このページで
Palo Alto Networks PA シリーズ
Palo Alto PA シリーズの JSA DSM を使用して、Cortex Data Lake を使用して、Palo Alto PA シリーズ、次世代ファイアウォール ログ、プリズマ アクセス ログからイベントを収集します。
Palo Alto PA シリーズから JSA にイベントを送信するには、以下の手順を実行します。
-
自動更新が有効になっていない場合は、 Juniper Downloads から以下の RPM の最新バージョンをダウンロードします。
- DSMCommon RPM
- TLS Syslog プロトコル RPM
- パロアルトPAシリーズDSM RPM
-
Palo Alto PA シリーズ デバイスが JSA にイベントを送信するように設定します。
-
JSA が Palo Alto PA シリーズをログ ソースとして自動的に検出しない場合は、JSA コンソールに Palo Alto PA シリーズのログ ソースを追加します。
パロアルトPA DSMの仕様
次の表は、Palo Alto PA シリーズ DSM の仕様を示しています。
仕様 |
値 |
|---|---|
メーカー |
パロアルトネットワークス |
DSM名 |
パロアルトPAシリーズ |
RPM ファイル名 |
DSM-PaloAltoPaSeries-JSA_version-build_number.noarch.rpm |
イベント形式 |
PAN-OS v3.0~v9.1、プリズマアクセスv2.1用 LEEF PAN-OS v4.0 から v6.1 への CEF。(CEF:0対応) |
JSA 記録ログ タイプ |
トラフィック 脅威 設定 システム HIP マッチ データ 野火 認証 トンネルインスペクション 相関 URL フィルタリング ユーザーID Sctp ファイル データ Gtp HIP マッチ IPタグ グローバル保護 -
メモ：
このログ タイプを使用するには、Palo Alto で EventStatus フィールドを有効にする必要があります。 復 号 化 |
自動的に検出されましたか? |
はい |
アイデンティティが含まれますか? |
はい |
カスタム プロパティを含む |
いいえ |
詳細 |
Palo Alto PA シリーズ デバイスで Syslog の宛先を作成する
Palo Alto PA シリーズ イベントを JSA に送信するには、Palo Alto PA シリーズ デバイスで Syslog の宛先(Syslog または LEEF イベント形式)を作成します。
Palo Alto はすべての Syslog デバイスに 1 つのフォーマットしか送信できません。Syslog 形式を変更することで、Syslog を必要とする他のデバイスも同じ形式をサポートする必要があります。
Palo Alto Networks インターフェイスにログインします。
[ デバイス ] タブで、[ サーバー プロファイル] > Syslog] をクリックし、[追加] をクリックします。
以下の手順で Syslog の宛先を作成します。
Syslog サーバー プロファイル ダイアログ ボックスで、追加をクリックします。
syslog サーバーとして使用する JSA システムの名前、サーバー IP アドレス、ポート、およびファシリティを指定します。
Syslog を使用している場合は、すべてのログ タイプの カスタム形式 列を [デフォルト] に設定します。
次の手順で LEEF イベントを設定します。
メモ：書式設定の問題が発生するため、テキストをテキストエディタにコピーし、キャリッジリターンまたは改行文字を削除して、適切なフィールドに貼り付けます。
-
Syslog サーバー プロファイル ダイアログの [構成ログ形式] タブをクリックします。
[Config]をクリックし、以下のテキストをコピーして、[Config Log Format](設定ログ形式)列に貼り付けます。
-
PAN-OS v3.0 - v6.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|4.0|$result|x7C|cat=$type| usrName=$admin|src=$host|devTime=$cefformatted- receive_time|client=$client| sequence=$seqno|serial=$serial|msg=$cmd
-
PAN-OS v7.1 - v9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $result|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| devTime=$cef-formatted-receive_time| src=$host|VirtualSystem=$vsys| msg=$cmd|usrName=$admin|client=$client| Result=$result|ConfigurationPath=$path| sequence=$seqno|ActionFlags=$actionflags| BeforeChangeDetail=$before-change-detail| AfterChangeDetail=$after-change-detail| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name
-
[システム] をクリックし、使用しているバージョンに適用される次のテキストのいずれかをコピーして、システム ログ タイプの [システム ログ形式] フィールドに貼り付けます。バージョンが表示されない場合は、この手順を省略します。
-
PAN-OS v3.0 - v6.1--
LEEF:2.0|Palo Alto Networks|PANOS Syslog Integration|4.0|$eventid|x7C| cat=$type|Subtype=$subtype|devTime=$cefformatted- receive_time|sev=$severity| Severity=$number-of-severity|msg=$opaque| Filename=$object
-
PAN-OS v7.1 - v9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $eventid|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| Subtype=$subtype|devTime=$cef-formattedreceive_ time|VirtualSystem=$vsys| Filename=$object|Module=$module| sev=$number-of-severity| Severity=$severity|msg=$opaque| sequence=$seqno|ActionFlags=$actionflags| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name
-
[脅威] をクリックし、使用しているバージョンに適用される次のテキストのいずれかをコピーし、[脅威ログ タイプ] にファイルされた脅威ログ形式に貼り付けます。バージョンが表示されない場合は、この手順を省略します。
-
PAN-OS v3.0 - v6.1--
LEEF:2.0|Palo Alto Networks| PAN-OS Syslog Integration|4.0| $threatid|x7C|cat=$type|Subtype=$subtype| src=$src|dst=$dst|srcPort=$sport| dstPort=$dport|proto=$proto| usrName=$srcuser|SerialNumber=$serial| srcPostNAT=$natsrc|dstPostNAT=$natdst| RuleName=$rule|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app|VirtualSystem=$vsys| SourceZone=$fromDestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt| srcPostNATPort=$natsport| dstPostNATPort=$natdport| Flags=$flags|URLCategory=$category| sev=$severity|Severity=$numberof- severity|Direction=$direction| ContentType=$contenttype|action=$action| Miscellaneous=$misc
-
