Реагирование с помощью Palo Alto NGFW

Palo Alto NGFW – это решение, обеспечивающее следующие средства защиты вашей корпоративной сети:

• Сетевой экран – фильтрация сетевого трафика для защиты сети от несанкционированного доступа.
• Защита от вторжений и атак – выявление и блокирование подозрительных действий для обеспечения целостности системы.
• Защита от вредоносных приложений – предотвращение заражения вредоносными приложениями.
• Веб-фильтрация – ограничение доступа пользователей к сайтам, которые вы считаете нежелательными.

Поддерживается PAN-OS (операционная система, работающая под управлением Palo Alto NGFW) версии 11.1.6–h7.

Вы можете реагировать на алерты и инциденты с помощью Palo Alto NGFW, если вы ранее настроили интеграцию между Kaspersky Symphony XDR и службой запуска скриптов, а также создали плейбук, который запустит скрипт для реагирования. Если вы хотите просмотреть примеры плейбуков, перейдите по этой ссылке.

В результате запуска плейбука Palo Alto NGFW блокирует IP-адреса или URL, в зависимости от действия, которое вы указали при создании плейбука. Чтобы разблокировать IP-адреса или URL, которые вы заблокировали, вам нужно создать и запустить другой плейбук.

Вы можете скачать скрипт, перейдя по этой ссылке:

Загрузить скрипт

Вам нужно настроить скрипт в соответствии с инструкциями файла README:

1. Переименовать файл config.ini.example в config.ini.
2. Указать в файле адрес устройства, на котором развернут Palo Alto NGFW, и ключ API, который вы ранее сгенерировали в интерфейсе Palo Alto NGFW, или полученный с помощью следующей команды из директории, в которой хранится скрипт:

   python main.py --get-api-key

При необходимости вы также можете изменить группы и политики по умолчанию, в которые должны быть добавлены IP-адреса или URL.

Чтобы выполнить действие по реагированию с помощью Palo Alto NGFW, у вас должна быть одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня или Аналитик 2-го уровня.

Чтобы запустить скрипт для реагирования с помощью Palo Alto NGFW:

1. В главном меню перейдите в раздел Мониторинг, а затем в разделах Алерты или Инциденты нажмите на идентификатор нужного алерта или инцидента.
2. Нажмите на кнопку Выбрать плейбук и в открывшемся окне выберите плейбук, который вы создали для реагирования с помощью Palo Alto NGFW.
3. Нажмите на кнопку Запустить.

   Выбранный плейбук запустит скрипт для реагирования с помощью Palo Alto NGFW.

   Если операция выполнена успешна, на экране отобразится соответствующее сообщение. Иначе отображается сообщение об ошибке.

Результат запуска плейбука доступен в деталях алерта или инцидента на вкладке История.