【Palo Alto】【Prisma Access】運用管理② -インシデント&アラート-｜技術ブログ

Palo Alto Networks

2024.08.15

Prisma Accessの運用管理に関する内容を複数回に分けてご紹介します。
第2回は運用管理機能の中から、インシデントやアラート、ログの確認方法についてご紹介します。

1. 運用管理機能について

Prisma Accessでは以下5つの標準機能を活用することで、Prisma Accessインフラ状況・利用状況・脅威などの可視化や、インシデント・アラートの確認が可能です。
本機能はStrata Cloud Manager (SCM) 経由でご利用いただけます。

Command Center
Strataプラットフォームでネットワークセキュリティ全体を統合し、リアルタイムで包括的に可視化
Insights
実際のユーザートラフィックに基づいたアプリの検出、使用状況・脅威の可視化
Dashboard
モバイルユーザーや拠点の接続状況に関するインフラ状況(健全性)のダッシュボードから、各セキュリティに関するダッシュボードなど複数用意があり、用途に合わせて状況を確認可能
Incident & Alerts
Prisma Accessインフラに関するインシデントのダッシュボード上への表示、アラート通知
Monitor
ブランチサイト、データセンター、ネットワークサービス、サブスクリプションの使用状況、Prisma Accessロケーションなど、各項目の情報を詳しくモニタリング

今回は「Incident & Alerts」についてご紹介します。

2. Incident & Alerts について

インシデント
Prisma Access上のセキュリティイベントやインフラ上の異常動作、特定のルールやポリシーに違反した場合、それらをインシデントとしてみなします。
アラート
Prisma Access上のインシデントを検出した際に関係者に通知するための機能を提供します。ネットワーク障害や重要なセキュリティイベントに関する警告を受け取ることで、セキュリティチームや管理者が迅速に対処することが可能となります。Prisma Accessが生成するアラートには、優先アラートと情報アラートがあります。

SCMから、Incident & Alerts > Prisma Accessをクリックします。

インシデントやアラートの情報が表示されます。通知プロファイル設定やインシデント設定も可能です。
画面上部のタブで、「Overview」「インシデントリスト」「優先アラート」「情報アラート」「通知プロファイル」「ServiceNow監査ログ」「インシデント設定」から表示するカテゴリを選択します。

2.1. Overview

Overviewでは、その日に発生したインシデント、時系列、ユーザーへの影響などをインシデントの重大度ごとに確認することができます。また最新のインシデントとして、直近で発生しているインシデントがパネル式で表示されます。

各インシデントのリンクをクリックすると、そのインシデントに対する詳細情報を確認できます。

2.2. インシデントリスト

インシデントリストでは、発生したインシデントの一覧が表示されます。

「Add Filter」をクリックして、インシデントの状態/ロケーション/重大度/カテゴリなど項目ごとにフィルタをかけることができます。

また、カラムアイコンをクリックして表示するカラムをカスタマイズ可能です。

インシデント名をクリックすると、インシデントの詳細ページに画面遷移します。

以下は、インシデントの詳細画面です。

インシデントカテゴリやインシデントコード情報、影響を受けるオブジェクトやユーザー数、イベントの時系列など、発生しているインシデントについての詳細が１つのページにまとまっています。

2.3. 優先アラート

優先アラートは、Prisma Access上で発生したセキュリティイベントやネットワークの重大な問題、迅速に対応が必要な状況に対して通知されるアラートです。

「Add Filter」をクリックして、アラートの状態/ロケーション/重大度/カテゴリなど項目ごとにフィルタをかけることができます。

また、ダウンロードアイコンをクリックして、優先アラート情報をCSV形式でダウンロード可能です。

アラート名をクリックすると、アラートの詳細がポップアップで表示されます。

2.4. 情報アラート

情報アラートは一般的な情報を提供し、即座に対応する必要のないイベントを通知するアラートです。Prisma Accessのソフトウェアアップグレード関連の通知、進行状況や完了のステータスの通知を確認することができます。

優先アラートと同様に情報アラートにフィルタをかけて表示することや、アラート情報をCSV形式でダウンロードすることが可能です。

2.5. 通知プロファイル

通知プロファイルでは、管理者向けの通知設定を行うことができます。
デフォルトの通知プロファイルは無効にすることはできず、作成したプロファイルをデフォルトにすることもできません。デフォルトプロファイルに必要な管理者の宛先を追加してご利用ください。

通知サブスクリプション欄右上の「通知プロファイルを追加」から、新規プロファイルを作成できます。
また、通知サブスクリプションログ欄には、通知プロファイルを追加/変更/削除した際のログが表示されます。
※こちらのログは電子メール等で通知はされません

「通知プロファイルを追加」をクリックして、通知プロファイルを作成します。
①　通知プロファイル名を入力し、必要に応じて説明を記載します。
②　通知方法は、電子メール、Webhook、ServiceNow*の3パターンから選択可能です。
　　(*ServiceNowとPrisma Accessを統合した場合のみ利用可能)
③　【電子メールの場合】電子メール連絡先で「+連絡先を追加」をクリックし、管理者のメールアドレスを追加します。カーソルを合わせてダブルクリックすると入力できます。
④　サブスクリプション欄で通知内容を選択します。アラートカテゴリもしくはアラートコードごとに、受信したい通知を選択可能です。

※推奨設定
アラートカテゴリ「INFORMATIONAL」のチェックを有効にすることがメーカー推奨設定となります。
特に「AL_PRISMA_ACCESS_INFRASTRUCTURE_NOTIFICATION」を有効にすることで、Prisma Accessのソフトウェアアップグレード関連の通知を受信できるようになります。