PAN-OS v7.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $threatid|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| Subtype=$subtype|devTime=$cefformatted- receive_time|src=$src| dst=$dst|srcPostNAT=$natsrc| dstPostNAT=$natdst|RuleName=$rule| usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app|VirtualSystem=$vsys| SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport| dstPostNATPort=$natdport|Flags=$flags| proto=$proto|action=$action| Miscellaneous=$misc|ThreatID=$threatid| URLCategory=$category|sev=$numberof- severity|Severity=$severity| Direction=$direction|sequence=$seqno| ActionFlags=$actionflags| SourceLocation=$srcloc| DestinationLocation=$dstloc| ContentType=$contenttype| PCAP_ID=$pcap_id|FileDigest=$filedigest| Cloud=$cloud|URLIndex=$url_idx| UserAgent=$user_agent|FileType=$filetype| identSrc=$xff|Referer=$referer| Sender=$sender|Subject=$subject| Recipient=$recipient|ReportID=$reportid| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name
-
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $threatid|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| Subtype=$subtype|devTime=$cefformatted- receive_time|src=$src| dst=$dst|srcPostNAT=$natsrc| dstPostNAT=$natdst|RuleName=$rule| usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app|VirtualSystem=$vsys| SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport| dstPostNATPort=$natdport|Flags=$flags| proto=$proto|action=$action| Miscellaneous=$misc|ThreatID=$threatid| URLCategory=$category|sev=$numberof- severity|Severity=$severity| Direction=$direction|sequence=$seqno| ActionFlags=$actionflags| SourceLocation=$srcloc| DestinationLocation=$dstloc| ContentType=$contenttype| PCAP_ID=$pcap_id|FileDigest=$filedigest| Cloud=$cloud|URLIndex=$url_idx| RequestMethod=$http_method| Subject=$subject| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name| SrcUUID=$src_uuid|DstUUID=$dst_uuid| TunnelID=$tunnelid|MonitorTag=$monitortag| ParentSessionID=$parent_session_id| ParentStartTime=$parent_start_time| TunnelType=$tunnel| ThreatCategory=$thr_category| ContentVer=$contentver
-
[トラフィック] をクリックし、使用しているバージョンに適用される以下のテキストのいずれかをコピーし、[トラフィック ログ形式] フィールドにトラフィック ログ タイプに貼り付けます。バージョンが表示されない場合は、この手順を省略します。
-
PAN-OS v3.0 - v6.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|4.0|$action|x7C|cat=$type| src=$src|dst=$dst|srcPort=$sport| dstPort=$dport|proto=$proto| usrName=$srcuser| SerialNumber=$serial| Type=$type|Subtype=$subtype| srcPostNAT=$natsrc|dstPostNAT=$natdst| RuleName=$rule|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app| VirtualSystem=$vsys| SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt| srcPostNATPort=$natsport| dstPostNATPort=$natdport|Flags=$flags| totalBytes=$bytes|totalPackets=$packets| ElapsedTime=$elapsed| URLCategory=$category| dstBytes=$bytes_received| srcBytes=$bytes_sent|action=$action
-
PAN-OS v7.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$action| x7C|cat=$type|ReceiveTime=$receive_time| SerialNumber=$serial|Type=$type| Subtype=$subtype|devTime=$cefformatted- receive_time|src=$src| dst=$dst|srcPostNAT=$natsrc| dstPostNAT=$natdst|RuleName=$rule| usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app|VirtualSystem=$vsys| SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport| dstPostNATPort=$natdport| Flags=$flags|proto=$proto| action=$action|totalBytes=$bytes| dstBytes=$bytes_received| srcBytes=$bytes_sent| totalPackets=$packets| StartTime=$start|ElapsedTime=$elapsed| URLCategory=$category|sequence=$seqno| ActionFlags=$actionflags| SourceLocation=$srcloc| DestinationLocation=$dstloc| dstPackets=$pkts_received| srcPackets=$pkts_sent| SessionEndReason=$session_end_reason| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name| ActionSource=$action_source
-
