Palo Alto PAN-OS

Coletor de log

Você pode integrar os produtos de segurança de rede Palo Alto PAN-OS ao Sophos Central para que eles enviem dados à Sophos para análise.

Essa integração usa um coletor de log hospedado em uma máquina virtual (VM). Juntos, eles são chamados de coletor de dados. O coletor de dados recebe dados de terceiros e os envia ao Sophos Data Lake.

As principais etapas para adicionar uma integração são as seguintes:

• Adicione uma integração deste produto. Isso configura uma imagem para ser usada em uma VM.
• Baixe e implante a imagem na sua VM. Ele se torna seu coletor de dados.
• Configure o PAN-OS para enviar dados ao coletor de dados.

Requisitos

Os coletores de dados têm requisitos de acesso ao sistema e à rede. Para verificar se você os atende, consulte Requisitos do coletor de dados.

Adicionar uma integração

Para adicionar a integração, siga este procedimento:

1. Faça login no Sophos Central.
2. Vá para o Centro de Análise de Ameaças > Integrações.

3. Clique em Palo Alto PAN-OS.

   Se já tiver configurado as conexões ao Panorama, você as verá aqui.

4. Em Integrações, clique em Adicionar.

   Nota

   Se esta for a primeira integração que você adiciona, solicitaremos detalhes sobre seus domínios internos e IPs. Consulte Meus domínios e IPs.

   Etapas de integração aparece.

Configurar a VM

Em Etapas de configuração de integração, você configura uma VM para receber dados do Panorama. Você pode usar uma VM existente ou criar uma nova.

Para configurar a VM, faça o seguinte:

1. Insira um nome de integração e uma descrição.

2. Insira um nome e uma descrição para o coletor de dados.

   Se você já tiver configurado uma integração de coletor de dados, poderá escolhê-la em uma lista.

3. Selecione a plataforma virtual. Atualmente, oferecemos suporte a VMware ESXi 6.7 Update 3 ou posterior e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou posterior.

4. Especifique as configurações de IP das Portas de rede voltadas à Internet. Isso configura a interface de gerenciamento da VM.

   • Selecione DHCP para atribuir o endereço IP automaticamente.

     Nota

     Se você selecionar DHCP, deverá reservar o endereço IP.

   • Selecione Manual para especificar as configurações de rede.

5. Selecione a Versão de IP do syslog e insira o endereço IP de syslog.

   Você precisará desse endereço IP de syslog mais tarde, ao configurar o PAN-OS para enviar dados ao seu coletor de dados.

6. Selecione um Protocolo. Atualmente, só oferecemos suporte UDP.

   Ao configurar o PAN-OS para enviar dados ao seu coletor de dados, você deve definir o mesmo protocolo.

7. Clique em Salvar.

   Nós criamos a integração e ela aparece na sua lista.

   Nos detalhes de integração, você pode ver o número da porta do coletor de dados. Você precisará dele mais tarde, ao configurar o PAN-OS para enviar dados.

   Pode levar alguns minutos para que a imagem da VM fique pronta.

Implantar a VM

Use a imagem da VM para implantar a VM. Para isso, siga este procedimento:

1. Na lista de integrações, em Ações, clique na ação de download para a sua plataforma, por exemplo, Baixar OVA para ESXi.
2. Quando o download da imagem for concluído, implante-a em sua VM. Consulte Implantar uma VM para integrações.

Quando você tiver implantado a VM, a integração será exibida como Conectado.

Configurar o PAN-OS

Agora você configura o PAN-OS para enviar dados ao coletor de dados da Sophos na VM.

Há guias de configuração gerais da Palo Alto. Consulte Configure Log Forwarding.

As principais etapas para configurar o PAN-OS são as seguintes:

• Configurar um perfil de servidor syslog. Define para onde os alertas são enviados.

  Você deve inserir as mesmas configurações inseridas no Sophos Central quando adicionou a integração.

• Configurar o formato da mensagem de syslog. Define o formato em que os alertas são enviados.

• Configurar o encaminhamento do log. Define quais logs são enviados e o que os dispara.
• Confirmar as alterações. Implementa as alterações de configuração nos firewalls.

