---
title: "CatoデータとPalo Alto Cortexの統合"
slug: "integrating-cato-data-with-cortex-xdr"
updated: 2026-10-23T23:15:30Z
published: 2026-10-23T23:15:30Z
canonical: "knowledge.catonetworks.com/integrating-cato-data-with-cortex-xdr"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# CatoデータとPalo Alto Cortexの統合

> [!TIP]
> **Important:** This integration is a preview and subject to change. The certification process is underway.

## **概要**

Palo Alto Cortexの統合を使用して、既存のモニタリング、相関、および調査ワークフローにCatoネットワークとセキュリティデータを含めましょう。ネイティブ統合により、CatoからCortexテナントにデータが直接送信され、他のソースからのデータと一元化されたプラットフォームでCatoのアクティビティを分析できます。これにより、追加のデータ収集メカニズムを必要とせずに、SOCがデータを相関、アラートを作成、脅威を追跡するのに役立ちます。

### **Palo Alto Cortexデータソース**

Palo Alto Cortexの統合は、データソースを2つサポートしています。

- **イベント:** ネットワークまたはシステム内で特定のアクティビティが発生したときに生成されます。例えば、ポリシールールに一致した場合、脅威が検出された場合など。これらの記録は、セキュリティとポリシーの施行に関する詳細でリアルタイムの洞察を提供します。データはCatoの[イベントスキーマ](https://api.catonetworks.com/documentation/#definition-EventFieldName)を使用して送信されます。
- **フロー:** ネットワークフロー（5タプル）として開始され、Catoエンジンから利用可能になるにつれてアプリケーションレベルの情報で充実されます。フローには、アプリケーションとユーザーのコンテキストに加え、バイト、パケット、期間などのセッションデータが集約されて含まれ、時間を超えたネットワーク活動の完全な概要を提供します。 [appStatsスキーマ](https://api.catonetworks.com/documentation/#definition-AppStatsFieldName)はフローフィールドの完全なセットを表しています。

デフォルトでは、新しい統合は**イベント**のみをエクスポートします。**フロー**データソースは、イベントデータソースよりもはるかに多くのデータを生成することができます。正確な量はトラフィックに依存します。 CMAで複数の統合を設定して、必要に応じて異なるデータソースを送信できます。

### **前提条件**

- コネクタを追加するには、**統合**（**リソース**セクション内）に対する編集者権限が必要です。詳細については、[RBACを使用した管理者ロールの管理](/v1/docs/managing-admin-roles-using-rbac)を参照してください。
- Cortexテナントは、**カスタム - HTTPベースのコレクタ**データソースを追加する許可を持っています。
- お客様のCortex吸収URLおよびHTTPコレクタートークン。
- [イベント統合の開始](/v1/docs/getting-started-with-event-integrations)で、すべてのCatoイベント統合の前提条件を確認してください。

## **使用ケース**

### **イベント**

サンプル会社は、統一されたセキュリティモニタリングのためにCortexを使用しています。 Catoの顧客として、ネットワーク活動、脅威、ユーザーデータ、デバイス、およびCatoプラットフォームを通過するトラフィックの他のすべての側面に関するCatoデータがあります。管理者はこの統合を使用してデータを直接Cortexに送信し、SOCチームが他のソースと一緒に作業します。

### **フロー**

サンプル会社のセキュリティアナリストが、データのエクスフィルトレーションに関連する可能性のある高リスクアプリケーションにユーザーがアクセスしたという疑わしいイベントを特定しました。 Catoイベントのみを使用して、アナリストはポリシーの決定、ユーザーID、およびアプリケーションを見ることができますが、どれだけのデータが転送されたか、セッションがどれだけ続いたかはわかりません。

集約されたフローデータにより、アナリストはセッション全体のコンテキストを閲覧し、転送された総バイト数、パケット数、およびセッションの期間を含めることができます。これにより、アナリストはアクティビティが最小限の対話を伴うものであったか、エクスフィルトレーションを示唆する可能性のある大量のデータ転送を伴うものかを判断できます。

## **Palo Alto Cortex統合の作成**

CortexにCatoデータを送信するには、CortexでHTTPコレクタを作成し、エンドポイントがデータを受け入れることを確認し、その後CMAで統合を作成します。

### **ステップ1: CortexでHTTPコレクタを作成**

Cortexはトークン値を生成時のみ表示します。ダイアログを閉じる前にコピーしてください。紛失した場合、新しいトークンを生成し、それを使用してください。

**コレクタを作成するには:**

1. Cortexテナントにログインします。
2. **カスタム - HTTPベースのコレクタ**に移動し、**インスタンスを追加**をクリックします。
3. **HTTPログ収集を有効化**ダイアログで、**名前**、例えば`Cato Networks`を入力します。
4. **圧縮**を**非圧縮**に設定し、**ログフォーマット**を**JSON**に設定します。
5. **（オプション）**、**ベンダー**と**製品**を`Cato_Networks`に設定します。
6. **保存 & トークン生成**をクリックします。
7. トークン値をコピーして安全に保管し、コレクタのインジェストURLをメモします。

### **ステップ2: curlでエンドポイントをテスト**

CMAでの統合を設定する前に、APIキー、エンドポイント、およびインデックスが機能することを確認します。これは、Cortex側の問題をCMA統合の問題から隔離するのに役立ちます。