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$action| x7C|cat=$type|ReceiveTime=$receive_time| SerialNumber=$serial|Type=$type| Subtype=$subtype|devTime=$cefformatted- receive_time|src=$src| dst=$dst|srcPostNAT=$natsrc| dstPostNAT=$natdst|RuleName=$rule| usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser| Application=$app|VirtualSystem=$vsys| SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if| EgressInterface=$outbound_if| LogForwardingProfile=$logset| SessionID=$sessionid| RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport| dstPostNATPort=$natdport| Flags=$flags|proto=$proto| action=$action|totalBytes=$bytes| dstBytes=$bytes_received| srcBytes=$bytes_sent| totalPackets=$packets| StartTime=$start|ElapsedTime=$elapsed| URLCategory=$category|sequence=$seqno| ActionFlags=$actionflags| SourceLocation=$srcloc| DestinationLocation=$dstloc| dstPackets=$pkts_received| srcPackets=$pkts_sent| SessionEndReason=$session_end_reason| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name| ActionSource=$action_source| SrcUUID=$src_uuid|DstUUID=$dst_uuid| TunnelID=$tunnelid|MonitorTag=$monitortag| ParentSessionID=$parent_session_id| ParentStartTime=$parent_start_time| TunnelType=$tunnel
-
PAN-OS 3.0 ~ 6.1 以外のバージョンを使用している場合は、HIP 一致をクリックし、使用しているバージョンに適用される次のテキストのいずれかをコピーして、HIP 一致ログ タイプの HIP 一致ログ形式フィールドに貼り付けます。
-
PAN-OS v7.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $matchname|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| Subtype=$subtype|devTime=$cefformatted- receive_time| usrName=$srcuser|VirtualSystem=$vsys| identHostName=$machinename|OS=$os| identSrc=$src|HIP=$matchname| RepeatCount=$repeatcnt|HIPType=$matchtype| sequence=$seqno|ActionFlags=$actionflags| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name
-
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $matchname|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type| Subtype=$subtype|devTime=$cefformatted- receive_time| usrName=$srcuser|VirtualSystem=$vsys| identHostName=$machinename|OS=$os| identsrc=$src|HIP=$matchname| RepeatCount=$repeatcnt|HIPType=$matchtype| sequence=$seqno|ActionFlags=$actionflags| DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name| DeviceName=$device_name| VirtualSystemID=$vsys_id|srcipv6=$srcipv6| startTime=$cef-formatted-time_generated
-
-
PAN-OS 8.0-9.1を使用している場合は、以下のテキストをコピーして、URLフィルタリングログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1-
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration| $sender_sw_version|$threatid|x7C|ReceiveTime=$receive_time|SerialNumber=$serial| cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time|src=$src|dst=$dst| srcPostNAT=$natsrc|dstPostNAT=$natdst|RuleName=$rule|usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser|Application=$app|VirtualSystem=$vsys|SourceZone=$from| DestinationZone=$to|IngressInterface=$inbound_if|EgressInterface=$outbound_if| LogForwardingProfile=$logset|SessionID=$sessionid|RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport|dstPostNATPort=$natdport|Flags=$flags| proto=$proto|action=$action|Miscellaneous=$misc|ThreatID=$threatid|URLCategory=$category| sev=$number-of-severity|Severity=$severity|Direction=$direction|sequence=$seqno| ActionFlags=$actionflags|SourceLocation=$srcloc|DestinationLocation=$dstloc| ContentType=$contenttype|PCAP_ID=$pcap_id|FileDigest=$filedigest|Cloud=$cloud| URLIndex=$url_idx|RequestMethod=$http_method|UserAgent=$user_agent|identSrc=$xff| Referer=$referer|Subject=$subject|DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2|DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4|vSrcName=$vsys_name|DeviceName=$device_name| SrcUUID=$src_uuid|DstUUID=$dst_uuid|TunnelID=$tunnelid|MonitorTag=$monitortag| ParentSessionID=$parent_session_id|ParentStartTime=$parent_start_time|TunnelType=$tunnel| ThreatCategory=$thr_category|ContentVer=$contentver
-
