Plugin Cortex XDR pour Threat Exchange de Palo Alto Networks

Ce document fournit la documentation technique nécessaire pour configurer l'intégration du Cortex XDR de Palo Alto Networks avec le module Threat Exchange de la plateforme Netskope Cloud Exchange.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Accès à la plateforme Cortex de Palo Alto pour le tirage et le partage.
• A Netskope Cloud Exchange tenant with the Tenant plugin and Threat Exchange plugin already configured.
• Vos informations d'identification API Cortex XDR de Palo Alto Networks (ID API, URL de base et méthode d'authentification).
• Connectivity to the following host: Palo Alto Networks Cortex XDR login URL.
  For example: https://api-wwt3.xdr.us.paloaltonetworks.com/

Champ d'application du plugin

Ce plugin prend en charge l'extraction et le partage d'indicateurs depuis/vers la plateforme Cortex XDR de Palo Alto Networks. Le plugin Palo Alto Networks Cortex XDR récupère des indicateurs de types Fichier (MD5 et SHA256) de Palo Alto Networks Cortex XDR et les stocke dans Netskope CE. Le plugin permet également de partager les indicateurs SHA256, MD5, URL ( IPv4, Domaine) de Netskope CE avec des groupes existants sur la plateforme Cortex XDR de Palo Alto Networks.

Prise en charge du Cortex XDR par Palo Alto Networks

Types d'indicateurs prédéfinis	SHA256, MD5
Types d'indicateurs partagés	SHA256, MD5, URL (IPv4, domaine)

Mises en correspondance

Mappings for Pull (champs Netskope - champs Palo Alto Networks Cortex XDR)

Champs CE de Netskope	Champs Cortex XDR de Palo Alto Networks
Value	action_process_image_sha256, action_process_image_md5
Sévérité	gravité (informative ⇒ faible) les autres niveaux sont identiques)
Comments	Description: <description>, Host Name: <host_name>, Matching Status: <matching_status>, Source: <source>, Resolution Status: resolution_status
Firstseen	event_timestamp
Lastseen	event_timestamp
Tags	tags+original_tags

Mapping for Push (champ Netskope - champ Third Party)

Champs CE de Netskope	Champs Cortex XDR de Palo Alto Networks
value	md5, sha256, URL (IPv4, domaine)
type	URL (IPv4, domaine), SHA256, MD5
sévérité	inconnu > Informatif faible > FAIBLE Moyen > MOYEN Élevé > ÉLEVÉ Critique > CRITIQUE
commentaires	commentaires
expiresAt	expiration_date

Permissions

Pour créer un utilisateur API, assurez-vous que vous avez le rôle d'administrateur de l'organisation sur la plateforme Cortex XDR de Palo Alto Networks pour créer un utilisateur API afin d'obtenir l'ID de la clé API, la clé API et la méthode d'authentification.

Pour extraire et pousser des données depuis/vers le Cortex XDR de Palo Alto Networks, assurez-vous que votre utilisateur dispose des droits ci-dessous.

Functionality	Permissions
Indicateurs de traction	Select les éléments suivants : Alertes et incidents (View)
Indicateurs de poussée	Select les éléments suivants : Détections (View/Edit)

Détails de l'API

Liste des API utilisées

Détail de l'API	Méthode	Point final de l'API
Indicateurs de traction	PUBLIER	/public_api/v1/alerts/get_alerts_multi_events/
Indicateurs de poussée	PUBLIER	/public_api/v1/indicators/insert_jsons

Indicateurs de traction

Example:

API Endpoint:

POST public_api/v1/alerts/get_alerts_multi_events/

Method: Poste

Parameter: Aucun

API Request Endpoint:

{
    "request_data": {
        "filters": [
            {
                "field": "creation_time",
                "operator": "gte",
                "value": 1664794415000
            },
            {
                "field": "severity",
                "operator": "in",
                "value": [
                    "informational",
                    "low",
                    "medium",
                    "high",
                    "critical"
                ]
            }
        ],
        "search_from": 0,
        "search_to": 1,
        "sort": {
            "field": "creation_time",
            "keyword": "asc"
        }
    }
}

