Palo Alto Networks Next-Generation Firewall-Integration

Nach der Installation und Konfiguration verwendet der Security Incident-Analyst diese Integration, um schädliche IP-Adressen, URLs und Domänen mithilfe von EDL-Funktionen (External Dynamic List) mit zu blockieren ServiceNow Security Incident Response( SIR) Produkte. Der Security Incident-Analyst erstellt Einträge für eine EDL aus erkennbaren Elementen, die für schädlich festgestellt wurden ServiceNow SIR Security Incidents.

Eine EDL ist eine Textdatei, die auf einem externen Webserver gehostet wird. Für diese Integration ist dieser Webserver Ihr ServiceNow AI Platform Instanz, die zulässt Palo Alto Networks Next-Generation Firewall Dient zum Importieren von Objekten, die in der Liste enthalten sind, IP-Adressen, URLs und Domänen und zum Erzwingen der Richtlinie.

Um die Richtlinie für EDL-Einträge durchzusetzen, wird in einer Richtlinienregel oder einem Profil auf die Liste verwiesen. Wenn die EDL-Einträge geändert werden, importiert die Firewall die Liste dynamisch im konfigurierten Intervall und erzwingt die Richtlinie ohne Konfigurationsänderung oder Commit für die Firewall. Für diese Integration ServiceNow AI Platform Hat eine Tabelle erstellt, die EDL-Einträge enthält, die von einer autorisierten Person abgerufen werden Palo Alto Networks Next-Generation Firewall In den konfigurierten Abrufintervallen.

Die Integration umfasst die folgenden Funktionen:

• Flexibilität zum Erstellen mehrerer EDLs, die für verschiedene Firewall-Deny- oder Allow-Richtlinien gelten.
• Detaillierte Berichterstellung zu den Arten der blockierten Websites (Phishing, Malware und zulässige Websites).
• Tagging von ServiceNow AI Platform Security Incidents mit EDL-Einträgen nach erkennbarem Typ (URL, Domäne, IP-Adresse).
• Konfigurieren von EDL-Ablaufzeiträumen, um die EDL-Listengröße beizubehalten, indem ältere Einträge automatisch ablaufen oder entfernt werden.
• EDL-Einträge zwischen EDL-Listen werden gesucht, gelöscht oder migriert.
• Verknüpfen von EDL-Einträgen mit Datensätzen erkennbarer Elemente und Security Incidents, die Threat Intelligence-Ergebnisse und Details dazu enthalten, warum ein Eintrag blockiert ist.

Die Integration erfordert, dass die Plugins (com.snc.security_incident) und (com.snc.secops.orchestration) aus dem Security Incident Response Produkt ist aktiviert.

Diese Integration unterstützt nur Palo Alto Networks(PAN-OS 8.x). Frühere Versionen werden nicht unterstützt.

Diese Integration ist mit den Releases Kingston, London, Madrid und New York von kompatibel ServiceNow AI Platform®.

Hinweis:

Die folgenden Themen sind nummeriert. Um eine reibungslose Installation, Konfiguration und Verifizierung der erwarteten Ergebnisse zu gewährleisten, befolgen Sie die Themen in der Reihenfolge, in der sie angezeigt werden.

