

Název pole	Hodnota
agent.type	panos-integration

Řešení problémů

Možný problém	Akce, kterou provést
Cílové zařízení není k dispozici pro výběr.	Ověřte, zda: •Na zařízení běží ESET Management Agent. •Zařízení se připojuje k ESET PROTECT. •Zařízení se zobrazí ve webové konzoli ESET PROTECT > Počítače.
Data se v sekci Rozšířené vyhledávání nezobrazují.	Ověřte, zda: •Stav integrace je Aktivní. •Provoz Syslogu dorazí do cílového zařízení. •Firewall Palo Alto generuje a předává protokoly hrozeb. •Adresa a port posluchače IP odpovídají konfiguraci ve firewallu Palo Alto.
Instalace agenta Broker Agent selhala.	Ověřte, zda: •ESET PROTECT může nasadit komponenty do cílového zařízení. •Na cílovém zařízení máte správcovská oprávnění.

Možný problém

Akce, kterou provést

Cílové zařízení není k dispozici pro výběr.

Ověřte, zda:

•Na zařízení běží ESET Management Agent.

•Zařízení se připojuje k ESET PROTECT.

•Zařízení se zobrazí ve webové konzoli ESET PROTECT > Počítače.

Data se v sekci Rozšířené vyhledávání nezobrazují.

Ověřte, zda:

•Stav integrace je Aktivní.

•Provoz Syslogu dorazí do cílového zařízení.

•Firewall Palo Alto generuje a předává protokoly hrozeb.

•Adresa a port posluchače IP odpovídají konfiguraci ve firewallu Palo Alto.

Instalace agenta Broker Agent selhala.

Ověřte, zda:

•ESET PROTECT může nasadit komponenty do cílového zařízení.

•Na cílovém zařízení máte správcovská oprávnění.

˄˅