Palo Alto Networks Next-Generation Firewall-Integration

Nach der Installation und Konfiguration verwendet der Security Incident-Analyst diese Integration, um schädliche IP-Adressen, URLs und Domänen mithilfe von EDL-Funktionen (External Dynamic List) mit zu blockieren ServiceNow Security Incident Response( SIR) Produkte. Der Security Incident-Analyst erstellt Einträge für eine EDL aus erkennbaren Elementen, die als böswillig ermittelt wurden ServiceNow SIRSecurity Incidents.

Eine EDL ist eine Textdatei, die auf einem externen Webserver gehostet wird. Für diese Integration ist dieser Webserver Ihr Now PlatformInstanz, die zulässt Palo Alto Networks Next-Generation FirewallDient zum Importieren von Objekten, die in der Liste enthalten sind, IP-Adressen, URLs und Domänen und zum Erzwingen der Richtlinie.

Um die Richtlinie für die EDL-Einträge durchzusetzen, wird in einer Richtlinienregel oder einem Profil auf die Liste verwiesen. Wenn die EDL-Einträge geändert werden, importiert die Firewall die Liste dynamisch im konfigurierten Intervall und erzwingt die Richtlinie ohne Konfigurationsänderung oder Commit in der Firewall. Für diese Integration Now PlatformHat eine Tabelle mit EDL-Einträgen erstellt, die von einer autorisierten Person abgerufen werden Palo Alto Networks Next-Generation FirewallIn den konfigurierten Abrufintervallen.

Die Integration umfasst die folgenden Funktionen:

• Flexibilität zum Erstellen mehrerer EDLs, die für verschiedene Firewall-Deny- oder Allow-Richtlinien gelten.
• Detaillierte Berichterstellung zu den Arten der blockierten Websites (Phishing, Malware und Allow-Sites).
• Tagging von Now PlatformSecurity Incidents mit EDL-Einträgen nach Typ des erkennbaren Elements (URL, Domäne, IP-Adresse).
• Konfigurieren von EDL-Ablaufzeiträumen, um die EDL-Listengröße beizubehalten, indem ältere Einträge automatisch ablaufen oder entfernt werden.
• EDL-Einträge zwischen EDL-Listen werden gesucht, gelöscht oder migriert.
• Verknüpfen von EDL-Einträgen mit Datensätzen erkennbarer Elemente und Security Incidents, die Threat Intelligence-Ergebnisse und Details dazu enthalten, warum ein Eintrag blockiert wird.

Die Integration erfordert, dass die Plugins (com.snc.security_incident) und (com.snc.secops.orchestration) von Security Incident ResponseProdukt ist aktiviert.

Diese Integration unterstützt nur Palo Alto Networks(PAN-OS 8.x). Frühere Versionen werden nicht unterstützt.

Diese Integration ist mit den Releases Kingston, London, Madrid und New York von kompatibel Now Platform®.

Hinweis:

Die folgenden Themen sind nummeriert. Um eine reibungslose Installation, Konfiguration und Verifizierung der erwarteten Ergebnisse zu gewährleisten, befolgen Sie die Themen in der Reihenfolge, in der sie angezeigt werden.

