Palo Alto 通过 Broker 服务器代理

Palo Alto 和 ESET PROTECT 集成支持引入和规范化选定的网络安全指标（威胁日志），从而提供对网络相关威胁和 ESET 安全事件的可见性。可在 ESET PROTECT Web 控制台 > 高级搜索中对这些指标进行调查。

该集成基于 Syslog，并在集成设置过程中在目标设备上安装 Broker 服务器代理。Broker 服务器代理是一个收集数据并将其转发到 ESET PROTECT 平台的组件。

ESET PROTECT 提供两种集成设置选项供您选择：最佳和自定义设置。如果选择最佳设置，ESET 将为您处理设置和维护，包括 Syslog 配置文件的创建和管理。如果选择自定义设置，则需自行在 Palo Alto 中设置和管理 Syslog 配置文件，并在 ESET PROTECT Web 控制台的设置过程中提供其配置详细信息。

先决条件

•您已在网络上配置了 Palo Alto 防火墙。

•Palo Alto 防火墙生成威胁日志。

•您已准备好运行 Windows Server 2016 或更高版本的目标设备。

•目标设备已安装 ESET Management 服务器代理 并已连接到 ESET PROTECT。

•目标设备可以在配置的端口上接收传入的 Syslog 流量。

•您已在 Palo Alto 中启用 API 访问权限，并按照 Palo Alto 说明生成了 API 密钥（最佳设置所需）。

•您已从 Palo Alto 生成并导出公共证书，并选择将其用于与管理界面的 TLS 通信（最佳设置所需）。

•您已在 Palo Alto 防火墙中配置了采用 IETF 日志格式的 Syslog 配置文件（自定义设置所需）。

如何启用集成

要通过 Broker 服务器代理集成应用程序安装和设置Palo Alto，请导航到 ESET PROTECT Web 控制台 > 集成 > 市场，然后按照以下步骤操作。

1.在 Marketplace 上，找到 Palo Alto 通过 Broker 服务器代理，然后单击 Connect。

2.查看开始之前通知，然后单击继续。

3.在常规设置中，填写以下字段。然后，单击下一步。

•选择公司（必填）—选择要为其配置集成的公司。该字段仅对 MSP 用户显示。

•名称（可选）- 为该集成键入一个独特的名称。

•描述（可选）- 键入集成的描述。

4.在选择配置中，选择所需的设置选项。然后，单击下一步。

•最佳设置—ESET 为您处理设置和维护，包括 Syslog 配置文件的创建和管理。

•自定义设置—您在 Palo Alto 中自行设置和管理 Syslog 配置文件，并在 ESET PROTECT Web 控制台的设置过程中提供其配置详细信息。

5.在 目标 中，选择要集成的目标设备，然后单击 下一步。

6.在 实例设置 中，填写以下字段。然后，单击下一步。

•IP/主机名地址（必填）—键入 Palo Alto 防火墙的 IP 地址或主机名。

•API 端口（必需）- 选择您的 Palo Alto 防火墙所使用的 API 端口。

•API 密钥（必填）- 键入您的 Palo Alto 防火墙生成的 API 密钥。

•证书（必填）—上传从 Palo Alto 导出的公共证书。

7.在 Syslog 设置 中，填写以下字段。然后，单击下一步。

•侦听程序(绑定) IP 地址(可选)—键入连接器用于侦听传入 Syslog 消息的 IP 地址。如果未指定，连接器将侦听所有可用的网络接口（0.0.0.0）。

•允许的源 IP 地址（可选）- 键入 Syslog 侦听程序可从中接受传入消息的 IP 地址或 CIDR 块。使用 UDP 和 TCP 设置可防止本地网络上未经授权的设备进行日志欺骗。如果未指定 IP 地址，则侦听程序将接受来自任何 IP 地址的连接。

•协议（必填）—选择连接协议。

•端口（必需）- 指定用于连接的端口号。如果多个集成使用同一目标设备，请为每个集成配置唯一的 Syslog 侦听器端口，以避免端口冲突。

•严重级别设置（必需）- 选择要接收的日志的严重级别类型。可用的严重级别设置包括：

o所有严重级别—包括信息、低、中、高和严重。

o严重

o高及更高级别

o中及更高级别

o低及更高级别

8.在摘要中，检查您的设置，然后单击创建。

集成设置完成后，来自 Palo Alto 的数据将显示在 ESET PROTECT Web 控制台 > 高级搜索中。使用以下过滤器从 Palo Alto 检索数据：

故障排除

˄˅