ESET PROTECT – Sadržaj

Palo Alto putem agenta Broker Agent

Palo Alto i integracija omogućuju ESET PROTECT unos i normalizaciju odabranih mrežnih sigurnosnih indikatora (dnevnika prijetnji), pružajući uvid u mrežne prijetnje uz ESET sigurnosne događaje. Indikatori su dostupni za istragu u ESET PROTECT Web Console > Advanced Search.

Integracija se temelji na Syslogu i tijekom postavljanja integracije instalira Broker Agent na ciljni uređaj. Broker Agent je komponenta koja prikuplja i prosljeđuje podatke platformi ESET PROTECT.

ESET PROTECT nudi dvije opcije postavljanja integracije po vašem izboru: Optimalno i prilagođeno podešavanje. Ako odaberete Optimalno postavljanje, ESET umjesto vas obavlja postavljanje i održavanje, uključujući kreiranje Syslog profila i upravljanje njime. Ako odaberete Prilagođeno postavljanje, sami postavljate Syslog profil i upravljate njime u Palo Alto te tijekom postupka postavljanja navodite pojedinosti njegove konfiguracije u web konzoli ESET PROTECT.

VAŽNO

Ako koristite raniju verziju integracije Palo Alto, koja je sada zastarjela, preporučujemo instalaciju integracije Palo Alto putem Broker Agenta. Prije instaliranja integracije Palo Alto putem Broker Agenta, uklonite zastarjelu verziju u Web Consoleu ESET PROTECT i sve povezane konfiguracije u Palo Alto kako biste izbjegli moguće probleme i osigurali čistu postavu.

Preduvjeti

•Konfigurirali ste firewall Palo Alto na svojoj mreži.

•Firewall Palo Alto generira dnevnike prijetnji.

•Pripremili ste ciljani uređaj s procesorom Windows Server 2016 ili novijim.

•Ciljni uređaj ima instaliranog ESET Management Agenta i povezan je s ESET PROTECT.

•Ciljani uređaj može primati dolazni Syslog promet na konfiguriranom portu.

•Omogućili ste API pristup u Palo Alto i generirali API ključ prema Palo Alto uputama (potrebno za Optimalno postavljanje).

•Generirali ste i izvezli javni certifikat iz Palo Alto te ste ga odabrali za TLS komunikaciju s upravljačkim sučeljem (potrebno za Optimalno postavljanje).

•Konfigurirali ste Syslog profil s formatom zapisa IETF u Firewallu Palo Alto (potrebno za Prilagođenu postavu).

Napomena

Svaka integracija zahtijeva jedinstveni certifikat; nemojte dijeliti certifikate između integracija.

Kako omogućiti integraciju

Za instalaciju i postavljanje aplikacije za integraciju Palo Alto putem Broker Agenta, posjetite ESET PROTECT Web Console > Integrations > Marketplace i slijedite korake u nastavku.

1.Na Marketplaceu pronađite Palo Alto putem Broker Agenta i kliknite Poveži.

2.Pregledajte obavijest Prije početka i kliknite Nastavi.

3.U Općem postavljanju ispunite sljedeća polja. Zatim kliknite Dalje.

•Odaberite tvrtku (obavezno) – Odaberite tvrtku za koju konfigurirate integraciju. Polje se prikazuje samo za MSP korisnike.

•Naziv (neobavezno) – upišite jedinstven naziv za integraciju.

•Opis (opcionalno) – Upišite opis za integraciju.

4.U odjeljku Choose Configuration odaberite željenu opciju postavljanja. Zatim kliknite Dalje.

•Optimalno postavljanje – ESET umjesto vas obavlja postavljanje i održavanje, uključujući izradu i upravljanje Syslog profilima.

•Prilagođeno postavljanje – Syslog profil sami postavljate i njime upravljate u Palo Alto, a pojedinosti njegove konfiguracije unosite tijekom postupka postavljanja u ESET PROTECT Web Consoleu.

5.U Target odaberite ciljni uređaj za integraciju i kliknite Next.

Napomena

Uređaji navedeni na Target dolaze iz Computers.