PAN-OS 8.0-9.1を使用している場合は、以下のテキストをコピーして、データログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration| $sender_sw_version|$threatid|x7C|ReceiveTime=$receive_time|SerialNumber=$serial| cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time|src=$src|dst=$dst| srcPostNAT=$natsrc|dstPostNAT=$natdst|RuleName=$rule|usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser|Application=$app|VirtualSystem=$vsys|SourceZone=$from| DestinationZone=$to|IngressInterface=$inbound_if|EgressInterface=$outbound_if| LogForwardingProfile=$logset|SessionID=$sessionid|RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport|dstPostNATPort=$natdport|Flags=$flags| proto=$proto|action=$action|Miscellaneous=$misc|ThreatID=$threatid|URLCategory=$category| sev=$number-of-severity|Severity=$severity|Direction=$direction|sequence=$seqno| ActionFlags=$actionflags|SourceLocation=$srcloc|DestinationLocation=$dstloc| ContentType=$contenttype|PCAP_ID=$pcap_id|FileDigest=$filedigest| Cloud=$cloud|URLIndex=$url_idx|RequestMethod=$http_method|Subject=$subject| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name|DeviceName=$device_name|SrcUUID=$src_uuid|DstUUID=$dst_uuid| TunnelID=$tunnelid|MonitorTag=$monitortag|ParentSessionID=$parent_session_id| ParentStartTime=$parent_start_time|TunnelType=$tunnel|ThreatCategory=$thr_category| ContentVer=$contentver
-
PAN-OS 8.0~ 9.1 を使用している場合は、以下のテキストをコピーして、野火のログ タイプのカスタム形式列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration| $sender_sw_version|$threatid|x7C|ReceiveTime=$receive_time|SerialNumber=$serial| cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time|src=$src|dst=$dst| srcPostNAT=$natsrc|dstPostNAT=$natdst|RuleName=$rule|usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser|Application=$app|VirtualSystem=$vsys|SourceZone=$from| DestinationZone=$to|IngressInterface=$inbound_if|EgressInterface=$outbound_if| LogForwardingProfile=$logset|SessionID=$sessionid|RepeatCount=$repeatcnt|srcPort=$sport| dstPort=$dport|srcPostNATPort=$natsport|dstPostNATPort=$natdport|Flags=$flags| proto=$proto|action=$action|Miscellaneous=$misc|ThreatID=$threatid|URLCategory=$category| sev=$number-of-severity|Severity=$severity|Direction=$direction|sequence=$seqno| ActionFlags=$actionflags|SourceLocation=$srcloc|DestinationLocation=$dstloc| ContentType=$contenttype|PCAP_ID=$pcap_id|FileDigest=$filedigest| Cloud=$cloud|URLIndex=$url_idx|RequestMethod=$http_method|FileType=$filetype| Sender=$sender|Subject=$subject|Recipient=$recipient|ReportID=$reportid| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name|DeviceName=$device_name|SrcUUID=$src_uuid|DstUUID=$dst_uuid| TunnelID=$tunnelid|MonitorTag=$monitortag|ParentSessionID=$parent_session_id| ParentStartTime=$parent_start_time|TunnelType=$tunnel|ThreatCategory=$thr_category| ContentVer=$contentver
-
PAN-OS 8.0- 9.1を使用している場合は、以下のテキストをコピーして、認証ログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$event|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time| ServerProfile=$serverprofile|LogForwardingProfile=$logset|VirtualSystem=$vsys| AuthPolicy=$authpolicy|ClientType=$clienttype|NormalizeUser=$normalize_user| ObjectName=$object|FactorNumber=$factorno|AuthenticationID=$authid|src=$ip| RepeatCount=$repeatcnt|usrName=$user|Vendor=$vendor|msg=$event|sequence=$seqno| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name|DeviceName=$device_name|AdditionalAuthInfo=$desc| ActionFlags=$actionflags
-
PAN-OS 8.0-9.1を使用している場合は、以下のテキストをコピーして、ユーザーIDログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$subtype|x7C|ReceiveTime=$receive_time| SerialNumber=$serial|cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time| FactorType=$factortype|VirtualSystem=$vsys|DataSourceName=$datasourcename| DataSource=$datasource|DataSourceType=$datasourcetype|FactorNumber=$factorno| VirtualSystemID=$vsys_id|TimeoutThreshold=$timeout|src=$ip|srcPort=$beginport| dstPort=$endport|RepeatCount=$repeatcnt|usrName=$user|sequence=$seqno|EventID=$eventid| FactorCompletionTime=$factorcompletiontime|DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2|DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4|vSrcName=$vsys_name|DeviceName=$device_name| ActionFlags=$actionflags
-
