Press CTRL+K to open search

CatoデータとPalo Alto Cortexの統合

  • 更新日 Oct 23, 2026
  • 公開日 Sep 24, 2026
  • 1 分で読めます
Prev Next

Important: This integration is a preview and subject to change. The certification process is underway.

概要

Palo Alto Cortexの統合を使用して、既存のモニタリング、相関、および調査ワークフローにCatoネットワークとセキュリティデータを含めましょう。ネイティブ統合により、CatoからCortexテナントにデータが直接送信され、他のソースからのデータと一元化されたプラットフォームでCatoのアクティビティを分析できます。これにより、追加のデータ収集メカニズムを必要とせずに、SOCがデータを相関、アラートを作成、脅威を追跡するのに役立ちます。

Palo Alto Cortexデータソース

Palo Alto Cortexの統合は、データソースを2つサポートしています。

  • イベント: ネットワークまたはシステム内で特定のアクティビティが発生したときに生成されます。例えば、ポリシールールに一致した場合、脅威が検出された場合など。これらの記録は、セキュリティとポリシーの施行に関する詳細でリアルタイムの洞察を提供します。データはCatoのイベントスキーマを使用して送信されます。

  • フロー: ネットワークフロー（5タプル）として開始され、Catoエンジンから利用可能になるにつれてアプリケーションレベルの情報で充実されます。フローには、アプリケーションとユーザーのコンテキストに加え、バイト、パケット、期間などのセッションデータが集約されて含まれ、時間を超えたネットワーク活動の完全な概要を提供します。 appStatsスキーマはフローフィールドの完全なセットを表しています。

デフォルトでは、新しい統合はイベントのみをエクスポートします。フローデータソースは、イベントデータソースよりもはるかに多くのデータを生成することができます。正確な量はトラフィックに依存します。 CMAで複数の統合を設定して、必要に応じて異なるデータソースを送信できます。

前提条件

  • コネクタを追加するには、統合（リソースセクション内）に対する編集者権限が必要です。詳細については、RBACを使用した管理者ロールの管理を参照してください。

  • Cortexテナントは、カスタム - HTTPベースのコレクタデータソースを追加する許可を持っています。

  • お客様のCortex吸収URLおよびHTTPコレクタートークン。

  • イベント統合の開始で、すべてのCatoイベント統合の前提条件を確認してください。

使用ケース

イベント

サンプル会社は、統一されたセキュリティモニタリングのためにCortexを使用しています。 Catoの顧客として、ネットワーク活動、脅威、ユーザーデータ、デバイス、およびCatoプラットフォームを通過するトラフィックの他のすべての側面に関するCatoデータがあります。管理者はこの統合を使用してデータを直接Cortexに送信し、SOCチームが他のソースと一緒に作業します。

フロー

サンプル会社のセキュリティアナリストが、データのエクスフィルトレーションに関連する可能性のある高リスクアプリケーションにユーザーがアクセスしたという疑わしいイベントを特定しました。 Catoイベントのみを使用して、アナリストはポリシーの決定、ユーザーID、およびアプリケーションを見ることができますが、どれだけのデータが転送されたか、セッションがどれだけ続いたかはわかりません。

集約されたフローデータにより、アナリストはセッション全体のコンテキストを閲覧し、転送された総バイト数、パケット数、およびセッションの期間を含めることができます。これにより、アナリストはアクティビティが最小限の対話を伴うものであったか、エクスフィルトレーションを示唆する可能性のある大量のデータ転送を伴うものかを判断できます。

Palo Alto Cortex統合の作成

CortexにCatoデータを送信するには、CortexでHTTPコレクタを作成し、エンドポイントがデータを受け入れることを確認し、その後CMAで統合を作成します。

ステップ1: CortexでHTTPコレクタを作成

Cortexはトークン値を生成時のみ表示します。ダイアログを閉じる前にコピーしてください。紛失した場合、新しいトークンを生成し、それを使用してください。

コレクタを作成するには:

  1. Cortexテナントにログインします。

  2. カスタム - HTTPベースのコレクタに移動し、インスタンスを追加をクリックします。

  3. HTTPログ収集を有効化ダイアログで、名前、例えばCato Networksを入力します。

  4. 圧縮を非圧縮に設定し、ログフォーマットをJSONに設定します。

  5. （オプション）、ベンダーと製品をCato_Networksに設定します。

  6. 保存 & トークン生成をクリックします。

  7. トークン値をコピーして安全に保管し、コレクタのインジェストURLをメモします。

ステップ2: curlでエンドポイントをテスト

CMAでの統合を設定する前に、APIキー、エンドポイント、およびインデックスが機能することを確認します。これは、Cortex側の問題をCMA統合の問題から隔離するのに役立ちます。

