Intégration Palo Alto Networks - Next-Generation Firewall

Une fois l’installation et la configuration effectuées, l’analyste des incidents de sécurité utilise cette intégration pour bloquer les adresses IP, les URL et les domaines malveillants à l’aide des options de liste dynamique externe (EDL) avec les ServiceNow Réponse aux incidents de sécurité produits (SIR). L’analyste des incidents de sécurité crée des entrées pour une EDL à partir d’observables déterminés comme malveillants lors ServiceNow SIR d’incidents de sécurité.

Une EDL est un fichier texte hébergé sur un serveur Web externe. Pour cette intégration, ce serveur Web est votre ServiceNow AI Platform instance, qui vous permet d’importer Palo Alto Networks - Next-Generation Firewall des objets inclus dans la liste, des adresses IP, des URL et des domaines, et d’appliquer la politique.

Pour appliquer la politique sur les entrées EDL, la liste est référencée dans une règle ou un profil de politique. Lorsque les entrées EDL sont modifiées, le pare-feu importe dynamiquement la liste à l’intervalle configuré et applique la stratégie sans changement de configuration ni validation sur le pare-feu. Pour cette intégration, ServiceNow AI Platform a créé une table contenant les entrées EDL qui sont récupérées par autorisé Palo Alto Networks - Next-Generation Firewall aux intervalles de récupération configurés.

L’intégration comprend les fonctionnalités suivantes :

• Flexibilité pour créer plusieurs EDL qui s’appliquent à différentes politiques de refus ou d’autorisation de pare-feu.
• Rapports détaillés sur les types de sites bloqués (hameçonnage, programmes malveillants et sites figurant sur la liste d’autorisation).
• Balisage des incidents de sécurité avec des entrées EDL par type d’observable ServiceNow AI Platform (URL, domaine, adresse IP).
• Configurer des périodes d’expiration des EDL pour maintenir la taille de la liste des EDL en expirant ou en supprimant automatiquement les anciennes entrées.
• Recherche, suppression ou migration d’entrées EDL entre des listes d’EDL
• Liaison des entrées EDL aux enregistrements d’observables et aux incidents de sécurité qui incluent les résultats des renseignements sur les menaces et les détails sur les raisons pour lesquelles une entrée est bloquée.

L’intégration nécessite que les modules d’extension (com.snc.security_incident) et (com.snc.secops.orchestration) du Réponse aux incidents de sécurité produit soient activés.

Cette intégration ne prend en charge Palo Alto Networks que (PAN-OS 8.x). Les versions antérieures ne sont pas prises en charge.

Remarque :

Les rubriques suivantes sont numérotées. Pour une installation, une configuration et une vérification sans problème des résultats attendus, suivez les rubriques dans l’ordre dans lequel elles sont présentées.

1. Créer un profil de certificat pour le Palo Alto Networks - Next-Generation Firewall
   L’intégration nécessite un profil de certificat pour valider et authentifier la connexion sécurisée entre le ServiceNow AI Platform® serveur et le Palo Alto Networks - Next-Generation Firewall serveur.
2. Configurer et installer Palo Alto Networks - Next-Generation Firewall
   Complétez la liste de vérification de configuration suivante avant l’installation. Ces tâches de configuration sont nécessaires pour une installation sans problème.
3. Créer le rôle du compte API pour Palo Alto Networks - Next-Generation Firewall
   Un rôle de compte API est requis dans votre ServiceNow AI Platform® instance pour cette intégration. Le nom d’utilisateur et le mot de passe associés à ce compte sont créés dans le ServiceNow AI Platform® et saisis afin Palo Alto Networks que l’utilisateur s’authentifie Palo Alto Networks - Next-Generation Firewall avec le lors de la ServiceNow AI Platform® récupération des entrées EDL.
4. Listes dynamiques externes prises en charge pour Palo Alto Networks - Next-Generation Firewall
   L’intégration ServiceNow Palo Alto Networks - Next-Generation Firewall prend en charge les listes dynamiques externes (EDL) qui acceptent les observables d’adresse IP, d’URL et de domaine.
5. Créer une EDL pour le pare-feu de nouvelle génération Palo Alto Networks
   Créez une liste dynamique externe (EDL) dans votre ServiceNow AI Platform instance. Une fois approuvées et activées, vous pouvez créer des entrées pour les EDL à partir d’observables déterminés comme malveillants sur ServiceNow AI Platform Réponse aux incidents de sécurité des incidents (SIR) et demander l’approbation pour les bloquer.
6. Activer une EDL pour Palo Alto Networks - Next-Generation Firewall
   Une fois que la liste dynamique externe (EDL) a été créée dans Ur ServiceNow AI Platform® et que l’URL est disponible, l’administrateur Palo Alto Networks du pare-feu configure l’EDL dans le Palo Alto Networks - Next-Generation Firewall. L’URL de récupération est utilisée par l’administrateur du Palo Alto Networks pare-feu pour configurer l’EDL dans le Palo Alto Networks - Next-Generation Firewall serveur. Avant de pouvoir accepter des entrées EDL, l’EDL doit être configurée et Palo Alto Networks activée dans le ServiceNow AI Platform®.
7. Soumettre des entrées EDL à partir d’un enregistrement d’incident de sécurité pour Palo Alto Networks - Next-Generation Firewall
   Les observables joints à un enregistrement d’incident de sécurité sont soumis pour approbation en tant qu’entrées de liste dynamique externe (EDL) aux EDL. Un processus d’approbation des entrées EDL fait partie du workflow préconfiguré. Le pare-feu importe les entrées EDL (adresses IP, URL, domaines) qui sont incluses dans les listes EDL et applique la politique.
8. Soumettre des entrées EDL à partir de la liste de blocs pour Palo Alto Networks - Next-Generation Firewall
   Pour les observables déterminés comme malveillants et non associés à un incident de sécurité spécifique ServiceNow AI Platform , vous soumettez des entrées de liste dynamique externe (EDL) à partir de la liste de blocs.
9. Approuver les entrées EDL pour Palo Alto Networks - Next-Generation Firewall
   Un processus d’approbation pour les entrées de liste dynamique externe (EDL) fait partie du workflow préconfiguré. Vous approuvez les entrées EDL avant qu’elles ne soient activées sur les EDL. Une fois que vous approuvez l’entrée EDL, le pare-feu récupère l’entrée et votre observable est bloqué à partir de ce moment-là.
10. Exceptions d’entrée d’EDL pour Palo Alto Networks - Next-Generation Firewall
    Il existe des restrictions pour l’ajout d’entrées de liste dynamique externe (EDL) aux EDL. En cas de doublon, de compatibilité ou de conflits CIDR (Classless Inter-Domain Routing) lorsque vous essayez d’ajouter des entrées EDL à des EDL, des messages d’erreur s’affichent pour vous aider à résoudre ces erreurs.
11. (Facultatif) Modifier le nom de la balise de sécurité pour Palo Alto Networks - Next-Generation Firewall
    Si la case Display tag (Afficher la balise ) est activée lorsque vous créez l’enregistrement External Dynamic List (EDL), vous pouvez modifier les noms et les couleurs des balises de sécurité. Les balises de sécurité vous aident à suivre les observables qui sont déjà bloqués.
12. Désinstaller
    Si vous souhaitez désinstaller Palo Alto Networks - Next-Generation Firewall de votre ServiceNow AI Platform instance et supprimer tous les restes de l’intégration, consultez le site de documentation pour obtenir des instructions sur la ServiceNow désinstallation des applications.