About TShimizu

Prisma SASE(Access/SD-WAN)のトラブルシューティング情報を掲載の予定です。 ... View more

Prisma Cloudのトラブルシューティング情報を掲載の予定です。 ... View more

Prisma Cloudの製品仕様の流れを掲載の予定です。 ... View more

Prisma SASE (Access/SD-WAN)の設定、構築ガイドを掲載の予定です。 ... View more

Prisma Cloudの設定、構築ガイドを掲載の予定です。 ... View more

CortexのPost-Salesの製品、サービスに関するお知らせを掲載の予定です。 ... View more

Cortex Data LakeのPost-Salesの製品、サービスに関するお知らせを掲載の予定です。 ... View more

トレーニングコースコード JPN-001 「次世代ファイアウォールトラブル シューティングにおける情報収集」の内容を動画にいたしました。 本トレーニングは次世代ファイアウォールに関するお問い合わせを弊社に Case Open する前あるいは実施頂いた後にどのような情報を採取するべきかについて、網羅的に解説することを目指しています。 また、一次切り分け、調査に際して多く利用されるステップ、ヒントとなる情報をご紹介いたします。   ご視聴にあたって Palo Alto Networks次世代ファイアウォールについて、一定の知識をお持ちの方に向けて作成しています。そのため、視聴対象として、以下のいずれかに該当される方を想定しています。 「EDU-210 トレーニング」を受講済の方 Palo Alto Networks次世代ファイアウォールの保守業務に携わられる方 動画中ではリンクの紹介を行っています。 各リンクについては、「"次世代ファイアウォール トラブルシューティングセミナー （情報収集編） "（コースコード：JPN-001） リンク集」よりご参照ください。   動画一覧（目次） Course Agendaと設定上の注意点 障害発生時に収集するログ、情報 ケース スタディ1 ケース スタディ2 ケース スタディ3 ケース スタディ4 ケース スタディ5 ケース スタディ6 ケース スタディ7 ケース スタディ8 障害発生時の情報収集(パケット ドロップ) 障害発生時の情報収集(Anti Virusシグニチャの誤検知) 障害申告にあたって Appendix 動画メニュー 1.Course Agendaと設定上の注意点   2.障害発生時に収集するログ、情報   3.ケース スタディ1 4.ケース スタディ2   5.ケース スタディ3   6.ケース スタディ4   7.ケース スタディ5   8.ケース スタディ6   9.ケース スタディ7   10.ケース スタディ8   11.障害発生時の情報収集(パケット ドロップ)   12.障害発生時の情報収集(Anti Virusシグニチャの誤検知)   13.障害申告にあたって   14.Appendix     資料について 本ページおよび各動画について視聴制限を設けておらず、申し込みが不要でどなたでも参照できるようになっております。そのため、動画で使用している資料は配布しておりません。 動画中で紹介しているリンクを参照する場合は、「"次世代ファイアウォール トラブルシューティングセミナー （情報収集編） "（コースコード：JPN-001） リンク集」をご利用ください。 ... View more