PAN-OS 8.0- 9.1を使用している場合は、以下のテキストをコピーして、トンネルインスペクションログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$action|x7C|ReceiveTime=$receive_time|SerialNumber=$serial| cat=$type|Subtype=$subtype|devTime=$cef-formatted-receive_time|src=$src|dst=$dst| srcPostNAT=$natsrc|dstPostNAT=$natdst|RuleName=$rule|usrName=$srcuser|SourceUser=$srcuser| DestinationUser=$dstuser|Application=$app|VirtualSystem=$vsys|SourceZone=$from| DestinationZone=$to|IngressInterface=$inbound_if|EgressInterface=$outbound_if| LogForwardingProfile=$logset|SessionID=$sessionid|RepeatCount=$repeatcnt| srcPort=$sport|dstPort=$dport|srcPostNATPort=$natsport|dstPostNATPort=$natdport| Flags=$flags|proto=$proto|action=$action|sequence=$seqno|ActionFlags=$actionflags| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name|DeviceName=$device_name|TunnelID=$tunnelid|MonitorTag=$monitortag| ParentSessionID=$parent_session_id|ParentStartTime=$parent_start_time|TunnelType=$tunnel| totalBytes=$bytes|dstBytes=$bytes_received|srcBytes=$bytes_sent|totalPackets=$packets| dstPackets=$pkts_received|srcPackets=$pkts_sent|MaximumEncapsulation=$max_encap| UnknownProtocol=$unknown_proto|StrictChecking=$strict_check| TunnelFragment=$tunnel_fragment|SessionsCreated=$sessions_created| SessionsClosed=$sessions_closed|SessionEndReason=$session_end_reason| ActionSource=$action_source|startTime=$start|ElapsedTime=$elapsed
-
PAN-OS 8.0- 9.1を使用している場合は、以下のテキストをコピーして、相関ログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.0 - 9.1--
LEEF:2.0|Palo Alto Networks|PANOS Syslog Integration|8.0|$category|ReceiveTime=$receive_time| x7C|SerialNumber=$serial|cat=$type|devTime=$cef-formatted-receive_time|startTime=$cefformatted- time_generated|Severity=$severity|VirtualSystem=$vsys|VirtualSystemID=$vsys_id| src=$src|SourceUser=$srcuser|msg=$evidence|DeviceGroupHierarchyL1=$dg_hier_level_1| DeviceGroupHierarchyL2=$dg_hier_level_2|DeviceGroupHierarchyL3=$dg_hier_level_3| DeviceGroupHierarchyL4=$dg_hier_level_4|vSrcName=$vsys_name|DeviceName=$device_name| ObjectName=$object_name|ObjectID=$object_id
-
PAN-OS 8.1 - 9.1を使用している場合は、以下のテキストをコピーして、SCTPログタイプのカスタムフォーマット列に貼り付けます。
PAN-OS v8.1 - 9.1
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version|$action| x7C|ReceiveTime=$receive_time|SerialNumber=$serial|cat=$type|genTime=$time_generated| src=$src|dst=$dst|VirtualSystem=$vsys|SourceZone=$from|DestinationZone=$to| IngressInterface=$inbound_if|EgressInterface=$outbound_if|SessionID=$sessionid| RepeatCount=$repeatcnt|srcPort=$sport|dstPort=$dport|proto=$proto|action=$action| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vsysName=$vsys_name|DeviceName=$device_name|sequence=$seqno|AssocID=$assoc_id| PayloadProtoID=$ppid|sev=$num_of_severity|SCTPChunkType=$sctp_chunk_type| SCTPVerTag1=$verif_tag_1|SCTPVerTag2=$verif_tag_2|SCTPCauseCode=$sctp_cause_code| DiamAppID=$diam_app_id|DiamCmdCode=$diam_cmd_code|DiamAVPCode=$diam_avp_code| SCTPStreamID=$stream_id|SCTPAssEndReason=$assoc_end_reason|OpCode=$op_code| CPSSN=$sccp_calling_ssn|CPGlobalTitle=$sccp_calling_gt|SCTPFilter=$sctp_filter| SCTPChunks=$chunks|SrcSCTPChunks=$chunks_sent|DstSCTPChunks=$chunks_received| Packets=$packets|srcPackets=$pkts_sent|dstPackets=$pkts_received
-
PAN-OS 9.xを使用している場合は、以下のテキストをコピーして、IPTagログタイプのカスタムフォーマット列に貼り付けます。
LEEF:2.0|Palo Alto Networks|PAN-OS Syslog Integration|$sender_sw_version| $event_id|x7C|cat=$type|devTime=$cef-formatted-receive_time|ReceiveTime=$receive_time| SerialNumber=$serial|Subtype=$subtype|GenerateTime=$time_generated| VirtualSystem=$vsys|src=$ip|TagName=$tag_name|EventID=$eventid|RepeatCount=$repeatcnt| TimeoutThreshold=$timeout|DataSourceName=$datasourcename|DataSource=$datasource_type| DataSourceType=$datasource_subtype|sequence=$seqno|ActionFlags=$actionflags| DeviceGroupHierarchyL1=$dg_hier_level_1|DeviceGroupHierarchyL2=$dg_hier_level_2| DeviceGroupHierarchyL3=$dg_hier_level_3|DeviceGroupHierarchyL4=$dg_hier_level_4| vSrcName=$vsys_name|DeviceName=$device_name|VirtualSystemID=$vsys_id
-
[ OK] をクリックします。
Syslogメッセージに含まれるイベントの重大度を指定するには、 ログ設定をクリックします。
Syslog メッセージに含める重大度ごとに、[重大度] をクリックし、[Syslog] メニューから Syslog の宛先を選択します。
[OK] をクリックします。
[ コミット] をクリックします。
Palo Alto Networks デバイスと JSA 間の通信を許可するには、転送ポリシーを作成します。 Palo Alto PA シリーズ デバイスでの転送ポリシーの作成を参照してください。
JSA への転送 Palo Alto Cortex Data Lake(次世代ファイアウォール)LEEF イベント
Palo Alto Cortex Data Lake イベントを JSA に送信するには、JSA に TLS Syslog ログ ソースを追加し、Syslog サーバーにログを転送するように Cortex Data Lake を構成する必要があります。
-
