ポートスキャンのアノマリ検知について

[rnakamura1]

PrismaCloudの機能確認として、監視対象のAWSサーバに対して、外部のパブリックIPアドレスを持つサーバから50以上のポートを対象にポートスキャンしましたが、アノマリ検知アラートが上がりません。
アノマリ、アラートの設定の見直しは行っており、使用開始してから1ケ月以上の時間もたっているので機械学習なども特に影響はないと考えています。

[LMegrelis]

Hello! 

I would recommend setting your anomaly policy threshold as per our documentation. 

https://docs.prismacloud.io/en/enterprise-edition/content-collections/administration/anomalies/anoma...

Also an important factor to consider is A condition for the port scan policies to work, is that it should find REJECTED traffic.

This documentation below gives further context into the policy's behavior. 

https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u000000saJbCAI

[rnakamura1]

ご返信ありがとうございます。
案内いただいたドキュメントも確認しましたが、やはり検知を確認できません。

ポートスキャンの検知を行うには、異常とみなされるためにポートスキャンの種類(TCP,UDPなど)やスキャン元のリージョン(USなど)、スキャンの方法(Masscanなど)など、50以上のポートをスキャンすること以外にも制約があるのでしょうか。

ポートスキャンの検知のテストができないと、リリース判定が通りません。
自分で意図的にポートスキャンの検知を行うには具体的にどうすればよいかお教えいただきたいです。
宜しくお願い致します。

[LMegrelis]

Hello!

Ensure your cloud account has network flow logs set up. 

https://docs.prismacloud.io/en/enterprise-edition/content-collections/connect/connect-cloud-accounts...

Here is a quick summary of the basic steps required to configure a cloud environment to generate port scan activity that will be detected by Prisma Cloud:

1. Create two cloud instances within the same virtual network and subnet.
2. Configure the security group of the instances to allow the network traffic in the virtual network to be captured correctly. It is critical that the security group only has inbound rules that allow specific services (ports) and it is not set with the too permissive ACCEPT ALL rule. 
3. Connect to one of the cloud instances, which will be used to generate the port scan, to install the Network Mapper (NMAP) tool.
4. Run the NMAP tool to generate the necessary network traffic.
5. Access the monitoring service to confirm that the network flow logs from running NMAP have been generated successfully. In AWS, monitoring is provided through the CloudWatch service.
6. Confirm that the corresponding alerts have been generated in Prisma Cloud.