Palo Alto via Broker Agente

O Palo Alto e a integração ESET PROTECT permitem a ingestão e a normalização de indicadores de segurança de rede selecionados (relatórios de ameaças), fornecendo visibilidade às ameaças relacionadas à rede juntamente com os eventos de segurança ESET. Os indicadores estão disponíveis para investigação no ESET PROTECT Web Console > Pesquisa avançada.

A integração é baseada em Syslog e instala um Agente Broker no dispositivo de destino durante a configuração da integração. O Agente Broker é um componente que coleta e encaminha dados para a Plataforma ESET PROTECT.

ESET PROTECT oferece duas opções de configuração da integração para sua escolha: Configuração ideal e personalizada. Se você selecionar Configuração ideal, a ESET cuidará da configuração e da manutenção para você, incluindo a criação e o gerenciamento de perfis Syslog. Se você selecionar Configuração personalizada, você mesmo configurará e gerenciará o perfil do Syslog no Palo Alto e fornecerá seus detalhes de configuração durante o processo de configuração no Web Console do ESET PROTECT.

Pré-requisitos

•Você configurou o Palo Alto Firewall na sua rede.

•O Firewall Palo Alto gera os logs de ameaças.

•Você preparou um dispositivo de destino executando o Windows Server 2016 ou posterior.

•O dispositivo de destino tem o Agente ESET Management instalado e está conectado a ESET PROTECT.

•O dispositivo de destino pode receber tráfego Syslog de entrada na porta configurada.

•Você ativou o acesso API em Palo Alto e gerou uma chave API usando as Palo Alto instruções (necessário para a Configuração ideal).

•Você gerou e exportou um certificado público do Palo Alto e o selecionou para comunicação TLS com a interface de gerenciamento (necessário para a configuração ideal).

•Você configurou um perfil Syslog com o formato de log IETF no Firewall Palo Alto (necessário para a Configuração personalizada).

Como habilitar a integração

Para instalar e configurar o Palo Alto por meio do aplicativo de integração do agente Broker, navegue até o Web Console ESET PROTECT > Integrações > Marketplace e siga as etapas abaixo.

1.No Marketplace, localize Palo Alto via Agente Broker e clique em Conectar.

2.Revise a notificação Antes de começar e clique em Continuar.

3.Em Configuração geral, preencha os campos a seguir. Em seguida, clique em Avançar.

•Selecionar empresa (obrigatório) — Selecione a empresa para a qual você está configurando a integração. O campo é exibido apenas para usuários MSP.

•Nome (opcional) — Digite um nome distinto para a integração.

•Descrição (opcional) — Digite uma descrição para a integração.

4.Em Escolher Configuração, selecione a opção de configuração desejada. Em seguida, clique em Avançar.

•Configuração ideal— a ESET cuida da configuração e da manutenção para você, incluindo a criação e o gerenciamento do perfil Syslog.

•Configuração personalizada—Você mesmo configura e gerencia o perfil Syslog no Palo Alto e fornece seus detalhes de configuração durante o processo de configuração no Web Console do ESET PROTECT.

5.Em Destino, selecione o dispositivo de destino para a integração e clique em Avançar.

6.Em Configurações de instância, preencha os campos a seguir. Em seguida, clique em Avançar.

•Endereço IP/Nome do host (obrigatório)—Digite o endereço IP ou o nome do host do seu Firewall Palo Alto.

•Porta da API (obrigatório) — Selecione a porta API usada pelo seu firewall Palo Alto.

•Chave de API (obrigatória)—Digite a chave API que o seu Firewall Palo Alto gerou.

•Certificado (obrigatório) — Carregue o certificado público exportado de Palo Alto.

7.Em Configurações de syslog, preencha os campos a seguir. Em seguida, clique em Avançar.

•Endereço IP do ouvinte (Bind) (opcional) — Digite o endereço IP para que o conector escute as mensagens Syslog recebidas. Se não for especificado, o conector escutará todas as interfaces de rede disponíveis (0.0.0.0).

•Endereços IP de origem permitidos (opcional)—Digite os endereços IP ou os blocos CIDR dos quais o ouvinte do Syslog pode aceitar mensagens recebidas. Use as configurações UDP e TCP para impedir a falsificação de logs por dispositivos não autorizados na rede local. Se você não especificar um endereço IP, o listener aceita conexões de qualquer endereço IP.

•Protocolo (obrigatório)—Selecione o protocolo de conexão.

•Porta (obrigatório)—Especifique o número da porta a ser usada para a conexão. Se várias integrações usarem o mesmo dispositivo de destino, configure uma porta de listener Syslog exclusiva para cada integração, a fim de evitar conflitos de porta.

•Configurações de gravidade (obrigatório)—Selecione os tipos de gravidade dos logs a serem recebidos. As configurações de severidade disponíveis são:

oTodas as severidades—Inclui informativa, baixa, média, alta e crítica.

oCrítico

oAlto e acima

oMédio e acima

oBaixo e acima

8.Em Resumo, revise suas configurações e clique em Criar.

Quando a configuração da integração estiver concluída, os dados do Palo Alto aparecerão no Web Console ESET PROTECT > Pesquisa avançada. Recupere os dados de Palo Alto usando o filtro a seguir:

Solução de problemas

˄˅