Palo Alto Cortex XDR
Collectez les alertes, incidents et investigations Palo Alto Cortex XDR
Le connecteur Palo Alto Cortex XDR vous permet d'intégrer vos données de détection et réponse aux menaces dans OverView.
Objectif
Le connecteur Palo Alto Cortex XDR permet de récupérer les informations suivantes :
- Inventaire des endpoints
- Alertes et incidents XDR
- Investigations actives
Prérequis
- Accès à Palo Alto Cortex XDR
- Clés API configurées dans Cortex XDR
- Permissions appropriées pour l'accès API
Informations à fournir dans OverView
| Champ | Description |
|---|---|
| ID de clé API | ID de la clé API Cortex XDR |
| Clé API | Clé API Cortex XDR |
| URL de l'API | URL de l'API Cortex XDR (ex: https://api-{region}.xdr.paloaltonetworks.com) |
Paramètres
Ces paramètres sont facultatifs. Conservez leur valeur par défaut sauf besoin particulier.
| Paramètre | Description | Défaut |
|---|---|---|
| Utiliser l'authentification avancée | Utiliser l'authentification avancée avec nonce, horodatage et hash SHA256 | Désactivé |
| Domaine | Importer uniquement les endpoints liés à ce domaine | — |
Procédure
Générer les clés API Cortex XDR
- Connectez-vous à votre console Palo Alto Cortex XDR.
- Naviguez vers Settings > Configuration > API Keys.
- Cliquez sur Create New API Key.
- Sélectionnez l'Advanced tab pour plus d'options.
- Attribuez un nom descriptif (ex: OverView Connector).
- Configurez les permissions requises :
- Incident management : Read
- Alert management : Read
- Endpoint administration : Read
- Cliquez sur Save et notez l'API Key ID et l'API Key.
- Notez aussi l'URL de l'API correspondant à votre région.
Configurer le connecteur dans OverView
- Dans OverView, accédez à Data Sources Settings > Sources.
- Sélectionnez Palo Alto Cortex XDR et cliquez sur Configure.
- Renseignez l'API Key ID, l'API Key et l'URL de l'API.
- Cliquez sur Save Configuration.
Permissions requises
Les clés API doivent disposer des permissions minimales suivantes :
- Incident management : Lecture des incidents et alertes
- Alert management : Accès aux alertes XDR
- Endpoint administration : Lecture de l'inventaire des endpoints
Alternative : import par fichiers via DropPoint
L'accès API décrit plus haut est la méthode recommandée pour ce connecteur. Lorsqu'il n'est pas disponible (réseau cloisonné, version ou licence sans API, export déjà produit par ailleurs), OverView accepte des exports de fichiers, à déposer dans le bucket dédié à Palo Alto Cortex XDR.
Bucket : s3://cortex/
Exemple : s3://cortex/export.csv
La procédure est décrite dans le guide OverView DropPoint : génération des credentials, configuration du client, puis envoi des fichiers depuis l'interface web OverView, l'AWS CLI ou un SDK. Les exemples y sont préremplis avec ce bucket lorsque vous suivez ce lien.