TLS Syslog プロトコルを使用して JSA にログ ソースを追加します。詳細については、 Palo Alto PA シリーズの TLS Syslog ログ ソース パラメーターを参照してください。
-
コーテックス・データ・レイクからJSAにログを転送します。詳細については、 Palo Alto のマニュアルを参照してください。
-
コーテックス・データ・レイクからログを転送する際、LEEFのログ形式を選択します。
-
Palo Alto の cat フィールドと EventStatus フィールドを有効にする必要があります。 EventStatus フィールドは、JSA の グローバル保護 イベントを解析するために必要です。
Palo Alto PA シリーズ デバイスでの転送ポリシーの作成
JSA コンソールまたは イベント コレクター が Palo Alto PA シリーズ デバイスとは異なるセキュリティ ゾーンにある場合は、転送ポリシー ルールを作成します。
Palo Alto Networks にログインします。
ダッシュボードで、[ポリシー] タブ を クリックします。
[ ポリシー] > [ポリシー ベースの転送] をクリックします。
[ 追加] をクリックします。
パラメーターを設定します。ポリシーベースの転送値の説明については、 Palo Alto Networks Administrator's Guide を参照してください。
Palo Alto PA シリーズ ネットワーク ファイアウォール デバイスでの ArcSight CEF フォーマット Syslog イベントの作成
Palo Alto Networks ファイアウォールを設定して、ArcSight CEF フォーマットの Syslog イベントを JSA に送信します。
Palo Alto Networks インターフェイスにログインします。
[ デバイス ] タブをクリックします。
[ サーバー プロファイル >Syslog] を選択し、 [ 追加] をクリックします。
[ サーバー ] タブで、[ 追加] をクリックします。
Syslog サーバーとして使用する JSA システムの名前、サーバー IP アドレス、ポート、およびファシリティを指定します。
名前はSyslogサーバー名です。
Syslog サーバーは、Syslog サーバーの IP アドレスです。
トランスポート/ポートのデフォルトは514です。
教員のデフォルトはLOG_USERです。
そのログ タイプに対する ArcSight CEF に基づいて、カスタム形式を定義する一覧表示されているログ タイプのいずれかを選択するには、次の手順を実行します。
[カスタム ログ形式] タブをクリックし、表示されているログ タイプのいずれかを選択して、そのログ タイプの ArcSight CEF に基づいてカスタム形式を定義します。リストされているログ タイプは、構成、システム、脅威、トラフィック、HIP 一致です。
[OK] を 2 回クリックしてエントリを保存し、[コミット] をクリックします。
ArcSight のドキュメント『 Implementing ArcSight CEF』で提供されるイベント マッピング テーブルを使用する独自の CEF スタイル形式を定義するには、CEF スタイル形式の定義に関する以下の情報を使用できます。
[カスタム ログ形式] タブは、CEF で特殊文字として定義されている文字をエスケープすることをサポートしています。たとえば、バックスラッシュを使用してバックスラッシュと等しい文字をエスケープするには、 [エスケープ] チェックボックスをオンにして、エスケープ文字と\asエスケープ文字を指定\=asします。
以下のリストは、各ログ タイプの認定プロセスで使用された CEF スタイルの形式を示しています。これらのカスタムフォーマットには、Syslogのデフォルトフォーマットに表示されるのと同様の順序ですべてのフィールドが含まれています。
メモ：PDF フォーマットのため、メッセージ形式を PAN-OS Web インターフェイスに直接コピーアンドペーストしないでください。代わりに、テキストエディタに貼り付け、キャリッジリターンまたは改行文字を削除し、Webインターフェイスにコピーアンドペーストします。
-
トラフィック--
CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action flexNumber1Label=Total bytes flexNumber1=$bytes in=$bytes_sent out=$bytes_received cn2Label=Packets cn2=$packets PanOSPacketsReceived=$pkts_received PanOSPacketsSent=$pkts_sent start=$cef-formattedtime_ generated cn3Label=Elapsed time in seconds cn3=$elapsed cs2Label=URL Category cs2=$category externalId=$seqno
-
脅威-
CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cefformatted- receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action request=$misc cs2Label=URL Category cs2=$category flexString2Label=Direction flexString2=$direction externalId=$seqno requestContext=$contenttype cat=$threatid filePath=$cloud fileId=$pcap_id fileHash=$filedigest
-
構成-
CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$result|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial dvchost=$host cs3Label=Virtual System cs3=$vsys act=$cmd duser=$admin destinationServiceName=$client msg=$path externalId=$seqno
-
-
オプション:--
cs1Label=Before Change Detail cs1=$before-change-detail cs2Label=After Change Detail cs2=$after-change-detail
-
-
システム--
CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cefformatted- receive_time deviceExternalId=$serial cs3Label=Virtual System cs3=$vsys fname=$object flexString2Label=Module flexString2=$module msg=$opaque externalId=$seqno cat=$eventid
-
HIP マッチ-
CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$matchtype|$type|1|rt=$cef-formattedreceive_ time deviceExternalId=$serial suser=$srcuser cs3Label=Virtual System cs3=$vsys shost=$machinename src=$src cnt=$repeatcnt externalId=$seqno cat=$matchname cs2Label=Operating System cs2=$os
-
Syslog設定の詳細については、 Palo Alto Networks Web サイトの PAN-OS 管理者ガイド(https://www.paloaltonetworks.com)を参照してください。
Palo Alto PA シリーズの TLS Syslog ログ ソース パラメーター
JSA がログ ソースを自動的に検出しない場合は、TLS Syslog プロトコルを使用して JSA コンソールに Palo Alto PA シリーズのログ ソースを追加します。
TLS Syslog プロトコルを使用する場合、構成する必要がある特定のパラメーターがあります。
次の表では、Palo Alto PA シリーズから TLS Syslog イベントを収集するために特定の値を必要とするパラメーターについて説明します。
| パラメーター |
値 |
|---|---|
| ログ ソース タイプ |
パロアルトPAシリーズ |
| プロトコル設定 |
TLS Syslog |
| ログ ソース識別子 |
ログの送信元を識別するための IP アドレスまたはホスト名。 |