本文書では"次世代ファイアウォール トラブルシューティングセミナー （情報収集編） "（コースコード：JPN-001）でご紹介するリンクをまとめています。   はじめに：設定での注意点 運用上注意して頂きたいこと:　ダイナミック更新の時間設定(1/3)   RECOMMENDED UPDATE INTERVAL AND TIMINGS FOR DYNAMIC UPDATES https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClaECAS   運用上注意していただきたいこと:“Abnormal system memory usage detected, …”   Botnet Report Settings https://docs.paloaltonetworks.com/pan-os/9-1/pan-os-web-interface-help/monitor/monitor-botnet/managing-botnet-reports   Disable Predefined Reports https://docs.paloaltonetworks.com/pan-os/9-1/pan-os-admin/monitoring/view-and-manage-reports/disable-predefined-reports   Tips & Tricks: Reducing Management Plane Load https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClSvCAK   Tips & Tricks: Reducing Management Plane Load—Part 2 https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClU4CAK   運用上注意していただきたいこと:HAスプリット ブレイン抑止（2/2）   Configuration Guidelines for Active/Passive HA Active/Passive HAで推奨される設定のガイドライン https://docs.paloaltonetworks.com/pan-os/9-1/pan-os-admin/high-availability/set-up-activepassive-ha/configuration-guidelines-for-activepassive-ha.html スプリット ブレインに関連したナレッジ   DotW: What is Peer-Split-Brain? https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClSuCAK How To Avoid HA Split-Brain due to Missed Heartbeats https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClrpCAC   運用上注意していただきたいこと:ディスク容量不足による問題   Software Upgrade Problems on PA-200 Devices https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000CloMCAS How and When to Clear Disk Space on the Palo Alto Networks Device https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClaJCAS Delete MP and DP logs on 6.1 and later without Root Access https://live.paloaltonetworks.com/t5/Internal-Knowledge-Base/Delete-MP-and-DP-logs-on-6-1-and-later-without-Root-Access/ta-p/70757   運用上注意していただきたいこと: URLフィルタリングのアスタリスク表現   Nested Wildcard(*) in URLs May Severely Affect Performance https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000CluFCAS   障害発生時の情報収集   ケース スタディ   Case1 Kernel Panicの確認   http://www.sophia-it.com/content/カーネルパニック https://en.wikipedia.org/wiki/Kernel_panic   解析結果   Hardware Reference https://docs.paloaltonetworks.com/hardware   Case 2   TCP SYN Flood Attack TCP/IP に係る既知の脆弱性に関する調査報告書 https://www.ipa.go.jp/security/vuln/vuln_TCPIP.html 4 stages captureの注意点 GETTING STARTED: PACKET CAPTURE https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClTJCA0   Case 3 解析結果 Threat Prevention Deployment Tech Note https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClOCCA0   Case 4 Step1 Dataplaneの負荷に関連したナレッジ How to Interpret: show running resource-monitor https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClXwCAK TROUBLESHOOTING SLOWNESS WITH TRAFFIC, MANAGEMENT https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cld9CAC   Case 5 対応についての補足(Cont.) Palo Alto Networks Support Software Release Guidance https://live.paloaltonetworks.com/t5/Product-Updates-and-New-Feature/Palo-Alto-Networks-Support-Software-Release-Guidance/ta-p/154892/jump-to/first-unread-message Case 7 High Availability High Availability Active / Passive (v4.0.x) https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cm0SCAS     Case 8   Step 1 Palo Alto Networks Firewall Session Overview https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClVECA0   Step 3 Palo Alto Networks Firewall Troubleshooting Guide For ASCs（英語） https://live.paloaltonetworks.com/t5/ASC-Program-and-Administration/Palo-Alto-Networks-Firewall-Troubleshooting-Guide-for-ASCs/ta-p/207046   障害発生時の情報収集(パケット ドロップ)   参考：セッション Palo Alto Networks Firewall Session Overview https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClVECA0     確認事項 2(Cont.) Understanding DoS Logs and Counters https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClOKCA0   