このドキュメントでは、Palo Alto Networks Panorama v1.0.0 プラグインを Netskope Cloud Exchange プラットフォームの Threat Exchange モジュールと連携させる方法について説明します。Palo Alto Networks Panoramaプラグインは、Wildfireログからドメイン、IPアドレス、ファイルハッシュ（SHA256）に関する情報を取得し、URLフィルタリングログからURLを取得します。
前提条件
この設定を完了するには、以下が必要です。
Panoramaプラグインのサポート
Palo Alto Networks Panoramaプラグインは WildfireログからSHA256ファイルハッシュを、URLフィルタリングログからURLを取得します。 このプラグインは、IoC（侵害指標）をPalo Alto Networks Panoramaと共有する機能をサポートしていません。
| 取得したインジケーターの種類 | 共有指標タイプ |
|---|---|
| SHA256、URL | サポートされていません |
マッピング
プルマッピング
| Netskope CE Fields | パロアルトネットワークス パノラマフィールズ |
|---|---|
| value | Wildfireログからのファイルハッシュ（SHA256） またはURLフィルタリングログ（URL）からのURL |
| タイプ | タイプ |
| firstSeen | first_timestamp |
| lastSeen | last_timestamp |
| 重大度 | 重大度 |
| tags | tags |
| コメント | ファイル名: レスポンスからのその他のデータ |
Note: コメントは、タイプが filehases(SHA256) のインジケーターにのみ表示されます。
権限
APIキーには、指標を取得するためにXML APIへのアクセス権限が付与されている必要があります。パノラマプラットフォーム の公式ドキュメント に従ってユーザーに許可を与えてください。
APIの詳細
使うAPI一覧
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| /api | 得る |
|
ログを取得するためにジョブIDを取得します
API Endpoint: BASE_URL/api
Method: GET
Request Params
| 鍵 | Value |
|---|---|
| 鍵 | Api-key |
| タイプ | タイプ |
| log_type | Wildfire (マルウェア用) または Url (URL用) |
| query | (time_generated geq '<last_run_time>') |
| nlogs | 5000 |
| dir | forward |
Sample API Response
{
"response": {
"@status": "success",
"@code": "19",
"result": {
"msg": {
"line": "query job enqueued with jobid 160"
},
"job": "160"
}
}
}
WildfireとURLから指標を取得する
API Endpoint: BASE_URL/api
Method: GET
Request Params
| 鍵 | Value |
|---|---|
| 鍵 | Api-key |
| タイプ | タイプ |
| action | get |
| job-id | job-id |
Sample API Response
{
"response": {
"@status": "success",
"result": {
"job": {
"tenq": "23:56:16",
"tdeq": "23:56:16",
"tlast": "16:00:00",
"status": "ACT",
"id": "165",
"cached-logs": "0"
},
"log": {
"logs": {
"@count": "0",
"@progress": "0"
}
}
}
}
}
ワークフロー
- 必要な権限を持つ管理者ロールを作成します。
- 管理者ユーザーを作成します。
- APIキーを取得してください
- Panoramaプラグインを設定する
- Panoramaプラグインを検証してください。
再生ボタンをクリックして動画をご覧ください。
Panorama Base URLとAPIキーを取得してください。
必要な権限を持つ管理者ロールプロファイルを作成します。
ウェブ UI で、次のオプションを有効にします。
- Monitor
- ログ
- URLフィルタリング
- WildFireへの投稿
XML APIで、以下のオプションを有効にしてください。
- Log
- Configuration
その他の権限は必要ないため、他のオプションはすべて無効にできます。
参考として、以下のスクリーンショットをご覧ください。
完了したら、 OKをクリックしてください。
管理者ユーザーを作成する
プロファイルが作成されたら、 Panorama > Administratorsに移動して新しい管理者ユーザーを作成してください。
- Administrator TypeとしてCustom Panorama Admin Select 。
- Profileセクションで、前の手順で作成したAdmin Roleを選択します。
- OKをクリックしてください。
参考までにスクリーンショットを添付します。
APIキーを取得してください
プラグインを設定するには、 API Keyが必要です。Panorama のドキュメントに記載されている手順に従って API キーを取得できます: API キーの取得。
Palo Alto Networks Panoramaプラグインの設定
- Cloud Exchange で、 Settings > Pluginsに移動します。
- Palo Alto Networks Panoramaのボックスを検索して選択してください。