API Response:

{
    "reply": {
        "total_count": 887,
        "result_count": 1,
        "alerts": [
            {
                "external_id": "7904b8db15cc4658b1e617dbafef1cca",
                "severity": "medium",
                "matching_status": "UNMATCHABLE",
                "end_match_attempt_ts": null,
                "local_insert_ts": 1683342672687,
                "last_modified_ts": null,
                "bioc_indicator": null,
                "matching_service_rule_id": null,
                "attempt_counter": 0,
                "bioc_category_enum_key": null,
                "is_whitelisted": false,
                "starred": false,
                "deduplicate_tokens": null,
                "filter_rule_id": null,
                "mitre_technique_id_and_name": null,
                "mitre_tactic_id_and_name": null,
                "agent_version": "8.0.1.44",
                "agent_ip_addresses_v6": null,
                "agent_device_domain": null,
                "agent_fqdn": "Matthewharding's iPhone 14 Pro",
                "agent_os_type": "iOS",
                "agent_os_sub_type": "16.4.1",
                "agent_data_collection_status": null,
                "mac": null,
                "is_pcap": false,
                "alert_type": "Unclassified",
                "resolution_status": "STATUS_010_NEW",
                "resolution_comment": null,
                "dynamic_fields": null,
                "tags": [
                    "DS:PANW/XDR Agent"
                ],
                "malicious_urls": null,
                "events": [
                    {
                        "agent_install_type": "STANDARD",
                        "agent_host_boot_time": null,
                        "event_sub_type": null,
                        "module_id": "Incoming call or message reported as spam",
                        "association_strength": 50,
                        "dst_association_strength": null,
                        "story_id": null,
                        "event_id": null,
                        "event_type": null,
                        "event_timestamp": 1683342667518,
                        "actor_process_instance_id": null,
                        "actor_process_image_path": null,
                        "actor_process_image_name": null,
                        "actor_process_command_line": null,
                        "actor_process_signature_status": "N/A",
                        "actor_process_signature_vendor": null,
                        "actor_process_image_sha256": null,
                        "actor_process_image_md5": null,
                        "actor_process_causality_id": null,
                        "actor_causality_id": null,
                        "actor_process_os_pid": null,
                        "actor_thread_thread_id": null,
                        "causality_actor_process_image_name": null,
                        "causality_actor_process_command_line": null,
                        "causality_actor_process_image_path": null,
                        "causality_actor_process_signature_vendor": null,
                        "causality_actor_process_signature_status": "N/A",
                        "causality_actor_causality_id": null,
                        "causality_actor_process_execution_time": null,
                        "causality_actor_process_image_md5": null,
                        "causality_actor_process_image_sha256": null,
                        "action_file_path": null,
                        "action_file_name": null,
                        "action_file_md5": null,
                        "action_file_sha256": null,
                        "action_file_macro_sha256": null,
                        "action_registry_data": null,
                        "action_registry_key_name": null,
                        "action_registry_value_name": null,
                        "action_registry_full_key": null,
                        "action_local_ip": null,
                        "action_local_ip_v6": null,
                        "action_local_port": null,
                        "action_remote_ip": null,
                        "action_remote_ip_v6": null,
                        "action_remote_port": null,
                        "action_external_hostname": null,
                        "action_country": "UNKNOWN",
                        "action_process_instance_id": null,
                        "action_process_causality_id": null,
                        "action_process_image_name": null,
                        "action_process_image_sha256": null,
                        "action_process_image_command_line": null,
                        "action_process_signature_status": "N/A",
                        "action_process_signature_vendor": null,
                        "os_actor_effective_username": null,
                        "os_actor_process_instance_id": null,
                        "os_actor_process_image_path": null,
                        "os_actor_process_image_name": null,
                        "os_actor_process_command_line": null,
                        "os_actor_process_signature_status": "N/A",
                        "os_actor_process_signature_vendor": null,
                        "os_actor_process_image_sha256": null,
                        "os_actor_process_causality_id": null,
                        "os_actor_causality_id": null,
                        "os_actor_process_os_pid": null,
                        "os_actor_thread_thread_id": null,
                        "fw_app_id": null,
                        "fw_interface_from": null,
                        "fw_interface_to": null,
                        "fw_rule": null,
                        "fw_rule_id": null,
                        "fw_device_name": null,
                        "fw_serial_number": null,
                        "fw_url_domain": null,
                        "fw_email_subject": null,
                        "fw_email_sender": null,
                        "fw_email_recipient": null,
                        "fw_app_subcategory": null,
                        "fw_app_category": null,
                        "fw_app_technology": null,
                        "fw_vsys": null,
                        "fw_xff": null,
                        "fw_misc": null,
                        "fw_is_phishing": "N/A",
                        "dst_agent_id": null,
                        "dst_causality_actor_process_execution_time": null,
                        "dns_query_name": null,
                        "dst_action_external_hostname": null,
                        "dst_action_country": null,
                        "dst_action_external_port": null,
                        "contains_featured_host": "NO",
                        "contains_featured_user": "NO",
                        "contains_featured_ip": "NO",
                        "image_name": null,
                        "container_id": null,
                        "cluster_name": null,
                        "referenced_resource": null,
                        "operation_name": null,
                        "identity_sub_type": null,
                        "identity_type": null,
                        "project": null,
                        "cloud_provider": null,
                        "resource_type": null,
                        "resource_sub_type": null,
                        "user_agent": null,
                        "user_name": "matthewharding"
                    }
                ],
                "alert_id": "179151",
                "detection_timestamp": 1683342667518,
                "name": "Incoming call or message reported as spam",
                "category": "Spam",
                "endpoint_id": "36c16cd205934e2fbf1bc874a1479b03",
                "description": "A number was reported by the user as spam",
                "host_ip": null,
                "host_name": "Matthewharding's iPhone 14 Pro",
                "mac_addresses": null,
                "source": "XDR Agent",
                "action": "REPORTED",
                "action_pretty": "Detected (Reported)",
                "original_tags": [
                    "DS:PANW/XDR Agent"
                ]
            }
        ]
    }
}