Configurar um perfil de servidor syslog

Para configurar um perfil, que define para onde os alertas são enviados, faça o seguinte:

1. Selecione Dispositivo > Perfis de servidor > Syslog.
2. Clique em Adicionar e digite um Nome para o perfil, por exemplo, "Coletor de dados da Sophos".
3. Se o firewall tiver mais de um sistema virtual (vsys), selecione a Localização (vsys ou Shared) onde o perfil está disponível.
4. Em Syslog Server Profile, clique em Add.
5. Insira um Nome para o perfil do servidor.

6. Em Servers, insira as seguintes informações sobre o seu coletor de dados da Sophos:

   • NAME: Um nome exclusivo para o servidor, por exemplo, Sophos data collector.
   • SYSLOG SERVER: O endereço IP do seu coletor de dados. Este deve ser o mesmo endereço IP do syslog que você inseriu no Sophos Central.
   • TRANSPORT: Selecione o mesmo protocolo de transporte definido no Sophos Central.
   • PORT: O número da porta que você definiu no Sophos Central.
   • FORMAT: Selecione BSD (equivalente a RFC3164).
   • FACILITY: Selecione um valor padrão de syslog para calcular a prioridade (PRI) da mensagem de syslog. Não usamos esse valor, portanto, recomendamos escolher o LOG_USER padrão.

Não clique em OK ainda. Vá para a próxima seção.

Este vídeo mostra a configuração do perfil do servidor syslog.

Configurar o formato da mensagem de syslog

Para configurar o formato de mensagem, siga este procedimento:

1. Selecione a guia Custom Log Format.

2. Selecione Traffic, cole o seguinte conteúdo na caixa de texto Threat Log Format e clique em OK:

   CEF:0|Palo Alto Networks|PAN-OS|$sender_sw_version|$subtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action flexNumber1Label=Total bytes flexNumber1=$bytes in=$bytes_sent out=$bytes_received cn2Label=Packets cn2=$packets PanOSPacketsReceived=$pkts_received PanOSPacketsSent=$pkts_sent start=$cef-formatted-time_generated cn3Label=Elapsed time in seconds cn3=$elapsed cs2Label=URL Category cs2=$category externalId=$seqno reason=$session_end_reason PanOSDGl1=$dg_hier_level_1 PanOSDGl2=$dg_hier_level_2 PanOSDGl3=$dg_hier_level_3 PanOSDGl4=$dg_hier_level_4 PanOSVsysName=$vsys_name dvchost=$device_name cat=$action_source PanOSActionFlags=$actionflags PanOSSrcUUID=$src_uuid PanOSDstUUID=$dst_uuid PanOSTunnelID=$tunnelid PanOSMonitorTag=$monitortag PanOSParentSessionID=$parent_session_id PanOSParentStartTime=$parent_start_time PanOSTunnelType=$tunnel PanOSSCTPAssocID=$assoc_id PanOSSCTPChunks=$chunks PanOSSCTPChunkSent=$chunks_sent PanOSSCTPChunksRcv=$chunks_received PanOSRuleUUID=$rule_uuid PanOSHTTP2Con=$http2_connection PanLinkChange=$link_change_count PanPolicyID=$policy_id PanLinkDetail=$link_switches PanSDWANCluster=$sdwan_cluster PanSDWANDevice=$sdwan_device_type PanSDWANClustype=$sdwan_cluster_type PanSDWANSite=$sdwan_site PanDynamicUsrgrp=$dynusergroup_name
   

3. Selecione Threat, cole o seguinte conteúdo na caixa de texto Threat Log Format e clique em OK:

   CEF:0|Palo Alto Networks|PAN-OS|$sender_sw_version|$threatid|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action request=$misc cs2Label=URL Category cs2=$category flexString2Label=Direction flexString2=$direction PanOSActionFlags=$actionflags externalId=$seqno cat=$threatid fileId=$pcap_id PanOSDGl1=$dg_hier_level_1 PanOSDGl2=$dg_hier_level_2 PanOSDGl3=$dg_hier_level_3 PanOSDGl4=$dg_hier_level_4 PanOSVsysName=$vsys_name dvchost=$device_name PanOSSrcUUID=$src_uuid PanOSDstUUID=$dst_uuid PanOSTunnelID=$tunnelid PanOSMonitorTag=$monitortag PanOSParentSessionID=$parent_session_id PanOSParentStartTime=$parent_start_time PanOSTunnelType=$tunnel PanOSThreatCategory=$thr_category PanOSContentVer=$contentver PanOSAssocID=$assoc_id PanOSPPID=$ppid PanOSHTTPHeader=$http_headers PanOSURLCatList=$url_category_list PanOSRuleUUID=$rule_uuid PanOSHTTP2Con=$http2_connection PanDynamicUsrgrp=$dynusergroup_name
   

