Partager via


Connecteur Palo Alto Prisma Cloud CSPM (avec Azure Functions) pour Microsoft Sentinel

Le connecteur de données CSPM Cloud Palo Alto Prisma offre la possibilité d’ingérer des alertes CSPM Prisma Cloud et des journaux d’audit dans Microsoft Sentinel à l’aide de l’API CSPM Prisma Cloud. Pour plus d’informations, consultez la documentation de l’API Prisma Cloud CSPM.

Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.

Attributs du connecteur

Attribut du connecteur Description
Table(s) Log Analytics PaloAltoPrismaCloudAlert_CL
PaloAltoPrismaCloudAudit_CL
Prise en charge des règles de collecte des données Non prise en charge pour le moment
Pris en charge par Microsoft Corporation

Exemples de requête

Toutes les alertes Prisma Cloud

PaloAltoPrismaCloudAlert_CL

| sort by TimeGenerated desc

Tous les journaux d’audit Prisma Cloud

PaloAltoPrismaCloudAudit_CL

| sort by TimeGenerated desc

Prérequis

Pour intégrer Palo Alto Prisma Cloud CSPM (avec Azure Functions), vérifiez que vous disposez des éléments suivants :

Instructions d’installation du fournisseur

Notes

Ce connecteur utilise Azure Functions pour se connecter à l’API REST Palo Alto Prisma Cloud pour extraire les journaux dans Microsoft Sentinel. Cela risque de générer des coûts supplémentaires d’ingestion des données. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.

(Étape facultative) Stockez en toute sécurité les clés ou les jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Function.

Notes

Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu PaloAltoPrismaCloud qui est déployé avec la solution Microsoft Sentinel.

ÉTAPE 1 : Configuration de Prisma Cloud

Suivez la documentation pour créer une clé d’accès Prisma Cloud et obtenir l’URL de l’API Prisma Cloud

REMARQUE : utilisez le rôle ADMINISTRATEUR SYSTÈME pour donner accès à l’API Prisma Cloud, car seul le rôle ADMINISTRATEUR SYSTÈME est autorisé à afficher les journaux d’audit Prisma Cloud. Pour plus d’informations sur les autorisations d’administrateur de Prisma Cloud (paloaltonetworks.com), consultez Autorisations d’administrateur Prisma Cloud.

ÉTAPE 2 : choisissez UNE des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : avant le déploiement du connecteur de données Prisma Cloud, récupérez l’ID d’espace de travail et la clé principale de l’espace de travail (peuvent être copiés à partir des éléments suivants), ainsi que les informations d’identification de l’API Prisma Cloud, facilement disponibles.

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.