Indicateurs de poussée

Example:

API Endpoint:

POST public_api/v1/indicators/insert_json

Method: Poste

Parameter: Aucun

API Request Endpoint:

{
    "request_data": [
        {
            "severity": "MEDIUM",
            "comment": "\\Device\\HarddiskVolume2\\Windows\\System32\\mavinject.exe",
            "vendors": [
                {
                    "vendor_name": "Netskope Cloud Exchange"
                }
            ],
            "expiration_date": 1704215925000,
            "indicator": "7562cf3c1237df992a6b8885b5ad5eaf1b5c40840bbe0d1ce09c2d61b5a12c44",
            "type": "HASH"
        }
    ],
    "validate": true
}

Matrice de performance

Vous trouverez ci-dessous la lecture des performances réalisée pour la recherche et le partage de 100 000 IOC dans chaque cycle de vie du plugin sur une instance Large CE avec les spécifications ci-dessous.

Détails de la pile	Taille : Grande RAM : 32 GB CPU : 16 cœurs
Indicateurs extraits du Cortex XDR de Palo Alto Networks	~10K per minute
Indicateurs partagés avec Palo Alto Networks Cortex XDR	~16K per minute

Agent utilisateur

L'agent utilisateur ajouté pour ce plugin est au format suivant :

netskope-ce-<CE VERSION>-<MODULE NAME>-<PLUGIN NAME>-v<PLUGIN VERSION>

Exemple

netskope-ce-4.2.0-cte-palo-alto-networks-cortex-xdr-v1.0.0

Workflow

1. Obtenez une clé API de la plateforme Cortex XDR de Palo Alto Networks.
2. Configurez le plugin Cortex XDR de Palo Alto Networks.
3. Ajouter une règle de gestion.
4. Configurez le partage pour Netskope et le Cortex XDR de Palo Alto Networks.
5. Validez le plugin Cortex XDR de Palo Alto Networks.

