Intégration du pare-feu Palo Alto Networks

L'intégration du pare-feu Palo Alto Networks et de ESET PROTECT permet l'ingestion et la normalisation d'indicateurs de sécurité réseau sélectionnés (journaux de menaces), ce qui offre une visibilité sur les menaces liées au réseau parallèlement aux événements de sécurité ESET. Les indicateurs peuvent être consultés dans la recherche avancée et sont associés aux incidents.

Comment activer l'intégration

Conditions préalables requises :

Avant de configurer l'intégration, remplissez les conditions préalables suivantes :

•Vérifiez que vous utilisez Palo Alto Networks PAN-OS version 11.1.10 ou ultérieure. L'utilisation de versions antérieures n'est pas recommandée et peut entraîner des problèmes d'intégration ou des vulnérabilités de sécurité.

•Assurez-vous d'avoir configuré le pare-feu Palo Alto avec une adresse IP statique.

•Configurez la surveillance Syslog dans Palo Alto en procédant comme suit.

1.Configurez le profil de serveur Syslog avec les valeurs suivantes dans Palo Alto :

•Syslog Server : nom DNS de votre serveur Syslog en fonction de sa région : eu.security-integration.eset.systems, us.security-integration.eset.systems, jpn.security-integration.eset.systems, ca.security-integration.eset.systems, de.security-integration.eset.systems

•Transport—SSL

•Port—6514

•Format—IETF

2.Configurez le transfert Syslog pour les journaux Threat de Palo Alto. Veillez à spécifier le type de journal Threat dans Log Forwarding Profile Match List et à affecter votre profil de transfert de journaux à la règle Security Policy pour permettre la génération de journaux Threat lorsqu'une détection est effectuée :

•Action Setting > Action—Allow

•Profile Setting > Profile Type—Group ou Profiles ; définissez les types de profils pertinents (Antivirus, Vulnerability Protection, Anti-Spyware, etc.) comme Default au lieu de None pour générer des journaux de menaces.

•Log Setting > Log Forwarding : votre profil de transfert de journaux

3.Créez le certificat pour une communication Syslog sécurisée dans Palo Alto. Exportez le certificat public créé avec les options suivantes et l'autorité de certification : l'entrée parent de votre certificat public créé marquée comme CA, à l’aide des instructions d'exportation de certificat :

•File Format—Base64 Encoded Certificate (PEM)

•Export Private Key : conservez cette case décochée.

Si vous ne disposez pas d'une autorité de certification, vous pouvezcréer un certificat d'autorité de certification racine auto-signé. Vous devez fournir le certificat public exporté et l'autorité de certification lors de la configuration de l'intégration dans la console web ESET PROTECT.

4.Validez les modifications.

Configuration de l'intégration dans la console web ESET PROTECT

Pour installer et configurer l'application d'intégration, sélectionnez la console web ESET PROTECT >Intégrations > Place de marché et suivez les étapes ci-dessous.

1.Sur la page Place de marché, recherchez Pare-feu Palo Alto Networks et cliquez sur Connecter.

2.Passez en revue les conditions d'intégration, puis cliquez sur Commencer la configuration.

3.Dans Configurations préalables, vérifiez que les conditions préalables sont remplies et cochez la case Je confirme que j’ai terminé toutes les configurations nécessaires dans Palo Alto. Cliquez sur Continuer.

4.Dans Configuration générale, renseignez les champs suivants. Cliquez ensuite sur Continuer.

•Nom (facultatif) : saisissez un nom distinct d'intégration.

•Description (facultatif) : saisissez une description de l'intégration.

5.Dans Adresse IP et certificat, renseignez les champs suivants. Cliquez ensuite sur Continuer.

•Adresses IP publiques statiques : indiquez l'adresse IP de sortie publique statique (NAT source) ou les adresses (séparées par un point-virgule) que le trafic sortant de votre pare-feu Palo Alto utilise pour atteindre Internet.

•Certificat : chargez le certificat public pour une communication Syslog sécurisée exportée depuis Palo Alto dans le format Base64 Encoded Certificate (PEM). Le certificat doit être unique et non associé à une autre intégration Palo Alto Networks au sein d'ESET.

•Autorité de certification : chargez l'autorité de certification du certificat public créé exporté depuis Palo Alto.

6.Dans Certificats de soutien, téléchargez les fichiers de certificat fournis, à la fois le certificat de serveur et l'autorité de certification, puis importez-les dans Palo Alto en suivant les instructions d'importation de certificat. Cliquez sur Continuer.

7.Dans Résumé, passez en revue vos paramètres et cliquez sur Terminer. La configuration de l'intégration peut prendre jusqu’à cinq minutes.

Vérification et résolution des problèmes liés à l'intégration

Une fois la configuration de l'intégration terminée, les journaux transférés depuis Palo Alto apparaissent dans la console web ESET PROTECT > Recherche avancée.

Vous pouvez consulter les journaux des menaces générés dans l'interface web Palo Alto > Logs > Threat. Seules les entrées de journal qui correspondent à la règle de politique de sécurité à laquelle le profil de transfert de journal Syslog est affecté sont transférées.

Vous pouvez également consulter les journaux en exécutant la commande tail mp-log logrcvr.log dans la console du pare-feu Palo Alto. Si la commande renvoie des messages d'erreur, la configuration peut présenter des problèmes. Les exemples suivants décrivent les messages d'erreur courants et leurs causes.

˄˅