Palo Alto Networks Anleitung
Verwenden Sie diese Anleitung, um Cybora auf Palo Alto Networks Firewalls als External Dynamic List (EDL) zu registrieren. EDLs gehoeren zu den staerksten nativen Integrationen fuer Threat Intelligence, weil die Firewall die Liste automatisch aktualisieren und die aktualisierten Eintraege ohne neuen Commit durchsetzen kann.
Was Palo Alto mit einem Cybora-Feed machen kann
- IP-basierte Cybora-Feeds koennen als Source- oder Destination-Match-Objekte in Security Policy Rules verwendet werden.
- Domain-basierte Feeds koennen in unterstuetzten Security Profiles und domainbasierten Kontrollen eingesetzt werden.
- URL-basierte Feeds koennen in URL-bezogenen Policy- und Profile-Workflows durchgesetzt werden.
- Nachdem die EDL konfiguriert und committed wurde, werden spaetere Listenupdates dynamisch von der Firewall geladen, ohne dass erneut ein Policy Commit noetig ist.
Bevor Sie beginnen
- Verwenden Sie eine PAN-OS-Version, die External Dynamic Lists unterstuetzt.
- Stellen Sie sicher, dass die Firewall die Cybora-Feed-URL ueber die konfigurierte Service Route erreichen kann.
- Waehlen Sie den korrekten EDL-Typ fuer den gelieferten Feed: IP, Domain oder URL.
- Halten Sie Feed-Typ und Inhaltsformat konsistent. Eine IP EDL darf nur IP-Eintraege enthalten, eine Domain EDL nur Domains und eine URL EDL nur URLs.
EDL erstellen
- Gehen Sie zu Objects > External Dynamic Lists und fuegen Sie eine neue Liste hinzu.
- Geben Sie einen klaren Namen und optional eine Beschreibung ein.
- Waehlen Sie den Listentyp, der zu Ihrem Cybora-Feed passt.
- Fuegen Sie die Cybora-Feed-URL in das Source-Feld ein.
- Konfigurieren Sie Authentifizierung nur dann, wenn Ihr konkreter Feed dies verlangt.
- Verwenden Sie, falls verfuegbar, Test Source URL, um zu bestaetigen, dass die Firewall den Feed erreichen kann.
- Setzen Sie Check for updates exakt passend zu Ihrem Cybora-Plan. Innerhalb des erlaubten Intervalls ist nur eine Abfrage zulaessig. Wenn die Firewall den Feed haeufiger aktualisiert, als Ihr Plan erlaubt, kann der Feed blockiert werden.
- Committen Sie die Konfiguration.
Policy auf der EDL durchsetzen
- Fuegen Sie die EDL der relevanten Security Policy Rule oder dem passenden unterstuetzten Profil hinzu.
- Verwenden Sie bei IP EDLs die Liste als Source- oder Destination-Objekt in der Regel.
- Verwenden Sie bei Domain- oder URL-EDLs die Liste in der unterstuetzten Security Control, in der dieser Listentyp durchgesetzt wird.
- Platzieren Sie die Regel so, dass Cybora-Treffer in der gewuenschten Reihenfolge ausgewertet werden.
- Committen Sie die Policy-Aenderung.
Validierung
- Oeffnen Sie die EDL und pruefen Sie, ob die Firewall die Quelle erfolgreich abrufen kann.
- Verwenden Sie List Entries und Exceptions, um zu bestaetigen, dass die erwarteten Eintraege importiert wurden.
- Falls noetig, verwenden Sie Import Now, um eine Aktualisierung vom Webserver sofort auszufuehren.
- Bestaetigen Sie, dass die EDL tatsaechlich in der vorgesehenen Regel oder dem Profil referenziert wird, denn eine ungenutzte Liste schuetzt keinen Traffic.
- Testen Sie mit bekanntem passendem Traffic und pruefen Sie die entsprechenden Traffic-, Threat- oder URL-Logs.