Cliquer sur « play » pour regarder une vidéo.

Obtenez votre clé API Cortex XDR de Palo Alto Networks

1. Accédez à votre plateforme Cortex XDR de Palo Alto Networks et connectez-vous à l'aide de vos informations d'identification.
2. Dans la barre de navigation en bas à gauche, survolez Settings et sélectionnez Configurations Settings.
   
3. Cliquez sur API Keys, puis cliquez sur New Key.
   
4. Saisissez les informations suivantes :
   • Security Level: Select le niveau de sécurité parmi Advanced/Standard.
   • Role: Créer un rôle personnalisé avec (Détections (View/Edit)/Alertes et incidents (View)).
     
     
   • Enable Expiration Date: Cochez la case dotée d’une clé API pour définir la date d’expiration.
     
5. Cliquez sur Save.
6. Copiez la clé API, car elle ne sera plus accessible après la fermeture de la fenêtre.

Configurez le plugin Cortex XDR de Palo Alto Networks

1. Accédez à Settings > Plugins, recherchez et sélectionnez la boîte CTE Palo Alto Networks Cortex XDR pour configurer le plugin.
2. Saisissez les informations de base :
   • Configuration Name: Nom unique pour la configuration.
   • Sync Interval: Leave the default.
   • Aging Criteria: Durée d'expiration du plugin en jours. (Valeur par défaut : 90)
   • Override Reputation: Définissez une valeur pour remplacer la réputation des indicateurs reçus de cette configuration.
   • Enable SSL Validation: Activer la validation du certificat SSL.
   • Use System Proxy: activez cette option si un proxy est requis pour la communication.
     
3. Cliquez sur Next.
4. Entrez les paramètres de configuration :
   • Base URL: URL de base des points de terminaison de l’API Palo Alto Networks Cortex XDR.
   • API ID: identifiant d’API de l’API Cortex XDR de Palo Alto Networks.
   • API Key: clé secrète de l’API Cortex XDR de Palo Alto Networks.
   • Authentication Method: Type d’authentification que vous choisissez lors de la création du jeton API à partir de Palo Alto Networks Cortex XDR.
   • Enable Polling: Si vous souhaitez extraire un indicateur de Palo Alto Networks Cortex XDR.
   • Type of Threat data to Pull: SHA256/MD5.
   • Severity: Si vous souhaitez extraire des données spécifiques relatives à la gravité.
   • Enable Tagging: Activer/désactiver la fonctionnalité de balisage.
   • Initial Range: Nombre de jours pour extraire les données de la première exécution.
     
5. Cliquez Save.
   

Ajouter une règle de gestion pour Palo Alto Networks Cortex XDR

Pour partager des indicateurs de Netskope CE vers Cortex XDR de Palo Alto Networks, et des indicateurs de Cortex XDR de Palo Alto Networks vers Netskope ou tout autre plugin tiers, vous devez disposer d'une règle métier qui filtrera les indicateurs que vous devez partager. Pour configurer une règle de gestion :

1. Accédez à Threat Exchange > Business Rule et cliquez sur Create New Rule.
   
2. Ajoutez le filtre requis pour les IoC que vous souhaitez partager et cliquez sur Save.
   

Configuration du partage pour Netskope et Palo Alto Networks Cortex XDR

Le plugin Cortex XDR de Palo Alto Networks prend en charge le partage des types d'indicateurs de compromission (IoC) suivants : URL (IPv4, domaine), MD5 et SHA256. Le plugin dispose d'une action Create IoCs qui créera des indicateurs. Pour partager des IoC avec Cortex XDR de Palo Alto Networks, procédez comme suit :