Stupac Broker Agent Status označava je li Broker Agent instaliran na uređaju. Ako Broker Agent nije instaliran na odabranom uređaju, najnovija verzija Broker Agenta instalirat će se automatski.

Možete odabrati jedan ciljni uređaj.

6.U Postavkama instance ispunite sljedeća polja. Zatim kliknite Dalje.

Napomena

Korak Postavke instance pojavljuje se samo ako ste odabrali opciju Optimalno postavljanje u koraku Odaberi konfiguraciju. Ako ste odabrali opciju Prilagođena postavka, prijeđite na korak Postavke Sysloga.

•IP adresa/naziv računala (obavezno) – upišite IP adresu ili naziv računala svojeg Palo Alto firewalla.

•API Port (obavezno) – Odaberite API port koji koristi vaš Palo Alto firewall.

•API ključ (obavezno) – Upišite API ključ koji je generirao vaš Palo Alto firewall.

•Certifikat (obavezno) – učitajte javni certifikat izvezen iz Palo Alto.

7.U Syslog postavkama ispunite sljedeća polja. Zatim kliknite Dalje.

•IP adresa slušatelja (Bind) (neobavezno) – upišite IP adresu na kojoj će konektor slušati dolazne Syslog poruke. Ako nije specificirano, konektor će slušati sva dostupna mrežna sučelja (0.0.0.0).

VAŽNO

Poznati problem

Polje IP adresa slušatelja (Bind) nije obavezno za većinu konfiguracija. Međutim, ako odaberete Optimalno postavljanje, navedite IP adresu. Ostavljanje polja praznim može spriječiti ispravan rad integracije.

•Dopuštene izvorne IP adrese (opcionalno) – Upišite IP adrese ili CIDR blokove s kojih Syslog slušatelj može primati dolazne poruke. Upotrijebite postavke UDP i TCP kako biste spriječili lažiranje zapisa (log spoofing) s neovlaštenih uređaja na lokalnoj mreži. Ako ne navedete IP adresu, slušatelj prihvaća veze s bilo koje IP adrese.

•Protokol (obavezno) – Odaberite protokol povezivanja.

•Port (obavezno) – Navedite broj porta koji će se koristiti za vezu. Ako više integracija koristi isti ciljni uređaj, za svaku integraciju konfigurirajte jedinstveni port Syslog slušatelja kako biste izbjegli sukobe portova.

•Postavke ozbiljnosti (obavezno) – Odaberite vrste ozbiljnosti za zapisnike koji će se primati. Dostupne postavke ozbiljnosti su:

oSve razine ozbiljnosti – uključuje informativnu, nisku, srednju, visoku i kritičnu.

oKritično

oVisoke i više

oSrednje i više

oNiske i više

8.U sažetku, pregledajte svoje postavke i kliknite Stvori.

Kada je integracija dovršena, podaci iz Palo Alto pojavit će se u ESET PROTECT Web Console > Advanced Search. Dohvatite podatke iz Palo Alto pomoću sljedećeg filtra:

Naziv polja

Vrijednost

agent.type

panos-integration

Otklanjanje poteškoća

Mogući problem

Radnja koju treba poduzeti

Ciljni uređaj nije dostupan za odabir.

Provjerite sljedeće:

•Na uređaju je pokrenut ESET Management Agent.

•Uređaj se povezuje na ESET PROTECT.

•Uređaj se pojavljuje u ESET PROTECT web konzoli > Računala.

Podaci se ne pojavljuju u odjeljku Napredno pretraživanje.

Provjerite sljedeće:

•Status integracije je Aktivno.

•Syslog promet dolazi do ciljanog uređaja.

•Firewall Palo Alto generira i prosljeđuje dnevnike prijetnji.

•Adresa i port slušatelja IP odgovaraju konfiguraciji u firewallu Palo Alto.

Instalacija Broker Agenta nije uspjela.

Provjerite sljedeće:

•ESET PROTECT može implementirati komponente na ciljani uređaj.

•Imate administratorske ovlasti na ciljnom uređaju.