Zum Hauptinhalt springen

​
Wirespeed-Forwarder einrichten

  1. Folgen Sie der gemeinsamen Anleitung Log-Forwarder, um Palo Alto Networks NGFW hinzuzufügen und die Forwarder-Details zu öffnen
  2. Kopieren Sie den Hostnamen bzw. die IP-Adresse und den Listener-Port, die Wirespeed anzeigt
  3. Halten Sie die Forwarder-Details bereit, während Sie PAN-OS konfigurieren

​
PAN-OS-Syslog-Serverprofil erstellen

  1. Melden Sie sich an der Firewall oder an Panorama an:
    • Gehen Sie auf einer Firewall zu Device > Server Profiles > Syslog
    • Wählen Sie in Panorama die Vorlage oder den Vorlagenstapel für die verwalteten Firewalls aus und gehen Sie dann zu Device > Server Profiles > Syslog
  2. Klicken Sie auf Add, benennen Sie das Profil und wählen Sie gegebenenfalls den Standort des virtuellen Systems aus
  3. Fügen Sie einen Syslog-Server hinzu und geben Sie den Wirespeed-Hostnamen bzw. die IP-Adresse und den Port ein
  4. Wählen Sie das in Wirespeed konfigurierte Transportprotokoll:
    • TCP bietet zuverlässige Übertragung im Klartext
    • SSL bietet zuverlässige verschlüsselte Übertragung mit TLS 1.2
    • UDP bietet verbindungslose Übertragung im Klartext
  5. Wählen Sie das Format IETF, sofern verfügbar. Sein zeitzonenbewusster Header bietet einen sichereren Zeitstempel-Fallback als das BSD-Format
  6. Wählen Sie die in Ihrer Organisation verwendete Facility und speichern Sie das Serverprofil
Lassen Sie Custom Log Format für jeden weitergeleiteten Protokolltyp leer. Wirespeed parst die standardmäßigen positionsbasierten CSV-Layouts von Palo Alto; das Auswählen, Umordnen oder Hinzufügen benutzerdefinierter Felder verändert diese Layouts.
Folgen Sie für den SSL-Transport den Hinweisen zu Syslog über TLS von Wirespeed. Wirespeed authentifiziert sich gegenüber der Firewall mit seinem Serverzertifikat, fordert jedoch kein Clientzertifikat von der Firewall an. Aktivieren Sie keine SSL-Clientauthentifizierung.

​
Weiterzuleitende Protokolle auswählen

Sie legen fest, welche PAN-OS-Protokollkategorien Wirespeed erhält. Sie können alle unterstützten Kategorien weiterleiten, nur bestimmte Kategorien wie Traffic, Threat oder URL Filtering oder eine gefilterte Teilmenge jeder Kategorie.

​
Richtliniengenerierte Protokolle

  1. Gehen Sie zu Objects > Log Forwarding. Wählen Sie in Panorama zuerst die Gerätegruppe für die verwalteten Firewalls aus
  2. Fügen Sie ein Log-Forwarding-Profil hinzu
  3. Fügen Sie für jeden gewünschten Protokolltyp einen Match-List-Eintrag hinzu, zum Beispiel:
    • Traffic
    • Threat
    • URL Filtering
    • Data Filtering
    • WildFire Submissions
    • Authentication
    • Tunnel Inspection
    • GTP
    • SCTP
  4. Wählen Sie für jeden Eintrag das Wirespeed-Syslog-Serverprofil aus
  5. Fügen Sie optional einen Palo-Alto-Filter hinzu, um den Protokolltyp nach Schweregrad, Verdict, Zone, Regel oder einem anderen verfügbaren Protokollattribut einzuschränken
  6. Hängen Sie das Log-Forwarding-Profil an die zutreffenden Richtlinienregeln für Security, Authentication, Decryption, DoS Protection und Tunnel Inspection an
  7. Aktivieren Sie für Traffic-Protokolle je nach Ihren Überwachungsanforderungen Log at Session Start, Log at Session End oder beides

​
Gerätegenerierte Protokolle

Gehen Sie zu Device > Log Settings und wählen Sie das Wirespeed-Syslog-Serverprofil für die gewünschten, in Ihrem PAN-OS-Release verfügbaren Protokolleinstellungen für System, Config, User-ID, HIP Match, Correlation, IP-Tag, GlobalProtect und Audit aus. Konfigurieren Sie diese Einstellungen in Panorama in der Vorlage oder im Vorlagenstapel für die verwalteten Firewalls.
Wirespeed unterstützt die standardmäßigen Syslog-Layouts für Traffic, Threat, URL Filtering, Data Filtering, WildFire, HIP Match, GlobalProtect, IP-Tag, User-ID, Decryption, Tunnel Inspection, SCTP, Config, Authentication, System, Correlated Events, GTP und Audit. Sie müssen nicht jeden Typ aktivieren.

​
Commit und Überprüfung

  1. Stellen Sie die PAN-OS-Konfiguration bereit:
    • Wählen Sie auf einer Firewall Commit
    • Wählen Sie in Panorama Commit > Commit and Push und schließen Sie die betroffenen Gerätegruppen und Vorlagen ein
  2. Erzeugen Sie für jede aktivierte Kategorie ein Ereignis
  3. Prüfen Sie, ob die Ereignisse in Wirespeed unter Ereignisse angezeigt werden
Details zu bestimmten PAN-OS-Versionen finden Sie in der offiziellen Palo-Alto-Dokumentation Configure Syslog Monitoring, Configure Log Forwarding und Syslog Field Descriptions.