TLS Syslogプロトコルパラメーターとその値の完全なリストについては、 TLS Syslogプロトコル設定オプションを参照してください。
Palo Alto PA シリーズサンプル イベント メッセージ
JSA との統合が成功したことを確認する方法として、これらのサンプル イベント メッセージを使用します。
書式設定の問題により、メッセージ形式をテキスト エディタに貼り付け、キャリッジ リターンまたは改行文字を削除します。
Syslogプロトコルを使用した場合のパロアルトPAシリーズのサンプルメッセージ
サンプル 1: 以下のサンプル イベント メッセージは、トロイの木馬脅威イベントに対する PAN-OS イベントを示しています。
<180>May 6 16:43:53 paloalto.paseries.test LEEF:1.0| Palo Alto Networks|PAN-OS Syslog Integration|8.1.6|trojan/ PDF.gen.eiez(268198686)|ReceiveTime=2019/05/06 16:43:53|SerialNumber=001801010877|cat=THREAT| Subtype=virus|devTime=May 06 2019 11:13:53 GMT|src=10.2.75.41|dst=192.168.178.180| srcPostNAT=192.168.68.141|dstPostNAT=192.168.178.180|RuleName=Test-1|usrName=qradar\\user1| SourceUser=qradar\\user1|DestinationUser=|Application=web-browsing|VirtualSystem=vsys1| SourceZone=INSIDE-ZN|DestinationZone=OUTSIDE-ZN|IngressInterface=ethernet1/1| EgressInterface=ethernet1/3|LogForwardingProfile=testForwarder|SessionID=3012|RepeatCount=1| srcPort=63508|dstPort=80|srcPostNATPort=31539|dstPostNATPort=80|Flags=0x406000|proto=tcp| action=alert|Miscellaneous=\"qradar.example.test/du/uploads/08052018_UG_FAQ.pdf\"| ThreatID=trojan/PDF.gen.eiez(268198686)|URLCategory=educational-institutions|sev=3| Severity=medium|Direction=server-to-client|sequence=486021038|ActionFlags=0xa000000000000000| SourceLocation=10.0.0.0-10.255.255.255|DestinationLocation=testPlace|ContentType=| PCAP_ID=0|FileDigest=|Cloud=|URLIndex=5|RequestMethod=|Subject=|DeviceGroupHierarchyL1=12| DeviceGroupHierarchyL2=0|DeviceGroupHierarchyL3=0|DeviceGroupHierarchyL4=0|vSrcName=| DeviceName=testName|SrcUUID=|DstUUID=|TunnelID=0|MonitorTag=|ParentSessionID=0|ParentStartTime=| TunnelType=N/A|ThreatCategory=pdf|ContentVer=Antivirus-2969-3479
| JSAフィールド名 |
ハイライトされたペイロード フィールド |
|---|---|
| イベント ID |
イベント ID 値は268198686。
メモ：
通常 LEEF ヘッダーのイベント ID フィールドが使用されます。ただし、特定のイベント タイプでは、LEEF フィールドや サブタイプなどのカスタム フィールドや アクション を使用して一意のイベント ID を形成することがあります。 |
| カテゴリ |
PA シリーズの脅威
メモ：
cat フィールドの値は、イベントのカテゴリーとして直接使用されません。このフィールドの値は、事前定義されたカテゴリー値のセットを決定するために使用されます。特定のイベントタイプでは、LEEFフィールドまたはカスタムフィールドを使用して固有のイベントカテゴリーを形成できます。 |
| デバイスの時刻 |
DevTime |
| ソース IP |
Src |
| 宛先 IP |
Dst |
| 送信元ポート |
srcPort |
| 宛先ポート |
dstPort |
| NAT 後ソース IP |
srcPostNAT |
| NAT 後の宛先 IP |
dstPostNAT |
| NAT Soure ポートのポスト |
srcPostNATPort |
| NAT 後の宛先ポート |
dstPostNATPort |
| プロトコル |
プロト |
サンプル 2: 次のイベント メッセージの例は、ポリシーによってセッションが許可されている Prisma イベントを示しています。
<14>1 2021-10-26T13:56:21.887Z paloalto.paseries.test logforwarder - panwlogs - LEEF:2.0|Palo Alto Networks|Prisma Access|2.1|allow| | TimeReceived=2021-10-26T13:56:20.000000Z DeviceSN=no-serial cat=traffic SubType=start ConfigVersion=10.0 devTime=2021-10-26T13:56:17.000000Z src=192.168.21.100 dst=172.16.0.3 srcPostNAT=172.16.0.4 dstPostNAT=172.16.0.5 Rule=CG-RN-Guest-to-Internet usrName= DestinationUser= Application=web-browsing VirtualLocation=vsys1 FromZone=FromZone ToZone=untrust InboundInterface=tunnel.101 OutboundInterface=ethernet1/1 LogSetting=to- Cortex-Data-Lake SessionID=49934 RepeatCount=1 srcPort=59532 dstPort=80 sr=49718 dstPostNATPort=80 proto=tcp Bytes=374 srcBytes=300 dstBytes=74 totalPackets=4 SessionStartTime=2021-10-26T13:56:15.000000Z SessionDuration=0 URLCategory=any SequenceNo=13336648 SourceLocation=192.168.0.0-192.168.255.255 DestinationLocation=CA srcPackets=3 dstPackets=1 SessionEndReason=na DGHierarchyLevel1=62 DGHierarchyLevel2=38 DGHierarchyLevel3=53 DGHierarchyLevel4=0 VirtualSystemName= DeviceName=DeviceName ActionSource=frompolicy SourceUUID= DestinationUUID= IMSI=0 IMEI= ParentSessionID=0 ParentStarttime=1970-01-01T00:00:00.000000Z Tunnel=N/A EndpointAssociationID=0 ChunksTotal=0 ChunksSent=0 ChunksReceived=0 RuleUUID=00000000-0000-0000-0000-000000000000 HTTP2Connection=0 LinkChangeCount=0 SDWANPolicyName= LinkSwitches= SDWANCluster= SDWANDeviceType= SDWANClusterType= SDWANSite= DynamicUserGroupName= XForwarded- ForIP= SourceDeviceCategory= SourceDeviceProfile= SourceDeviceModel= SourceDeviceVendor= SourceDeviceOSFamily= SourceDeviceOSVersion= SourceDeviceHost= SourceDeviceMac= DestinationDeviceCategory= DestinationDeviceProfile= DestinationDeviceModel= DestinationDeviceVendor= DestinationDeviceOSFamily= DestinationDeviceOSVersion= DestinationDeviceHost= DestinationDeviceMac= ContainerID= ContainerNameSpace= ContainerName= SourceEDL= DestinationEDL= GPHostID= EndpointSerialNumber= SourceDynamicAddressGroup= DestinationDynamicAddressGroup= HASessionOwner= TimeGeneratedHighResolution=2021-10-26T13:56:17.911000Z NSSAINetworkSliceType= NSSAINetworkSliceDifferentiator= devTimeFormat=YYYY-MM-DD'T'HH:mm:ss.SSSZ