Cortex HTTPコレクタはリクエストボディを改行区切りのJSONとして解析するため、リクエストには`Content-Type: application/x-ndjson`ヘッダーを含める必要があります。

インタラクティブな**Bash**シェルで全体の例を実行します（必要に応じて最初に`bash`を実行します）。隠れたプロンプトで資格情報を入力し、それらをコマンドに挿入しないでください。例はシェルトレースを無効にし、`--header @-`を使用して認証ヘッダーを標準入力を通じて渡し、シェル履歴やcurlコマンドライン引数から資格情報を保持します。例が終了すると、一時的な資格情報変数は破棄されます。

```bash
(
  set +axv
  set -euo pipefail
  unset CATO_TEST_TOKEN
  IFS= read -r -s -p 'Cortex HTTPコレクタトークン: ' CATO_TEST_TOKEN
  builtin printf '\n' >&2
  case "$CATO_TEST_TOKEN" in
    ''|*$'\r'*) builtin printf '改行なしで空でない資格情報を入力してください。\n' >&2; exit 1 ;;
  esac

  builtin printf '%s\n' "Authorization: ${CATO_TEST_TOKEN}" | \
    curl -q -X POST "https://<your-collector-url>" \
  --header @- \
  -H "Content-Type: application/x-ndjson" \
  --data-binary $'{"message":"curlからのテストイベント","event_type":"テスト"}\n'
)
```

1. `&lt;your-collector-url&gt;` をあなたのコレクタURLに置き換えます。
2. 1ステップでのHTTPコレクタのトークンを隠れたプロンプトで入力してください。 成功したリクエストはHTTP 2xxステータスを返します。
3. Cortexで「`curlからのテストイベント`」を検索して、ドキュメントが届いたことを確認します。

### **ステップ3: CMAで統合を作成する**

**Palo Alto Cortex統合を作成するには:**

1. CMAのナビゲーションメニューから、**リソース** > **統合** に移動します。
2. **設定済みの統合**タブを開き、「**新規**」をクリックします。 **新しい統合**パネルが開きます。
3. **Palo Alto Cortex** を選択します。**機能**が自動的に**データエクスポート**に設定されます。
4. **認証**ドロップダウンで、**Palo Alto Cortex用HTTPコレクタートークン認証**を選択します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/image(252).png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A10Z&se=2026-11-10T18%3A13%3A10Z&sr=c&sp=r&sig=26AgzhRlJOKfnsUX9j9uFotbf1lon00KQLR%2BUImXTkk%3D)
5. この統合の**名前**とオプションの**説明**を入力します。
6. ステップ2でテストした**インジェスションURL**を入力します。例: `https://api-tenant.xdr.us.paloaltonetworks.com/logs/v1/event`。
7. Cortexで生成した**HTTPコレクタートークン**を入力します。
8. **データソース**で、**イベント**、**フロー**またはその両方を選択します。
9. **（オプション）** Cortexに送信するデータを制御するフィルターを[以下で説明されているように](/docs/ja/integrating-cato-data-with-cortex-xdr#filters)追加します。
10. 「**保存**」をクリックします。

**統合**ページを更新します。統合は、 **接続済み** ステータスで **設定済みの統合** テーブルに表示されます。

## **フィルター**

CatoデータをCortexにエクスポートするためにフィルターを使用します。これにより、インジェスションコストが削減され、ノイズが抑制され、特定のサイト、ユーザー、または地域に最も関連するデータに調査を集中させることができます。また、フィルターを使用して、異なるSIEM環境に異なるデータのサブセットをルーティングすることもできます。

フィルターグループを使用して、[イベントフィールド](/v1/docs/cato-event-schema)またはフィールドの組み合わせに基づいてフィルターを定義します。各グループ内の条件はANDロジックが使用されます。 ORロジックはグループ間で適用されます。

- **イベントフィルター** - 条件を定義するために**フィルターの追加**をクリックするか、フィルターグループを追加するために**グループの追加**をクリックします。
- **フローフィルター** - データソースとして**フロー**を選択すると利用可能になります。それはイベントフィルターと同じ論理に従います。

フィルターが狭すぎると、エラーを表示することなくすべてが除外される可能性があります。統合を保存した後、Cortexにデータが届かない場合は、まずフィルター設定を確認してください。

## **トラブル解決**

| **問題点** | **解決** |
| --- | --- |
| 統合で**接続エラー**が表示されます | Ingestion URLとHTTPコレクタートークンが正しく入力されていること、そしてそれがステップ2でテストした内容と一致していることを確認してください。 Cortexでトークンが取り消されていないことを確認してください。 |
| イベントが到着しますが、解析されたフィールドの代わりに生のテキストとして表示されます | ステップ1で説明したように、コレクターが**JSON**ログ形式および**非圧縮**に設定されていることを確認してください。 |
| Cortexにイベントが到着しません | イベントフィルターを確認してください。フィルターが狭すぎると、エラーを報告せずにすべてのデータが除外されることがあります。 |
| Cortexにフローが到着しません | データソースで**フロー**が選択されていることを確認し、フローフィルターに過度に制限的な条件がないか確認してください。 |
| 保存後、統合に**接続済み**のステータスが表示されません | **統合**ページを更新してください。ステータスが変わらない場合、CortexにあるHTTPコレクタートークンとインジェストURLを確認してください。 |