Cato ডেটাকে Palo Alto Cortex এর সাথে ইন্টিগ্রেট করা

সারসংক্ষেপ

Palo Alto Cortex ইন্টিগ্রেশন ব্যবহার করে আপনার বিদ্যমান মনিটরিং, সম্পর্কন, এবং তদন্ত ওয়ার্কফ্লোগুলিতেও Cato নেটওয়ার্ক এবং নিরাপত্তা ডেটা অন্তর্ভুক্ত করুন। নেটিভ ইন্টিগ্রেশন Cato থেকে আপনার Cortex টেন্যান্টে সরাসরি ডেটা পাঠায়, যাতে আপনি কেন্দ্রীয় প্ল্যাটফর্মে অন্যান্য উৎসের ডেটার পাশাপাশি Cato কার্যকলাপ বিশ্লেষণ করতে পারেন। এটি আপনার এসওসি ডেটা সম্পর্কিত, সতর্কতা তৈরি, এবং হুমকি অনুসন্ধান করতে সাহায্য করে, অতিরিক্ত ডেটা সংগ্রহ প্রক্রিয়া প্রয়োজন ছাড়াই।

Palo Alto Cortex ডেটা উৎসসমূহ

Palo Alto Cortex ইন্টিগ্রেশন দুটি ডেটা উৎসকে সমর্থন করে:

• ইভেন্ট - নেটওয়ার্ক বা সিস্টেমে নির্দিষ্ট কার্যকলাপ সংঘটিত হলে তৈরি হয়, যেমন নীতি নিয়ম মিলা বা হুমকি সনাক্ত হওয়া। এই রেকর্ডগুলি নিরাপত্তা এবং নীতি প্রয়োগের উপর সুনির্দিষ্ট, বাস্তব-সময়ের অন্তর্দৃষ্টি প্রদান করে। ডেটা পাঠানো হচ্ছে Cato এর ইভেন্ট স্কিমা ব্যবহার করে।

• প্রবাহ - নেটওয়ার্ক প্রবাহ (5-টাপল) হিসেবে শুরু হয় এবং Cato ইঞ্জিন থেকে অ্যাপ্লিকেশন স্তরে তথ্য পাওয়া গেলে সমৃদ্ধ হয়। অ্যাপ্লিকেশন এবং ব্যবহারকারী প্রেক্ষাপটের পাশাপাশি, প্রবাহে ক্ষণিকের ডেটা যেমন বাইট, প্যাকেট এবং সময়কাল অন্তর্ভুক্ত থাকে, যা সময়ের সাথে নেটওয়ার্ক কার্যকলাপের একটি পূর্ণাঙ্গ দৃশ্য প্রদান করে। appStats স্কিমা প্রবাহ ক্ষেত্রের সম্পূর্ণ সেট উপস্থাপন করে।

ডিফল্টরূপে, নতুন ইন্টিগ্রেশন শুধুমাত্র ইভেন্ট রপ্তানি করে। প্রবাহ ডেটা উৎস ইভেন্টের তুলনায় উল্লেখযোগ্যভাবে বেশি ডেটা তৈরি করতে পারে। সঠিক ভলিউম আপনার ট্রাফিকের উপর নির্ভর করে। আপনি CMA-তে একাধিক ইন্টিগ্রেশনের কনফিগার করতে পারেন, এবং প্রয়োজন অনুযায়ী ভিন্ন ভিন্ন ডেটা উৎস পাঠাতে পারেন।

প্রার্থাসূচি

• কানেক্টর যোগ করতে, সম্পদ বিভাগে ইন্টিগ্রেশনদের জন্য আপনার সম্পাদক অনুমতি থাকতে হবে ()। আরও তথ্যের জন্য, দেখুন RBAC ব্যবহার করে Admin ভূমিকা পরিচালনা।

• একটি Cortex টেন্যান্টে কাস্টম - HTTP ভিত্তিক সংগ্রাহক ডেটা উৎস যোগ করার অনুমতি সহ।