| JSAフィールド名 |
ハイライトされたペイロード フィールド |
|---|---|
| イベント ID |
イベント ID 値は許可されます。 |
| イベントカテゴリー |
PA シリーズ トラフィック
メモ：
cat フィールドの値は、イベントのカテゴリーとして直接使用されません。このフィールドの値は、事前定義されたカテゴリー値のセットを決定するために使用されます。特定のイベントタイプでは、LEEFフィールドまたはカスタムフィールドを使用して固有のイベントカテゴリーを形成できます。 |
| デバイスの時刻 |
DevTime |
| ソース IP |
Src |
| 宛先 IP |
Dst |
| 送信元ポート |
srcPort |
| 宛先ポート |
dstPort |
| NAT 後ソース IP |
srcPostNAT |
| NAT 後の宛先 IP |
dstPostNAT |
| NAT Soure ポートのポスト |
シニア |
| NAT 後の宛先ポート |
dstPostNATPort |
| プロトコル |
プロト |
TLS Syslog プロトコルを使用した場合の Palo Alto PA シリーズのサンプル メッセージ
次のサンプル イベント メッセージは、バージョン 10.1 の次世代ファイアウォール イベントを示しています。
<14>1 2021-08-09T14:00:26.364Z paloalto.paseries.test logforwarder - panwlogs - LEEF:2.0|Palo Alto Networks|Next Generation Firewall|10.1|drop-all| | TimeReceived=2021-08-09T14:00:25.000000Z DeviceSN=001011000011111 cat=gtp SubType=end ConfigVersion=10.1 devTime=2021-08-09T14:00:22.000000Z src=fc00:0:e426:5678:b202:b3ff:fe1e:8329 dst=fc00:5678:90aa:cc33:f202:b3ff:fe1e:8329 srcPostNAT=10.5.5.5 dstPostNAT=192.168.178.180 Rule=allow-all-employees usrName=paloaltonetwork\testUser DestinationUser=paloaltonetwork\tUser Application=adobe-cq VirtualLocation=aaaa1 FromZone=corporate ToZone=corporate InboundInterface=ethernet1/1 OutboundInterface=ethernet1/3 LogSetting=rs-logging SessionID=1111111 RepeatCount=1 srcPort=10273 dstPort=27624 srcPostNATPort=26615 dstPostNATPort=6501 proto=tcp TunnelEventType=51 MobileSubscriberISDN= AccessPointName= RadioAccessTechnology=11 TunnelMessageType=0 MobileIP= TunnelEndpointID1=0 TunnelEndpointID2=0 TunnelInterface=0 TunnelCauseCode=0 VendorSeverity=Unused MobileCountryCode=0 MobileNetworkCode=0 MobileAreaCode=0 MobileBaseStationCode=0 TunnelEventCode=0 SequenceNo=1111111111111111111 SourceLocation=NB DestinationLocation=saint john DGHierarchyLevel1=12 DGHierarchyLevel2=0 DGHierarchyLevel3=0 DGHierarchyLevel4=0 VirtualSystemName= DeviceName=PA-VM IMSI=28 IMEI=datacenter ParentSessionID=1111111 ParentStarttime=1970-01-01T00:00:00.000000Z Tunnel=tunnel Bytes=741493 srcBytes=277595 dstBytes=463898 totalPackets=1183 srcPackets=554 dstPackets=629 PacketsDroppedMax=58 PacketsDroppedProtocol=34 PacketsDroppedStrict=171 PacketsDroppedTunnel=773 TunnelSessionsCreated=537 TunnelSessionsClosed=206 SessionEndReason=unknown ActionSource=unknown startTime=2021-08-09T13:59:51.000000Z SessionDuration=35 TunnelInspectionRule=gtp TunnelRemoteUserIP= TunnelRemoteIMSIID=0 RuleUUID=11a111aa-1a11-1a1a-11a1-1a11a11111a1 DynamicUserGroupName=dynug-4 ContainerID= ContainerNameSpace= ContainerName= SourceEDL= DestinationEDL= SourceDynamicAddressGroup= DestinationDynamicAddressGroup= TimeGeneratedHighResolution=2021-08-09T14:00:22.079000Z NSSAINetworkSliceDifferentiator=0 NSSAINetworkSliceType=0 ProtocolDataUnitsessionID=0 devTimeFormat=YYYY-MM-DDTHH:mm:ss.SSSSSSZ
| JSAフィールド名 |
ハイライトされたペイロード フィールド |
|---|---|
| イベント ID |
drop-all(LEEF header Event IDフィールド)
メモ：
通常 LEEF ヘッダーの イベント ID フィールドが使用されます。ただし、特定のイベント タイプでは、LEEF フィールドや サブタイプなどのカスタム フィールドや アクション を使用して一意のイベント ID を形成することがあります。 |
| カテゴリ |
PA シリーズ GTP
メモ：
cat フィールドの値は、イベントのカテゴリーとして直接使用されません。このフィールドの値は、事前定義されたカテゴリー値のセットを決定するために使用されます。特定のイベントタイプでは、LEEFフィールドまたはカスタムフィールドを使用して固有のイベントカテゴリーを形成できます。 |
| デバイスの時刻 |
DevTime |
| ソース IPv6 |
Src |
| 宛先 IPv6 |
Dst |
| 送信元ポート |
SrcPort |
| 宛先ポート |
dstPort |
| NAT 後ソース IP |
srcPostNAT |
| NAT 後の宛先 IP |
dstPostNAT |
| NAT Soure ポートのポスト |
srcPostNATPort |
| NAT 後の宛先ポート |
dstPostNATPort |
| プロトコル |
Tcp |
| 名 |
usrName
メモ：
ユーザー名にその値の一部としてドメインが含まれている場合、ドメイン部分は削除され、実際のユーザー名部分のみが使用されます。 |