topic Re: ポートスキャンのアノマリ検知について in Prisma Cloud Discussions

ポートスキャンのアノマリ検知について

rnakamura1 — Thu, 24 Apr 2025 04:42:24 GMT

PrismaCloudの機能確認として、監視対象のAWSサーバに対して、外部のパブリックIPアドレスを持つサーバから50以上のポートを対象にポートスキャンしましたが、アノマリ検知アラートが上がりません。
アノマリ、アラートの設定の見直しは行っており、使用開始してから1ケ月以上の時間もたっているので機械学習なども特に影響はないと考えています。

Re: ポートスキャンのアノマリ検知について

LMegrelis — Thu, 24 Apr 2025 15:22:40 GMT

Hello!

I would recommend setting your anomaly policy threshold as per our documentation.

https://docs.prismacloud.io/en/enterprise-edition/content-collections/administration/anomalies/anomaly-thresholds

Also an important factor to consider is A condition for the port scan policies to work, is that it should find REJECTED traffic.

This documentation below gives further context into the policy's behavior.

https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u000000saJbCAI

Re: ポートスキャンのアノマリ検知について

rnakamura1 — Wed, 30 Apr 2025 01:01:43 GMT

ご返信ありがとうございます。
案内いただいたドキュメントも確認しましたが、やはり検知を確認できません。

ポートスキャンの検知を行うには、異常とみなされるためにポートスキャンの種類(TCP,UDPなど)やスキャン元のリージョン(USなど)、スキャンの方法(Masscanなど)など、50以上のポートをスキャンすること以外にも制約があるのでしょうか。

ポートスキャンの検知のテストができないと、リリース判定が通りません。
自分で意図的にポートスキャンの検知を行うには具体的にどうすればよいかお教えいただきたいです。
宜しくお願い致します。

Re: ポートスキャンのアノマリ検知について

LMegrelis — Wed, 30 Apr 2025 14:11:43 GMT

Hello!

Ensure your cloud account has network flow logs set up.

https://docs.prismacloud.io/en/enterprise-edition/content-collections/connect/connect-cloud-accounts/onboard-aws/configure-flow-logs

Here is a quick summary of the basic steps required to configure a cloud environment to generate port scan activity that will be detected by Prisma Cloud:

Create two cloud instances within the same virtual network and subnet.
Configure the security group of the instances to allow the network traffic in the virtual network to be captured correctly. It is critical that the security group only has inbound rules that allow specific services (ports) and it is not set with the too permissive ACCEPT ALL rule.
Connect to one of the cloud instances, which will be used to generate the port scan, to install the Network Mapper (NMAP) tool.
Run the NMAP tool to generate the necessary network traffic.
Access the monitoring service to confirm that the network flow logs from running NMAP have been generated successfully. In AWS, monitoring is provided through the CloudWatch service.
Confirm that the corresponding alerts have been generated in Prisma Cloud.