1. Erstellen Sie ein Zertifikatprofil für Palo Alto Networks Next-Generation Firewall
   Die Integration erfordert ein Zertifikatprofil, um die sichere Verbindung zwischen zu validieren und zu authentifizieren Now Platform®Server und Palo Alto Networks Next-Generation FirewallServer.
2. Einrichten und installieren Palo Alto Networks Next-Generation Firewall
   Füllen Sie vor der Installation die folgende Setup-Prüfliste aus. Diese Setup-Aufgaben sind für eine reibungslose Installation erforderlich.
3. Erstellen Sie die API-Account-Rolle für Palo Alto Networks Next-Generation Firewall
   In ist eine API-Account-Rolle erforderlich Now Platform®Instanz für diese Integration. Der Anwendername und das Passwort, die diesem Account zugeordnet sind, werden in erstellt Now Platform®Und in eingegeben Palo Alto NetworksAlso Palo Alto Networks Next-Generation FirewallAuthentifiziert sich mit Now Platform®Beim Abrufen von EDL-Einträgen.
4. Unterstützte externe dynamische Listen für Palo Alto Networks Next-Generation Firewall
   Die ServiceNow Palo Alto Networks Next-Generation FirewallDie Integration unterstützt externe dynamische Listen (EDLs), die IP, URL und erkennbare Domänenelemente akzeptieren.
5. Erstellen Sie eine EDL für die Firewall der nächsten Generation von Palo Alto Networks
   Erstellen Sie eine externe dynamische Liste (EDL) in Now PlatformInstanz. Nach der Genehmigung und Aktivierung können Sie Einträge für EDLs aus erkennbaren Elementen erstellen, die als böswillig ermittelt wurden Now Platform Security Incident Response(SIR) Incidents und fordern Sie die Genehmigung an, um sie zu blockieren.
6. Aktivieren Sie eine EDL für Palo Alto Networks Next-Generation Firewall
   Nachdem die externe dynamische Liste (EDL) in erstellt wurde Now Platform®Und die URL ist verfügbar, die Palo Alto NetworksDer Firewall-Administrator konfiguriert die EDL in Palo Alto Networks Next-Generation Firewall. Die Abruf-URL wird von verwendet Palo Alto NetworksFirewall-Administrator zum Konfigurieren der EDL in Palo Alto Networks Next-Generation FirewallServer. Bevor EDL-Einträge akzeptiert werden können, muss die EDL in konfiguriert werden Palo Alto NetworksUnd aktiviert in Now Platform®.
7. Übermitteln Sie EDL-Einträge aus einem Security Incident-Datensatz für Palo Alto Networks Next-Generation Firewall
   Erkennbare Elemente, die an einen Security Incident-Datensatz angehängt sind, werden als EDL-Einträge (externe dynamische Liste) an EDLs übermittelt. Ein Genehmigungsprozess für EDL-Einträge ist Teil des vorkonfigurierten Workflows. Die Firewall importiert EDL-Einträge – IP-Adressen, URLs, Domänen –, die in EDL-Listen enthalten sind, und erzwingt die Richtlinie.
8. Übermitteln Sie EDL-Einträge aus der Blockliste für Palo Alto Networks Next-Generation Firewall
   Für erkennbare Elemente, die als böswillig bestimmt und keinem bestimmten zugeordnet sind Now PlatformSecurity Incident: Sie übermitteln Einträge der externen dynamischen Liste (EDL) aus der Sperrliste.
9. Genehmigen Sie EDL-Einträge für Palo Alto Networks Next-Generation Firewall
   Ein Genehmigungsprozess für Einträge der externen dynamischen Liste (EDL) ist Teil des vorkonfigurierten Workflows. Sie genehmigen EDL-Einträge, bevor die Einträge für EDLs aktiviert werden. Sobald Sie den EDL-Eintrag genehmigen, ruft die Firewall den Eintrag ab, und Ihr erkennbares Element wird von diesem Punkt an blockiert.
10. EDL-Eintragsausnahmen für Palo Alto Networks Next-Generation Firewall
    Es gibt Einschränkungen für das Hinzufügen von EDL-Einträgen (externe dynamische Liste) zu EDLs. Wenn beim Versuch, EDL-Einträge zu EDLs hinzuzufügen, Duplikat-, Kompatibilitäts- oder CIDR-Konflikte (Classless Inter-Domain Routing) vorhanden sind, werden Fehlermeldungen angezeigt, mit denen Sie diese Fehler beheben können.
11. (Optional) Bearbeiten Sie den Sicherheits-Tag-Namen für Palo Alto Networks Next-Generation Firewall
    Wenn Tag anzeigen Das Kontrollkästchen ist aktiviert, wenn Sie den Datensatz „externe dynamische Liste“ (EDL) erstellen. Sie können die Tag-Namen und Farben der Sicherheits-Tags bearbeiten. Sicherheits-Tags helfen Ihnen, erkennbare Elemente nachzuverfolgen, die bereits blockiert sind.
12. Palo Alto Networks Next-Generation Firewall deinstallieren
    Wenn Sie deinstallieren möchten Palo Alto Networks Next-Generation FirewallVon Ihrem Now PlatformInstanz und alle Reste aus der Integration entfernen, siehe ServiceNowDokumentationswebsite für Anweisungen zur Deinstallation von Anwendungen.