1. Allez à Threat Exchange > Sharing et cliquez sur Add Sharing Configuration.
2. Select votre configuration source (Netskope), la règle métier et la configuration de destination (Palo Alto Networks Cortex XDR), puis, pour Target, saisissez Create IOCs.
3. Cliquez sur Save.
4. Créez une autre configuration de partage pour partager les IoCs Cortex XDR de Palo Alto Networks avec Netskope. Select Palo Alto Networks Cortex XDR comme source et Netskope comme destination.
5. Cliquez Save.
   

Validez le plugin Cortex XDR de Palo Alto Networks

Valider le retrait

1. SHA256,MD5 sont tirés de INCIDENT RESPONSE > Incidents, du plugin Cortex XDR de Palo Alto Networks.

   

2. Cliquez sur Alerts & Insights, puis cliquez sur une alerte pour la développer et trouver les valeurs SHA256 et MD5 qui seront récupérées.
3. En fonction de la configuration de votre plugin, les indicateurs seront tirés du plugin Cortex XDR de Palo Alto Networks vers Netskope CE.
4. Accédez à Threat Exchange > Threat IoCs et recherchez les IoC extraits du plug-in Palo Alto Networks Cortex XDR.

Valider le push

1. Pour vérifier les IoC poussés dans Palo Alto Networks Cortex XDR, rendez-vous sur Palo Alto Networks Cortex XDR Platform > DETECTION RULES > IOC.
2. Les IoCs poussés depuis Netskope ont été VENDORS en tant que Netskope Cloud Exchange.
   
3. Pour valider l’indicateur envoyé dans Threat Exchange, accédez à Threat IoCs et recherchez les IoC partagés avec Palo Alto Networks Cortex XDR.
   Notez que la plateforme Palo Alto Networks Cortex XDR peut prendre en charge jusqu’à 4 millions d’IoC. Une fois cette limite atteinte, tous les indicateurs nouvellement ingérés seront ignorés. 

Dépannage

Réception de l'erreur 400 Client dans les logs lors de l'exécution du cycle de vie du plugin.

Lors de l’enregistrement du plugin, si le plugin ne peut pas être enregistré avec des identifiants valides, 401.

Si vous recevez l'erreur susmentionnée dans le journal lors de la configuration du plugin, vérifiez la méthode d'authentification dans Palo Alto Networks Cortex XDR.

1. Connectez-vous à la plateforme Cortex XDR.
2. Cliquez sur Setting > Configurations.
3. Cliquez sur API Keys.
4. Vérifiez le niveau de sécurité et la méthode d'authentification dans le plugin (les deux doivent être identiques).
   

Lors de la réception d'une permission 403 en tirant ou en poussant des IoCs

Si vous recevez une autorisation 403 lorsque vous tirez ou poussez des IoC, vérifiez les rôles sur le Cortex XDR de Palo Alto Networks.

1. Connectez-vous à la plateforme Cortex XDR.
2. Allez sur Setting > Configurations > Roles.
3. Vérifiez les rôles.
4. Développez INCIDENT RESPONSE.
   Les alertes et les incidents doivent disposer de l’autorisation d’affichage.
   
5. Développez DETECTION & Threat INTEL.
   Les règles doivent disposer des autorisations Afficher/Modifier.
   

Lorsqu'il n'est pas possible de récupérer les IoC de Palo Alto Networks Cortex XDR

Si vous ne parvenez pas à récupérer les IoC de Palo Alto Cortex vers Netskope Threat Exchange.

1. Connectez-vous à Palo Alto Networks Cortex XDR.
2. Cliquez sur Incident Response > Incidents.
3. Vérifiez que les alertes sont présentes lorsque vous cliquez sur Incident > Alerts & Insights.