Cortex HTTPコレクタはリクエストボディを改行区切りのJSONとして解析するため、リクエストにはContent-Type: application/x-ndjsonヘッダーを含める必要があります。

インタラクティブなBashシェルで全体の例を実行します（必要に応じて最初にbashを実行します）。隠れたプロンプトで資格情報を入力し、それらをコマンドに挿入しないでください。例はシェルトレースを無効にし、--header @-を使用して認証ヘッダーを標準入力を通じて渡し、シェル履歴やcurlコマンドライン引数から資格情報を保持します。例が終了すると、一時的な資格情報変数は破棄されます。

(
  set +axv
  set -euo pipefail
  unset CATO_TEST_TOKEN
  IFS= read -r -s -p 'Cortex HTTPコレクタトークン: ' CATO_TEST_TOKEN
  builtin printf '\n' >&2
  case "$CATO_TEST_TOKEN" in
    ''|*$'\r'*) builtin printf '改行なしで空でない資格情報を入力してください。\n' >&2; exit 1 ;;
  esac

  builtin printf '%s\n' "Authorization: ${CATO_TEST_TOKEN}" | \
    curl -q -X POST "https://<your-collector-url>" \
  --header @- \
  -H "Content-Type: application/x-ndjson" \
  --data-binary $'{"message":"curlからのテストイベント","event_type":"テスト"}\n'
)

  1. <your-collector-url> をあなたのコレクタURLに置き換えます。

  2. 1ステップでのHTTPコレクタのトークンを隠れたプロンプトで入力してください。
    成功したリクエストはHTTP 2xxステータスを返します。

  3. Cortexで「curlからのテストイベント」を検索して、ドキュメントが届いたことを確認します。

ステップ3: CMAで統合を作成する

Palo Alto Cortex統合を作成するには:

  1. CMAのナビゲーションメニューから、リソース > 統合 に移動します。

  2. 設定済みの統合タブを開き、「新規」をクリックします。
    新しい統合パネルが開きます。

  3. Palo Alto Cortex を選択します。機能が自動的にデータエクスポートに設定されます。

  4. 認証ドロップダウンで、Palo Alto Cortex用HTTPコレクタートークン認証を選択します。

  5. この統合の名前とオプションの説明を入力します。

  6. ステップ2でテストしたインジェスションURLを入力します。例: https://api-tenant.xdr.us.paloaltonetworks.com/logs/v1/event。

  7. Cortexで生成したHTTPコレクタートークンを入力します。

  8. データソースで、イベント、フローまたはその両方を選択します。

  9. （オプション） Cortexに送信するデータを制御するフィルターを以下で説明されているように追加します。

  10. 「保存」をクリックします。

統合ページを更新します。統合は、 接続済み ステータスで 設定済みの統合 テーブルに表示されます。

フィルター

CatoデータをCortexにエクスポートするためにフィルターを使用します。これにより、インジェスションコストが削減され、ノイズが抑制され、特定のサイト、ユーザー、または地域に最も関連するデータに調査を集中させることができます。また、フィルターを使用して、異なるSIEM環境に異なるデータのサブセットをルーティングすることもできます。

フィルターグループを使用して、イベントフィールドまたはフィールドの組み合わせに基づいてフィルターを定義します。各グループ内の条件はANDロジックが使用されます。 ORロジックはグループ間で適用されます。

  • イベントフィルター - 条件を定義するためにフィルターの追加をクリックするか、フィルターグループを追加するためにグループの追加をクリックします。

  • フローフィルター - データソースとしてフローを選択すると利用可能になります。それはイベントフィルターと同じ論理に従います。

フィルターが狭すぎると、エラーを表示することなくすべてが除外される可能性があります。統合を保存した後、Cortexにデータが届かない場合は、まずフィルター設定を確認してください。

トラブル解決

問題点

解決

統合で接続エラーが表示されます

Ingestion URLとHTTPコレクタートークンが正しく入力されていること、そしてそれがステップ2でテストした内容と一致していることを確認してください。 Cortexでトークンが取り消されていないことを確認してください。

イベントが到着しますが、解析されたフィールドの代わりに生のテキストとして表示されます

ステップ1で説明したように、コレクターがJSONログ形式および非圧縮に設定されていることを確認してください。

Cortexにイベントが到着しません

イベントフィルターを確認してください。フィルターが狭すぎると、エラーを報告せずにすべてのデータが除外されることがあります。

Cortexにフローが到着しません

データソースでフローが選択されていることを確認し、フローフィルターに過度に制限的な条件がないか確認してください。

保存後、統合に接続済みのステータスが表示されません

統合ページを更新してください。ステータスが変わらない場合、CortexにあるHTTPコレクタートークンとインジェストURLを確認してください。

関連記事