Integración de firewall de Palo Alto Networks

La integración del firewall de Palo Alto Networks y ESET PROTECT habilita la ingesta y normalización de indicadores de seguridad de red seleccionados (registros de amenazas), lo que proporciona visibilidad de las amenazas relacionadas con la red, así como de eventos de seguridad de ESET. Los indicadores están disponibles para la investigación en la búsqueda avanzada y se correlacionan con los incidentes.

Cómo habilitar la integración

Requisitos previos

Antes de configurar la integración, complete los siguientes requisitos previos:

•Asegúrese de estar usando la versión 11.1.10 y versiones posteriores de Palo Alto Networks PAN-OS. No se recomienda usar versiones anteriores, ya que puede provocar fallas de integración o vulnerabilidades de seguridad.

•Asegúrese de haber configurado el firewall de Palo Alto con una dirección IP estática.

•Configure la monitorización de Syslog en Palo Alto a partir de los pasos que se indican a continuación.

1.Configure el perfil del servidor de Syslog con los siguientes valores en Palo Alto:

•Syslog Server (el nombre de DNS del servidor de Syslog en función de su región): eu.security-integration.eset.systems, us.security-integration.eset.systems, jpn.security-integration.eset.systems, ca.security-integration.eset.systems, de.security-integration.eset.systems

•Transport—SSL

•Port—6514

•Format—IETF

2.Configure el reenvío de Syslog para los registros Threat en Palo Alto. Asegúrese de especificar el tipo de registro Threat en la Log Forwarding Profile Match List y de asignar su perfil de reenvío de registros a la regla de la Security Policy para habilitar la generación de registros de Threat cuando se produce una detección:

•Action Setting > Action—Allow

•Profile Setting > Profile Type—Group o Profiles; establezca los tipos de perfil pertinentes (Antivirus, Vulnerability Protection, Anti-Spyware, etc.) como Default en lugar de None para generar registros de amenazas.

•Log Setting > Log Forwarding: su perfil de reenvío de registros

3.Cree el certificado para la comunicación segura de Syslog en Palo Alto. Exporte el certificado público creado con las siguientes opciones y la autoridad de certificación (la entrada principal del certificado público creado que se marcó como) CA a partir de las instrucciones sobre cómo exportar un certificado:

•File Format—Base64 Encoded Certificate (PEM)

•Export Private Key: mantenga esta casilla de verificación sin seleccionar.

Si no dispone de la autoridad certificadora, puede crear un certificado de CA raíz autofirmado. Tendrá que proporcionar tanto el certificado público exportado como la autoridad de certificación durante la configuración de la integración en la consola web de ESET PROTECT.

4.Confirme los cambios.

Configuración de la integración en la consola web de ESET PROTECT

Para instalar y configurar la aplicación de integración, seleccione la consola web de ESET PROTECT > Integraciones > Marketplace y siga los pasos que se indican a continuación.

1.En la página Marketplace, busque el Firewall de Palo Alto Networks y haga clic en Conectar.

2.Revise los requisitos de integración y haga clic en Iniciar configuración.

3.En Configuraciones de requisitos previos, compruebe que se hayan completado los requisitos previos y seleccione la casilla de verificación Confirmo que completé todas las configuraciones necesarias en Palo Alto. Haga clic en Continuar.

4.En Configuración general, complete los siguientes campos. A continuación, haga clic en Continuar.

•Nombre (opcional): escriba un nombre distinto de integración.

•Descripción (opcional): escriba una descripción de integración de sus preferencias.

5.En IP y certificado, complete los siguientes campos. A continuación, haga clic en Continuar.

•Direcciones IP públicas estáticas: proporcione la dirección IP o las direcciones IP de salida pública estática (NAT de origen) (separadas por punto y coma) que el tráfico saliente del firewall de Palo Alto usa para llegar a Internet.

•Certificado: cargue el certificado público para la comunicación segura de Syslog exportado desde Palo Alto en el formato Base64 Encoded Certificate (PEM). El certificado debe ser único y no debe estar asociado con ninguna otra integración de Palo Alto Networks dentro de ESET.

•Autoridad de certificación: cargue la autoridad de certificación del certificado público creado que se exportó desde Palo Alto.

6.En Certificados compatibles, descargue los archivos de certificado proporcionados, tanto el certificado del servidor como la autoridad de certificación, e impórtelos en Palo Alto a partir de las instrucciones sobre cómo importar un certificado. Haga clic en Continuar.

7.En Resumen, revise la configuración y haga clic en Finalizar. La configuración de la integración puede tardar hasta cinco minutos en completarse.

Verificación de integración y resolución de problemas

Luego de completar la configuración de la integración, los registros reenviados desde Palo Alto aparecen en la consola web de ESET PROTECT > Búsqueda avanzada.

Puede consultar los registros de amenazas generados en la interfaz web de Palo Alto > Logs > Threat. Solo se reenvían las entradas de registro que coinciden con la regla de la política de seguridad a la que está asignado el perfil de reenvío de registros de Syslog.

Además, puede comprobar los registros si ejecuta el comando tail mp-log logrcvr.log en la consola del firewall de Palo Alto. Si el comando devuelve mensajes de error, es posible que la configuración contenga problemas. En los ejemplos siguientes, se describen mensajes de error comunes y sus causas.

˄˅