Palo Alto a través del Agente de Broker

La integración de Palo Alto y ESET PROTECT permite ingerir y normalizar los indicadores de seguridad de red seleccionados (registros de amenazas), lo que proporciona visibilidad de las amenazas relacionadas con la red junto con los eventos de seguridad de ESET. Los indicadores están disponibles para su investigación en ESET PROTECT Web Console > Búsqueda avanzada.

La integración se basa en Syslog e instala un agente de Broker en el dispositivo de destino durante la configuración de la integración. El Broker Agente es un componente que recopila y reenvía datos a la Plataforma ESET PROTECT.

ESET PROTECT ofrece dos opciones de configuración de la integración para que elija: Configuración óptima y personalizada. Si selecciona Configuración óptima, ESET se encarga de la configuración y el mantenimiento por usted, incluidas la creación y la administración de perfiles de Syslog. Si selecciona Configuración personalizada, deberá configurar y gestionar usted mismo el perfil de Syslog en Palo Alto y proporcionar sus detalles de configuración durante el proceso de configuración en la consola web de ESET PROTECT.

Requisitos previos

•Ha configurado el cortafuegos Palo Alto en su red.

•El cortafuegos Palo Alto genera los registros de amenazas.

•Ha preparado un dispositivo de destino que ejecuta Windows Server 2016 o posterior.

•El dispositivo de destino tiene instalado el ESET Management Agente y está conectado a ESET PROTECT.

•El dispositivo de destino puede recibir tráfico Syslog entrante en el puerto configurado.

•Ha habilitado el acceso API en Palo Alto y ha generado una clave API siguiendo las instrucciones de Palo Alto (necesario para la configuración óptima).

•Ha generado y exportado un certificado público desde Palo Alto y lo ha seleccionado para la comunicación TLS con la interfaz de administración (necesario para la Configuración óptima).

•Ha configurado un perfil de Syslog con el formato de registro IETF en el cortafuegos Palo Alto (necesario para la configuración personalizada).

Cómo activar la integración

Para instalar y configurar la aplicación de integración de Palo Alto a través de Broker Agent, vaya a ESET PROTECT Web Console > Integraciones > Marketplace y siga los pasos que se indican a continuación.

1.En el Marketplace, busque Palo Alto a través de Broker Agent y haga clic en Conectar.

2.Revise la notificación Antes de comenzar y haga clic en Continuar.

3.En Configuración general, complete los siguientes campos. A continuación, haga clic en Siguiente.

•Seleccionar empresa (obligatorio): seleccione la empresa para la que configura la integración. El campo aparece solo para los usuarios MSP.

•Nombre (opcional): escriba un nombre distintivo para la integración.

•Descripción (opcional): escriba una descripción para la integración.

4.En Elegir configuración, seleccione la opción de configuración deseada. A continuación, haga clic en Siguiente.

•Configuración óptima: ESET se encarga de la configuración y el mantenimiento por usted, incluidas la creación y la administración de perfiles de Syslog.

•Configuración personalizada: usted mismo configura y gestiona el perfil de Syslog en Palo Alto y proporciona los detalles de su configuración durante el proceso de instalación en la consola web de ESET PROTECT.

5.En Destino, seleccione el dispositivo de destino para la integración y haga clic en Siguiente.

6.En Configuración de instancia, complete los siguientes campos. A continuación, haga clic en Siguiente.

•Dirección IP/Nombre de host (obligatorio): escriba la dirección IP o el nombre de host de su cortafuegos Palo Alto.

•Puerto de API (obligatorio): seleccione el puerto API que utiliza su cortafuegos Palo Alto.

•Clave de API (obligatorio): escriba la clave de API que generó su cortafuegos Palo Alto.

•Certificado (obligatorio): cargue el certificado público exportado desde Palo Alto.

7.En Configuración de syslog, complete los siguientes campos. A continuación, haga clic en Siguiente.

•Dirección IP del agente de escucha (enlace) (opcional): escriba la dirección IP en la que el conector debe escuchar los mensajes Syslog entrantes. Si no se especifica, el conector recibirá conexiones de todas las interfaces de red disponibles (0.0.0.0).

•Direcciones IP de origen permitidas (opcional): escriba las direcciones IP o los bloques CIDR desde los que el agente de escucha de Syslog puede aceptar mensajes entrantes. Utilice los ajustes UDP y TCP para evitar la suplantación de registros desde dispositivos no autorizados en la red local. Si no especifica una dirección IP, el agente de escucha acepta conexiones desde cualquier dirección IP.

•Protocolo (obligatorio): seleccione el protocolo de conexión.

•Puerto (obligatorio): especifique el número de puerto que se utilizará para la conexión. Si varias integraciones utilizan el mismo dispositivo de destino, configure un puerto de escucha de Syslog único para cada integración a fin de evitar conflictos de puertos.

•Configuración de gravedad (obligatorio): seleccione los tipos de gravedad de los registros que se van a recibir. Los ajustes de gravedad disponibles son:

oTodas las severidades: incluye informativa, baja, media, alta y crítica.

oCrítico

oAlta y superiores

oMedia y superiores

oBaja y superiores

8.En Resumen, revise la configuración y haga clic en Crear.

Una vez completada la configuración de la integración, los datos de Palo Alto aparecerán en ESET PROTECT Web Console > Búsqueda avanzada. Recupere los datos de Palo Alto mediante el siguiente filtro:

Resolución de problemas

˄˅