- 基本情報を入力してください：
- 構成名：構成の一意の名前。
- 同期間隔：デフォルトのままにしてください。
- 経過年数基準：デフォルトのままにする。
- 評判設定の上書き：デフォルトのままにする。
- タグ集約戦略：既存のIoCに新しいタグを追加するか、上書きするかを選択します。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
- SSL検証を有効にする：通信にSSL検証が必要な場合は有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
- Nextをクリックしてください。
- Enter the configuration parameters:
- ベース URL: ベース URL は Panorama デバイスの IP アドレスまたはドメイン名です。例: https:// <your-panorama-domain> 。
- APIキー：ファイアウォールとPanoramaのAPIキーを使用すると、XML APIおよびREST APIへのAPI呼び出しを認証できます。
- 脅威データの種類: 脅威データの種類Select 。 ファイルハッシュのみを取得する場合は「」を、URLのみを取得する場合は「URL」を、両方を取得する場合は「両方」を選択してSelect 。
- 初期範囲（日数）：初回実行時にデータを取得する日数。
- Saveをクリックしてください。
- これでプラグインが設定され、プラグインの設定が Threat Exchange > Plugins.
Panorama 用の脅威交換ビジネスルールを設定する
Palo Alto Networks Panoramaから取得した指標をNetskope CEに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。
- Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
- ルールに要件に応じてフィルターを追加し、 Saveをクリックします。
Panoramaの共有設定
Palo Alto Networks PanoramaからCloud ExchangeへIoCを共有するには：
- Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
- ソース構成（CTE Palo Alto Networks Panorama）、ビジネスルール、宛先構成（CTE Netskope ）、およびターゲットSelect 。
- Saveをクリックしてください。
Palo Alto Networks Panoramaプラグインを検証する
プルを検証する
Palo Alto Networks Panoramaで取得可能なデータを確認するには：
- Panoramaインスタンスにログインしてください。
- Monitor > Wildfire Submissions.
に移動してください。このページからファイルハッシュを取得しています。これらのログがこちらに表示されると、Cloud Exchangeにインジケーターが取得されます。
- Monitor > URL Filtering .
へ移動してください。このページからURLを取得しています。したがって、このページにログがあれば、Cloud Exchangeでインジケーターとして取得されます。
Panoramaプラグインのトラブルシューティング
Palo Alto Networks Panorama プラットフォームから IoC をプルできません
プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。
- プラットフォーム上にはプル可能なIoCがありません
- 指定された期間にIoCが利用できないか、構成パラメータと一致しません。
What to do: 上記から根本原因を特定し、以下の手順に従って問題を解決してください。
プラットフォーム上にはプル可能なIoCがありません
プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。
指定された期間のIOCは利用できません
プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Palo Alto Networks Panorama プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。
指定された時間範囲のデータがまだ利用可能な場合、プラグイン構成で指定されたフィルタ（、URL）のIoCが利用できない可能性があるため、プラグイン構成パラメータの値を確認し、Palo Alto Networks Panoramaで同じフィルタを適用してください。 。
Palo Alto Networks Panoramaプラグインを構成できません
原因としては、以下のいずれかが考えられます。
- 無効なベースURL
- Inavalid API key
What to do: 根本原因を特定し、指定された問題に対する手順に従ってください。
無効なベースURL
前提条件のセクションを参照し、Palo Alto Networks Panoramaインスタンスが正しく動作していることを確認してください。
Invalid API key
Palo Alto Networks Panoramaインスタンスの有効なAPIキーを取得するには、 「APIキーの取得」セクションを参照してください。
制限
現時点では、10万個のインジケーターの取得のみをサポートしており、取得には約2時間半かかり、その後Cloud Exchangeに保存するのにさらに数時間かかります。 取得するデータが 100k を超える場合、データの取得に時間がかかりすぎたり、 Cloud Exchange Cloud Exchange Exchange でパフォーマンスの問題が発生する可能性があります。 この問題は、Cloud Exchangeの次期リリースで修正される予定です。