• আপনার Cortex গ্রহণকারী URL এবং HTTP সংগ্রাহক টোকেন।

• Getting Started with Event Integrations এ সকল Cato ইভেন্ট ইন্টিগ্রেশনের জন্য পূর্বশর্তগুলি পর্যালোচনা করুন।

ব্যবহার কেস

ঘটনাসমূহ

Sample Company কেন্দ্রীয় নিরাপত্তা মনিটরিং-এর জন্য Cortex ব্যবহার করে। Cato গ্রাহক হিসেবে, তাদের কাছে নেটওয়ার্ক কার্যকলাপ, হুমকি, ব্যবহারকারীর তথ্য, ডিভাইস এবং Cato প্ল্যাটফর্মে প্রবাহিত সমস্ত ট্র্যাফিকের মতো সব অন্যান্য দৃষ্টিকোণ থেকে Cato ডেটা রয়েছে। অ্যাডমিন এই ইন্টিগ্রেশন ব্যবহার করে সরাসরি ডেটা Cortex এ পাঠান, যেখানে এসওসি দল অন্যান্য উৎসের সাথে এটি নিয়ে কাজ করে।

প্রবাহ

Sample Company-এ একটি নিরাপত্তা বিশ্লেষক একটি সন্দেহজনক ঘটনা চিহ্নিত করেন যেখানে একটি ব্যবহারকারী একটি উচ্চ ঝুঁকির অ্যাপ্লিকেশনটি অ্যাক্সেস করেছেন যা ডেটা এক্সফিল্ট্রেশনের সাথে যুক্ত হতে পারে। কেবলমাত্র Cato ইভেন্ত ব্যবহার করে, বিশ্লেষক নীতি সিদ্ধান্ত, ব্যবহারকারীর পরিচয়, এবং অ্যাপ্লিকেশন দেখতে পারেন, কিন্তু কত ডেটা স্থানান্তরিত হয়েছে বা কতক্ষণ সেশন চলেছিল তা দেখতে পারেন না।

সংগ্রহিত প্রবাহ ডেটা সহ, বিশ্লেষক সম্পূর্ণ সেশন প্রেক্ষাপট দেখতে পারেন, যেখানে মোট স্থানান্তরিত বাইট, প্যাকেট সংখ্যা, এবং সেশন সময়কাল অন্তর্ভুক্ত। এটি বিশ্লেষককে নির্ধারণ করতে সহায়তা করে যে অ্যানোমালি কার্যকলাপে সামান্য মিথস্ক্রিয়া ছিল বা বড় ডেটা স্থানান্তর যা এক্সফিল্ট্রেশন নির্দেশ করতে পারে।

পালো আল্টো কর্টেক্স ইন্টিগ্রেশন তৈরি করা হচ্ছে

Cato ডেটা Cortex-এ পাঠানোর জন্য, Cortex-এ একটি এইচটিটিপি কালেক্টর তৈরি করুন, নিশ্চিত করুন যে এন্ডপয়েন্টটি ডেটা গ্রহণ করছে, এবং তারপর CMA-তে ইন্টিগ্রেশন তৈরি করুন।

ধাপ ১: Cortex-এ HTTP কালেক্টর তৈরি করুন

কর্টেক্স টোকেন মানটি শুধুমাত্র তখনই প্রদর্শন করে যখন এটি তৈরি করা হয়। ডায়ালগ বন্ধ করার আগে এটি কপি করুন। যদি আপনি এটি হারান, একটি নতুন টোকেন তৈরি করুন এবং সেটি ব্যবহার করুন।

কালেক্টর তৈরি করতে:

1. আপনার Cortex টেনান্টে লগ ইন করুন।

2. কাস্টম - HTTP ভিত্তিক কালেক্টর এ যান এবং ইনস্ট্যান্স যোগ করুন এ ক্লিক করুন।

3. HTTP লগ সংগ্রহ সক্রিয় করুন ডায়ালগে, একটি নাম লিখুন, যেমন Cato Networks।

4. কম্প্রেশন কে আনকমপ্রেসড এবং লগ ফরম্যাট কে JSON হিসেবে সেট করুন।

5. (ঐচ্ছিক) ভেন্ডর এবং প্রোডাক্ট কে Cato_Networks হিসেবে সেট করুন।

6. সংরক্ষণ & টোকেন তৈরি করুন এ ক্লিক করুন।

7. টোকেন মান কপি করুন এবং এটি নিরাপদে সংরক্ষণ করুন, এবং কালেক্টরের জন্য ইনজেশন ইউআরএল নোট করুন।

ধাপ ২: curl দিয়ে এন্ডপয়েন্ট পরীক্ষা করুন

আপনি CMA-তে ইন্টিগ্রেশন কনফিগার করার আগে নিশ্চিত করুন যে আপনার এপিআই কী, এন্ডপয়েন্ট, এবং সূচক কাজ করছে। এটি Cortex-পক্ষের সমস্যাগুলিকে CMA ইন্টিগ্রেশনের সমস্যাগুলির থেকে আলাদা করতে সাহায্য করে।

কর্টেক্স HTTP কালেক্টর অনুরোধের বডিটিকে নতুন লাইনে-সমাপ্ত JSON হিসেবে বিশ্লেষণ করে, তাই অনুরোধটির Content-Type: application/x-ndjson হেডার থাকতে হবে:

ইন্টারেক্টিভ Bash শেলের মধ্যে পুরো উদাহরণটি চালান (প্রয়োজন হলে প্রথমে bash চালান)। গোপন প্রম্পটগুলিতে শংসাপত্রগুলি প্রবেশ করান; কমান্ডে সেগুলি প্রবেশ করাবেন না। উদাহরণটি শেল ট্রেসিং নিষ্ক্রিয় করে এবং --header @- ব্যবহার করে নির্দিষ্ট ইনপুটের মাধ্যমে প্রমাণীকরণ হেডার পাস করে, শেল ইতিহাস এবং curl কমান্ড-লাইন আর্গুমেন্ট থেকে শংসাপত্রগুলি রাখে। উদাহরণটি শেষ হলে অস্থায়ী শংসাপত্র ভেরিয়েবলগুলি বাতিল করা হয়।

(
  set +axv
  set -euo pipefail
  unset CATO_TEST_TOKEN
  IFS= read -r -s -p 'Cortex HTTP collector token: ' CATO_TEST_TOKEN
  builtin printf '\n' >&2
  case "$CATO_TEST_TOKEN" in
    ''|*$'\r'*) builtin printf 'Enter a nonempty credential without carriage returns.\n' >&2; exit 1 ;;
  esac

  builtin printf '%s\n' "Authorization: ${CATO_TEST_TOKEN}" | \
    curl -q -X POST "https://<your-collector-url>" \
  --header @- \
  -H "Content-Type: application/x-ndjson" \
  --data-binary $'{"message":"test event from curl","event_type":"test"}\n'
)

1. <আপনার-সংকলক-ইউআরএল> এর পরিবর্তে আপনার সংকলক ইউআরএল রাখা।

2. লুকানো প্রম্পটে ধাপ 1 থেকে এইচটিটিপি সংগ্রাহক টোকেন লিখুন।
   কোনো সফল অনুরোধ একটি HTTP 2xx স্ট্যাটাস ফিরিয়ে দেয়।

3. কোর্টেক্সে কার্ল থেকে পরীক্ষা ইভেন্ট অনুসন্ধান করুন যাতে নিশ্চিত হয়।

ধাপ 3: CMA তে সংহতি তৈরি করুন

পালো আল্টো কোর্টেক্স সংহতি তৈরি করতে:

1. CMA এর নেভিগেশন মেনু থেকে সম্পদগুলি > ইন্টিগ্রেশন এ যান।

2. কনফিগার্ড ইন্টিগ্রেশন ট্যাব খুলুন এবং নতুন ক্লিক করুন।
   নতুন ইনটিগ্রেশন প্যানেল খুলেছে।

3. Palo Alto Cortex নির্বাচন করুন। ক্ষমতা স্বয়ংক্রিয় ভাবে ডেটা রপ্তানি সেট করা হয়েছে।

4. প্রমাণীকরণ ড্রপ-ডাউনে, Palo Alto Cortex এর জন্য HTTP সংগ্রাহক টোকেন প্রমাণীকরণ নির্বাচন করুন।
   

5. এই ইন্টিগ্রেশনের জন্য একটি নাম এবং ঐচ্ছিক বিবরণ প্রবেশ করান।

6. ধাপ 2 এ পরীক্ষা করা গ্রহণকারী URL লিখুন, যেমন https://api-tenant.xdr.us.paloaltonetworks.com/logs/v1/event.

7. কোর্টেক্সে তৈরি করা এইচটিটিপি সংগ্রাহক টোকেন লিখুন।

8. ডেটা সোর্সের অধীনে, ইভেন্টগুলি, প্রবাহ, বা উভয় নির্বাচন করুন।

9. (ঐচ্ছিক) কোন ডেটা কোর্টেক্সে পাঠানো হবে তা নিয়ন্ত্রণ করতে ফিল্টার যোগ করুন, জুকছিনে দেখানো হয়েছে.

10. সংরক্ষণ করুন চেপে।

ইন্টিগ্রেশন পাতা রিফ্রেশ করুন। কনফিগার্ড ইন্টিগ্রেশন টেবিলে সংযুক্ত স্ট্যাটাস সহ ইন্টিগ্রেশন প্রদর্শিত হয়।

ফিল্টারগুলো

কোন Cato ডেটা কোর্টেক্সে রপ্তানি হবে তা নিয়ন্ত্রণ করতে ফিল্টার ব্যবহার করুন। এটি গ্রহণ সীমিত খরচ কমানোর, শব্দ কমাতে এবং নির্দিষ্ট সাইট, ব্যবহারকারী অথবা এলাকার সঙ্গে সম্পর্কিত ডেটার উপরে তদন্তের দিকে মনোযোগ দিতে সাহায্য করে। আপনি বিভিন্ন SIEM পরিবেশে ডেটার বিভিন্ন উপসেট রাউট করতে ফিল্টার ব্যবহার করতে পারেন।

ফিল্টার গ্রুপ ব্যবহার করে যেকোনো ইভেন্ট ফিল্ড বা ক্ষেত্রের সংমিশ্রণের উপর ভিত্তি করে ফিল্টার নির্ধারণ করুন। প্রতিটি গ্রুপের মধ্যে শর্তগুলি AND লজিক ব্যবহার করে। গ্রুপগুলির মধ্যে OR লজিক প্রয়োগ করা হয়।

• ইভেন্ট ফিল্টার - একটি শর্ত নির্ধারণ করতে ফিল্টার যোগ করুন অথবা একটি ফিল্টার গ্রুপ যোগ করতে গ্রুপ যোগ করুন ক্লিক করুন।

• প্রবাহের ফিল্টার - প্রবাহ হল তথ্য উৎস হিসেবে নির্বাচিত হলে উপলব্ধ থাকে। এটি ইভেন্ট ফিল্টার হিসাবে একই যুক্তি অনুসরণ করে।

অতি সংকীর্ণ ফিল্টার সবকিছু বাদ দিতে পারে কোনো ত্রুটি প্রদর্শন না করে। আপনি ইন্টিগ্রেশন সংরক্ষণ করার পর যদি Cortex-এ কোনো তথ্য না আসে তবে আগে ফিল্টার কনফিগারেশন পরীক্ষা করুন।

দ্রুত ত্রুটি নির্ণয়