Integrazione del firewall di Palo Alto Networks

Il firewall Palo Alto Networks e l’integrazione ESET PROTECT consentono di effettuare l’acquisizione e la normalizzazione di indicatori di sicurezza di rete selezionati (rapporti delle minacce), fornendo visibilità sulle minacce correlate alla rete insieme agli eventi di sicurezza ESET. Gli indicatori sono disponibili per l’analisi in Ricerca avanzata e sono correlati agli Incidenti.

Come abilitare l’integrazione

Prerequisiti

Prima di configurare l’integrazione, fare in modo che vengano soddisfatti i seguenti prerequisiti:

•Assicurarsi di utilizzare Palo Alto Networks PAN-OS versione 11.1.10 e successive. L’utilizzo di versioni precedenti non è consigliato e potrebbe causare errori di integrazione o vulnerabilità di protezione.

•Assicurarsi di aver configurato il firewall Palo Alto con un indirizzo IP statico.

•Configurare il monitoraggio Syslog in Palo Alto utilizzando la procedura sottostante.

1.Configurare il profilo del server Syslog con i seguenti valori in Palo Alto:

•Syslog Server: nome DNS del server Syslog in base alla relativa regione: eu.security-integration.eset.systems, us.security-integration.eset.systems, jpn.security-integration.eset.systems, ca.security-integration.eset.systems, de.security-integration.eset.systems

•Transport—SSL

•Port—6514

•Format—IETF

2.Configura l’inoltro Syslog per i rapporti Threat in Palo Alto. Assicurarsi di specificare il tipo di rapporto Threat (Minaccia) in Log Forwarding Profile Match List (Elenco di corrispondenza dei profili di inoltro dei rapporti) e di assegnare il profilo di inoltro dei rapporti alla regola Security Policy (Criterio di protezione) per abilitare i rapporti Threat (Minaccia) da generare in caso di rilevamento di una minaccia:

•Action Setting (Impostazione azione) > Action (Azione): Allow (Consenti)

•Profile Setting (Impostazione profilo) > Profile Type (Tipo di profilo): Group (Gruppo) o Profiles (Profili); impostare i tipi di profili pertinenti (Antivirus, Vulnerability Protection (Protezione vulnerabilità), Anti-Spyware, ecc.) come Default (Predefiniti) al posto di None (Nessuno) per generare i rapporti delle minacce.

•Log Setting (Impostazione rapporto) > Log Forwarding (Inoltro rapporti): profilo di inoltro dei rapporti

3.Creare il certificato per la comunicazione Syslog protetta in Palo Alto. Esportare il certificato pubblico creato con le seguenti opzioni e l’autorità di certificazione, ovvero la voce principale del certificato pubblico creato contrassegnato come CA, utilizzando le istruzioni Esporta un certificato:

•File Format—Base64 Encoded Certificate (PEM)

•Export Private Key (Esporta chiave privata): consente di mantenere deselezionata questa casella di controllo.

Se non si dispone dell’autorità di certificazione, è possibile creare un certificato dell’autorità di certificazione radice autofirmato. Durante la configurazione dell’integrazione in ESET PROTECT Web Console, è necessario fornire sia il certificato pubblico esportato sia l’autorità di certificazione.

4.Eseguire il commit delle modifiche.

Configurazione dell’integrazione in ESET PROTECT Web Console

Per installare e configurare l’applicazione di integrazione, selezionare ESET PROTECT Web Console > Integrazioni > Marketplace e seguire i passaggi sottostanti.

1.Nella pagina Marketplace trovare Palo Alto Networks Firewall e fare clic su Connetti.

2.Rivedere i requisiti di integrazione e fare clic su Inizia configurazione.

3.In Configurazioni dei prerequisiti verificare che i prerequisiti siano stati rispettati e selezionare la casella di controllo Confermo di aver completato tutte le configurazioni necessarie in Palo Alto. Fare clic su Continua.

4.In Configurazione generale completare i seguenti campi. Fare quindi clic su Continua.

•Nome (facoltativo): digitare un nome distinto per l’integrazione.

•Descrizione (facoltativo): digitare una descrizione dell’integrazione delle proprie preferenze.

5.In IP e certificato completare i seguenti campi. Fare quindi clic su Continua.

•Indirizzi IP pubblici statici: fornire l’indirizzo IP o gli indirizzi IP in uscita pubblici statici (NAT di origine) (separati da punti e virgola) utilizzati dal traffico in uscita del firewall di Palo Alto per raggiungere Internet.

•Certificato: consente di caricare il certificato pubblico per la comunicazione Syslog protetta esportata da Palo Alto nel formato Base64 Encoded Certificate (PEM). Il certificato deve essere univoco e non associato ad altre integrazioni Palo Alto Networks all’interno di ESET.

•Autorità di certificazione: consente di caricare l’autorità di certificazione del certificato pubblico creato esportato da Palo Alto.

6.In Certificati di supporto scaricare i file del certificato forniti, sia il Certificato del server che l’Autorità di certificazione, e importarli in Palo Alto utilizzando le istruzioni Importa un certificato. Fare clic su Continua.

7.In Riepilogo rivedere le impostazioni e fare clic su Fine. Potrebbero essere necessari fino a cinque minuti per completare la configurazione dell’integrazione.

Verifica e risoluzione dei problemi relativi all’integrazione

Al termine della configurazione dell’integrazione, i rapporti inoltrati da Palo Alto vengono visualizzati in ESET PROTECT Web Console > Ricerca avanzata.

È possibile controllare i rapporti delle minacce generati in Interfaccia web Palo Alto > Logs (Rapporti) > Threat (Minaccia). Vengono inoltrate solo le voci del rapporto che corrispondono alla regola del criterio di protezione a cui è assegnato il profilo di inoltro dei rapporti Syslog.

È inoltre possibile controllare i rapporti eseguendo il comando tail mp-log logrcvr.log nella console del firewall di Palo Alto. Se il comando restituisce messaggi di errore, la configurazione potrebbe contenere problemi. Negli esempi seguenti vengono descritti i messaggi di errore comuni e le relative cause.

˄˅