4. Selecione Wildfire, cole o seguinte conteúdo na caixa de texto Threat Log Format e clique em OK:

   CEF:0|Palo Alto Networks|PAN-OS|$sender_sw_version|$subtype|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action request=$misc cs2Label=URL Category cs2=$category flexString2Label=Direction flexString2=$direction PanOSActionFlags=$actionflags externalId=$seqno cat=$threatid filePath=$cloud fileId=$pcap_id fileHash=$filedigest fileType=$filetype suid=$sender msg=$subject duid=$recipient oldFileId=$reportid PanOSDGl1=$dg_hier_level_1 PanOSDGl2=$dg_hier_level_2 PanOSDGl3=$dg_hier_level_3 PanOSDGl4=$dg_hier_level_4 PanOSVsysName=$vsys_name dvchost=$device_name PanOSSrcUUID=$src_uuid PanOSDstUUID=$dst_uuid PanOSTunnelID=$tunnelid PanOSMonitorTag=$monitortag PanOSParentSessionID=$parent_session_id PanOSParentStartTime=$parent_start_time PanOSTunnelType=$tunnel PanOSThreatCategory=$thr_category PanOSContentVer=$contentver PanOSAssocID=$assoc_id PanOSPPID=$ppid PanOSHTTPHeader=$http_headers PanOSRuleUUID=$rule_uuid
   

5. Clique em OK para salvar o perfil do servidor syslog.

Este vídeo mostra a configuração do formato de mensagem do syslog.

Configurar encaminhamento de log

A configuração do encaminhamento de log é feita em duas etapas:

• Configure o firewall para encaminhar logs.
• Dispare a geração e o encaminhamento de log.

Configurar o firewall para encaminhar logs

Para configurar o firewall para encaminhar logs, faça o seguinte:

1. Selecione Objects > Log Forwarding e clique em Add.
2. Em Log Forwarding Profile, digite um nome exclusivo, por exemplo, Sophos data collector.
3. Clique em Adicionar.
4. Em Log Forwarding Profile Match List, insira um nome para o tipo de log que você está encaminhando. O padrão é Traffic.
5. Selecione SYSLOG e, em seguida, selecione o servidor para o qual enviar o log. Esse é o nome do servidor que você adicionou. Consulte Configurar um perfil de servidor syslog.
6. Clique em OK.

7. Repita essas etapas para cada tipo de log, nível de severidade e veredito do Wildfire que deseja adicionar. Recomendamos que você adicione o seguinte.

   • Traffic (default)
   • Ameaça
   • Wildfire

8. Clique em OK.

Este vídeo mostra a configuração do firewall para encaminhar logs.

Configurar a geração e o encaminhamento de log

A seguir, você atribui o perfil de encaminhamento de log a uma política de segurança para disparar a geração e o encaminhamento de log. Isso configura a geração e o encaminhamento do log.

Para isso, siga este procedimento:

1. Selecione Policies > Security e selecione a política que deseja usar.
2. Em Security Policy Rule, selecione Actions.
3. Em Profile Setting, selecione Profiles em Profile Type.
4. Abaixo de Profile Type, escolha os perfis de segurança que deseja monitorar.
5. Em Log Setting, você pode selecionar Log at Session Start e Log at Session End. Sua escolha depende de seu ambiente e dos logs e alertas que você deseja encaminhar para a Sophos.
6. Em Log Forwarding, selecione o perfil que você criou. Consulte Configurar encaminhamento de log.
7. Clique em OK.

Este vídeo mostra a configuração de geração e encaminhamento de log.

Confirmar as alterações

Quando a configuração estiver concluída, clique em Commit. Seus alertas do PAN-OS devem aparecer no Sophos Data Lake após a validação.

Mais Informações

Para obter mais informações sobre como configurar o Palo Alto Panorama, consulte:

• Configure Log Forwarding
• Create a Log Forwarding Profile
• Assign the Log Forwarding profile to policy rules and network zones
• How to Forward Custom URL Logs to a Syslog Server
• Common Event Format (CEF) Configuration Guides
• Micro Focus Common Event Format Integration Guide
• Log Forwarding Options
• Threat Log Fields