Palo Alto Networks Firewall-Integration

Die Palo Alto Networks Firewall und ESET PROTECT Integration ermöglicht die Erfassung und Normalisierung ausgewählter Netzwerksicherheitsindikatoren (Bedrohungs-Logs), die neben ESET Sicherheitsereignissen auch Einblick in netzwerkbezogene Bedrohungen liefern. Indikatoren sind für Untersuchungen in der erweiterten Suche verfügbar und werden mit Incidents korreliert.

Integration aktivieren

Voraussetzungen

Bevor Sie die Integration einrichten, müssen die folgenden Voraussetzungen erfüllt sein:

•Stellen Sie sicher, dass Sie die Palo Alto Networks PAN-OS Version 11.1.10 oder höher verwenden. Die Verwendung früherer Versionen wird nicht empfohlen und kann zu Integrationsfehlern oder Schwachstellen führen.

•Stellen Sie sicher, dass Sie die Palo Alto Firewall mit einer statischen IP-Adresse konfiguriert haben.

•Konfigurieren Sie die Syslog-Überwachung in Palo Alto, indem Sie die unten beschriebenen Schritte ausführen.

1.Konfigurieren Sie das Syslog-Serverprofil mit den folgenden Werten in Palo Alto:

•Syslog Server – Der DNS-Name Ihres Syslog-Servers, je nach Region: eu.security-integration.eset.systems, us.security-integration.eset.systems, jpn.security-integration.eset.systems, ca.security-integration.eset.systems, de.security-integration.eset.systems

•Transport—SSL

•Port—6514

•Format—IETF

2.Konfigurieren Sie die Syslog-Weiterleitung für die Threat Logs in Palo Alto. Geben Sie den Threat Log-Typ in der Log Forwarding Profile Match List an und weisen Sie Ihr Log-Weiterleitungsprofil der Security Policy zu, damit Threat Logs generieren kann, wenn ein Ereignis erkannt wird:

•Action Setting > Action – Allow

•Profile Setting > Profile Type – Group oder Profiles. Legen Sie die entsprechenden Profiltypen (Antivirus, Vulnerability Protection, Anti-Spyware usw.) als Default anstelle von None fest, um Bedrohungs-Logs zu erstellen.

•Log Setting > Log Forwarding – Ihr Profil für die Log-Weiterleitung

3.Erstellen Sie das Zertifikat für die sichere Syslog-Kommunikation in Palo Alto. Exportieren Sie das erstellte öffentliche Zertifikat mit den folgenden Optionen und der Zertifizierungsstelle. Markieren Sie den übergeordneten Eintrag Ihres erstellten öffentlichen Zertifikats als CA, indem Sie den Anweisungen zum Exportieren eines Zertifikats folgen:

•File Format—Base64 Encoded Certificate (PEM)

•Export Private Key – Lassen Sie dieses Kontrollkästchen deaktiviert.

Wenn Sie die Zertifizierungsstelle nicht besitzen, können Sie ein selbstsigniertes Root-ZS-Zertifikat erstellen. Bei der Einrichtung der Integration in der ESET PROTECT Web-Konsole müssen Sie sowohl das exportierte öffentliche Zertifikat als auch die Zertifizierungsstelle angeben.

4.Speichern Sie die Änderungen.

Einrichtung der Integration in der ESET PROTECT Web-Konsole

Navigieren Sie zur ESET PROTECT Web-Konsole > Integrationen > Marktplatz und gehen Sie wie folgt vor, um die Integrationsanwendung zu installieren und einzurichten.

1.Suchen Sie auf der Seite Marktplatz nach Palo Alto Networks Firewall und klicken Sie auf Verbinden.

2.Überprüfen Sie die Integrationsanforderungen und klicken Sie auf Einrichtung beginnen.

3.Vergewissern Sie sich, dass die Konfigurationsvoraussetzungen erfüllt sind, und aktivieren Sie das Kontrollkästchen Ich bestätige, dass ich alle erforderlichen Konfigurationen in Palo Alto vorgenommen habe. Klicken Sie auf Weiter.

4.Füllen Sie unter Allgemeine Einstellungen die folgenden Felder aus. Klicken Sie dann auf Weiter.

•Name (optional) – Geben Sie einen eindeutigen Namen für die Integration ein.

•Beschreibung (optional) – Geben Sie eine beliebige Beschreibung für die Integration ein.

5.Füllen Sie unter IP und Zertifikat die folgenden Felder aus. Klicken Sie dann auf Weiter.

•Statische öffentliche IP-Adressen – Geben Sie eine oder mehrere statische öffentliche ausgehende (Quell-NAT) IP-Adressen mit Semikolon getrennt an, die Ihre Palo Alto Firewall für den ausgehenden Datenverkehr ins Internet verwenden soll.

•Zertifikat – Laden Sie das öffentliche Zertifikat für die sichere Syslog-Kommunikation hoch, das Sie im Base64 Encoded Certificate (PEM)-Format aus Palo Alto exportiert haben. Das Zertifikat muss eindeutig sein und darf mit keiner anderen Palo Alto Networks-Integration innerhalb von ESET verknüpft sein.

•Zertifizierungsstelle – Laden Sie die Zertifizierungsstelle des erstellten öffentlichen Zertifikats hoch, das Sie aus Palo Alto exportiert haben.

6.Laden Sie unter Unterstützende Zertifikate die bereitgestellten Zertifikatsdateien herunter (Serverzertifikat und Zertifizierungsstelle) und folgen Sie den Anweisungen zum Importieren eines Zertifikats, um sie in Palo Alto zu importieren. Klicken Sie auf Weiter.

7.Überprüfen Sie Ihre Einstellungen unter Zusammenfassung und klicken Sie auf Fertig stellen. Die Einrichtung der Integration kann bis zu fünf Minuten dauern.

Überprüfen der Integration und Fehlerbehebung

Nach Abschluss der Einrichtung der Integration erscheinen die weitergeleiteten Logs aus Palo Alto unter ESET PROTECT Web-Konsole > Erweiterte Suche.

Sie können die generierten Bedrohungs-Logs in der Palo Alto Weboberfläche unter Logs > Threat überprüfen. Es werden nur Log-Einträge weitergeleitet, die mit der Policy-Regel übereinstimmen, der das Syslog-Log-Weiterleitungsprofil zugewiesen ist.

Sie können die Logs auch überprüfen, indem Sie den Befehl tail mp-log logrcvr.log in der Konsole der Palo Alto Firewall ausführen. Wenn der Befehl Fehlermeldungen zurückgibt, kann dies auf Konfigurationsprobleme hindeuten. Die folgenden Beispiele beschreiben häufige Fehlermeldungen und ihre Ursachen.

˄˅