障害発生時の情報収集(Anti Virusシグニチャ誤検知)   Anti Virusの誤検知   アンチウイルス シグネチャ誤検知 (false positive) の対応方法 https://live.paloaltonetworks.com/t5/テクニカル ドキュメント/アンチウイルス-シグネチャ-誤検知-false-positive-の対応方法/ta-p/79747 How to submit an Anti-Virus false positive（英語版） https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cm3aCAC   Step 3   Get-FileHash（PowerShellで使用可能） https://msdn.microsoft.com/en-us/powershell/reference/5.1/microsoft.powershell.utility/get-filehash       障害申告にあたって   Appendix. Tech Support File詳細 opt以下の主なファイル Palo Alto Networks Firewall Troubleshooting Guide For ASCs（英語） https://live.paloaltonetworks.com/t5/ASC-Program-and-Administration/Palo-Alto-Networks-Firewall-Troubleshooting-Guide-for-ASCs/ta-p/207046     Appendix. Tech Support Fileとは別に採取するログ   Appendix. トラブルシューティングに有用なナレッジ Palo Alto Networks Firewall ASC（認定サービスセンター）向け Troubleshooting Guide   Palo Alto Networks Firewall ASC（認定サービスセンター）向け Troubleshooting Guide Version 1.1a (PDF)（日本語） https://www.paloaltonetworks.com/partners/nextwave-partner-portal/regional-content/japan-regional-content/partner-enablement/post-sales   Palo Alto Networks Firewall Troubleshooting Guide For ASCs（英語） https://live.paloaltonetworks.com/t5/ASC-Program-and-Administration/Palo-Alto-Networks-Firewall-Troubleshooting-Guide-for-ASCs/ta-p/207046 Global Protect Troubleshooting GlobalProtect https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClkBCAS GlobalProtect resource list https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClfXCAS Basic GlobalProtect Configuration with On-Demand https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClH2CAK Basic GlobalProtect Configuration with User-logon https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClHdCAK Basic GlobalProtect Configuration with Pre-logon https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClEYCA0 Certificate config for GlobalProtect - (SSL/TLS, Client cert profiles, client/machine cert) https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClFoCAK   SSL Decryption How to Identify Root Cause for SSL Decryption Failure Issues https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000CloUCAS How to Implement and Test SSL Decryption https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClEZCA0 SSL decryption resource list https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClgHCAS   User-ID Getting Started: User-ID https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClRyCAK Best Practices for Securing User-ID Deployments https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClVPCA0 User-ID resource list https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cm5bCAC   Appendix. Palo Alto Networks製品に関する情報収集方法 サポート情報の入手方法1/3   サポート サイト https://www.paloaltonetworks.jp/services/support テクニカル ドキュメント https://www.paloaltonetworks.com/documentation ナレッジベース https://knowledgebase.paloaltonetworks.com/ ナレッジ(Live Community) https://live.paloaltonetworks.com/welcome   サポート情報の入手方法2/3   Japan Live Community https://live.paloaltonetworks.com/t5/Japan-Live-Community/ct-p/LiveJP   サポート情報の入手方法3/3   "次世代ファイアウォール トラブルシューティングセミナー （情報収集編） "（コースコード：JPN-001） リンク集 https://live.paloaltonetworks.com/t5/ナレッジドキュメント/quot-次世代ファイアウォール-トラブルシューティングセミナー-情報収集編-quot-コースコード-JPN-001-リンク集/ta-p/190548   他のセミナー、トレーニングなど1/3   UPCOMING EVENTS https://events.paloaltonetworks.com/   他のセミナー、トレーニングなど2/3 NextWave パートナーポータル https://www.paloaltonetworks.com/partners/nextwave-partner-portal/regional-content/japan-regional-content/partner-enablement   他のセミナー、トレーニングなど3/3 EDU-330 Firewall 10.0: トラブルシューティング https://www.paloaltonetworks.com/content/dam/pan/en_US/partners/localized-content/japanese/edu-datasheet-330-10.0-FCS_final_JP.pdf 各種トレーニング   Home > サービス > 教育サービス > 概要 https://www.paloaltonetworks.jp/services/education   ... View more