1. Erstellen Sie ein Zertifikatprofil für Palo Alto Networks Next-Generation Firewall
   Die Integration erfordert ein Zertifikatprofil, um die sichere Verbindung zwischen zu validieren und zu authentifizieren ServiceNow AI Platform® Server und Palo Alto Networks Next-Generation Firewall Server.
2. Richten Sie ein, und installieren Sie es Palo Alto Networks Next-Generation Firewall
   Führen Sie vor der Installation die folgende Setup-Prüfliste aus. Diese Setup-Aufgaben sind für eine reibungslose Installation erforderlich.
3. Erstellen Sie die API-Account-Rolle für Palo Alto Networks Next-Generation Firewall
   In ist eine API-Account-Rolle erforderlich ServiceNow AI Platform® Instanz für diese Integration. Der Anwendername und das Passwort, die diesem Account zugeordnet sind, werden in erstellt ServiceNow AI Platform® Und in eingegeben Palo Alto Networks Also die Palo Alto Networks Next-Generation Firewall Authentifiziert sich mit ServiceNow AI Platform® Beim Abrufen von EDL-Einträgen.
4. Unterstützte externe dynamische Listen für Palo Alto Networks Next-Generation Firewall
   Die ServiceNow Palo Alto Networks Next-Generation Firewall Die Integration unterstützt externe dynamische Listen (EDLs), die IP, URL und erkennbare Domänenelemente akzeptieren.
5. Erstellen Sie eine EDL für die Palo Alto Networks Next-Generation-Firewall
   Erstellen Sie eine externe dynamische Liste (EDL) in Ihrem ServiceNow AI Platform Instanz. Nach der Genehmigung und Aktivierung können Sie Einträge für EDLs aus erkennbaren Elementen erstellen, die für schädlich festgestellt wurden ServiceNow AI Platform Security Incident Response(SIR) Incidents und fordern Sie die Genehmigung an, um sie zu blockieren.
6. Aktivieren Sie eine EDL
   Nachdem die externe dynamische Liste (EDL) in erstellt wurde ServiceNow AI Platform® Und die URL ist verfügbar, die Palo Alto Networks Der Firewall-Administrator konfiguriert die EDL im Palo Alto Networks Next-Generation Firewall. Die Abruf-URL wird von verwendet Palo Alto Networks Firewall-Administrator zum Konfigurieren der EDL in Palo Alto Networks Next-Generation Firewall Server. Bevor EDL-Einträge akzeptiert werden können, muss die EDL in konfiguriert werden Palo Alto Networks Und in aktiviert ServiceNow AI Platform®.
7. Übermitteln Sie EDL-Einträge aus einem Security Incident-Datensatz für Palo Alto Networks Next-Generation Firewall
   Erkennbare Elemente, die an einen Security Incident-Datensatz angehängt sind, werden als EDL-Einträge (External Dynamic List) an EDLs übermittelt. Ein Genehmigungsprozess für EDL-Einträge ist Teil des vorkonfigurierten Workflows. Die Firewall importiert EDL-Einträge – IP-Adressen, URLs, Domänen –, die in EDL-Listen enthalten sind, und erzwingt die Richtlinie.
8. Übermitteln Sie EDL-Einträge aus der Blockliste für Palo Alto Networks Next-Generation Firewall
   Für erkennbare Elemente, die als schädlich eingestuft und keinem bestimmten zugeordnet sind ServiceNow AI Platform Security Incident senden Sie EDL-Einträge (External Dynamic List) aus der Blockliste.
9. Genehmigen Sie EDL-Einträge
   Ein Genehmigungsprozess für EDL-Einträge (External Dynamic List) ist Teil des vorkonfigurierten Workflows. Sie genehmigen EDL-Einträge, bevor die Einträge für EDLs aktiviert werden. Sobald Sie den EDL-Eintrag genehmigen, ruft die Firewall den Eintrag ab, und Ihr erkennbares Element wird von diesem Punkt an blockiert.
10. EDL-Eintragsausnahmen für Palo Alto Networks Next-Generation Firewall
    Es gibt Einschränkungen für das Hinzufügen von EDL-Einträgen (External Dynamic List) zu EDLs. Wenn beim Versuch, EDL-Einträge zu EDLs hinzuzufügen, Duplikat-, Kompatibilitäts- oder CIDR-Konflikte (Classless Inter-Domain Routing) vorhanden sind, werden Fehlermeldungen angezeigt, die Ihnen helfen, diese Fehler zu beheben.
11. (Optional) Bearbeiten Sie den Sicherheits-Tag-Namen für Palo Alto Networks Next-Generation Firewall
    Wenn Tag anzeigen Das Kontrollkästchen ist aktiviert, wenn Sie den EDL-Datensatz (External Dynamic List) erstellen. Sie können die Tag-Namen und Farben der Sicherheits-Tags bearbeiten. Sicherheits-Tags helfen Ihnen, erkennbare Elemente nachzuverfolgen, die bereits blockiert sind.
12. Deinstallieren
    Wenn Sie deinstallieren möchten Palo Alto Networks Next-Generation Firewall Von Ihrem ServiceNow AI Platform Instanz und alle Reste aus der Integration entfernen, siehe ServiceNow Dokumentationswebsite für Anweisungen zum Deinstallieren von Anwendungen.