概要 本文書はPrisma Access (Panorama Managed)（旧名称：GlobalProtect Cloud Service）を使用するに当たってのハイレベルでの概要を紹介します。 注1：本文書はGlobalProtect Cloud Service Getting Started Guideをベースとしておりましたが、現在セットアップの文書はPrisma Access Administrator's Guide (Panorama Managed)となっております。 本文書は参考に留め、Administrator's Guideをご参照ください。 注2：本文書ではClean Pipeのライセンスや機能は説明の対象としません。 Prisma Access (Panorama Managed) Administrator's Guideをご参照ください。     Prisma Access Administrator’s Guide (Panorama Managed) https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin     目次 (1)Prisma Accessのライセンス (2)その他、必要なライセンス (3)Prisma Accessのライセンス入手方法 (4)Prisma Accessに必要なコンポーネントとライセンス有効化 (5)評価ライセンスから商用ライセンスへの移行 (6)Prisma AccessとCortex Data Lake用にPanoramaアプライアンスをHA（高可用性）で設定する (7)Prisma Access インフラストラクチャーの準備 (8)ゾーン マッピング (9)Prisma Accessファイアウォールで使用するIPアドレスの取得 (10)Cloud Service セットアップ (11)Prisma Access for Networks (12)Prisma Access for Users   (1)Prisma Accessのライセンス   用途により以下があります。 Prisma Access for Networks （旧名称：GlobalProtect Cloud Service for Remote Networks） Prisma Access for Users（旧名称：GlobalProtect Cloud Service for Mobile Users） Prisma Access for Clean Pipe（本文書では取り扱いません）   (2)その他、必要なライセンス Panorama Cortex Data Lake   (3)Prisma Accessのライセンス入手方法   1. Authorization Code（以下Auth Code）とSales Order番号の確認   Prisma Accessのご購入が確認されましたらAuth Code、Sales Order番号が販売代理店様より発行されます。Auth CodeとSales Order番号は次の手順(2)で必要になります。まずはお手元にAuth CodeとSales Order番号がある事をご確認下さい。 なお、弊社プレミアムサポートではAuth CodeおよびSales Order番号についてお問い合わせ頂きましてもご回答することができません。Auth CodeまたはSales Order番号に関しましては購入先の販売代理店様までお問い合わせ頂けますようお願いいたします。   2. カスタマーサポートポータルへのアカウント登録 ライセンスファイルの入手や製品サポートを受けるためにはアカウントのご登録が必要となります。以下の記事を参考にアカウントを登録します。   カスタマーサポートポータルへのアカウント登録方法: https://live.paloaltonetworks.com/t5/%E3%81%8A%E5%AE%A2%E3%81%95%E3%81%BE%E5%90%91%E3%81%91%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E6%83%85%E5%A0%B1/%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%9E%E3%83%BC%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%B8%E3%81%AE%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E7%99%BB%E9%8C%B2%E6%96%B9%E6%B3%95/ta-p/177803   カスタマーサポートポータルには複数のユーザーを登録することができます。ユーザーを追加登録する場合は以下の記事をご参照下さい。 カスタマサポートポータルにユーザを追加する方法: https://live.paloaltonetworks.com/t5/%E3%81%8A%E5%AE%A2%E3%81%95%E3%81%BE%E5%90%91%E3%81%91%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E6%83%85%E5%A0%B1/%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%9E%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%AB%E3%83%A6%E3%83%BC%E3%82%B6%E3%82%92%E8%BF%BD%E5%8A%A0%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95/ta-p/178031   (4)Prisma Access (Panorama Managed)に必要なコンポーネントとライセンス有効化     本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > License and Install the Prisma Access Components   https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/license-prisma-access.html   前提 Prisma Access (Panorama Managed)はCloud Services PluginをPanoramaにインストールすることで展開します。これを行う前に以下を準備する必要があります。   PanoramaをPAN-OS 9.0.4、または9.1.1以降へUpgrade Panoramaがプレミアム サポート ライセンスを持っていること PanoramaがDNSとNTPを使用していること Prisma Access (Panorama Managed)のauth codeをアクティベートする際、Cloud Services PluginをインストールしたPanoramaのシリアル番号との紐づけが必要です。 Cortex Data Lake サブスクリプションの購入。Cortex Data Lakeのauth codeをお持ちであれば、「Cortex Data Lake（旧名称：Logging Service） を購入後、製品を使用するまでの流れ」を参照の上、Prisma Accessのauth codeのアクティベート前に、予めアクティベートしておいてください。   STEP 1 以下の情報があることを確認します。 Prisma Accessのアクティベートに必要なアクティベーションリンクを記載したorder fulfillment emailを受信していること。 HA（高可用性）でPrisma Accessを使用する場合、先に以下を参照してHAモードの設定をPrimaryとSecondaryのPanoramaに行ってください。 Configure Panorama Appliances in High Availability for the Prisma Access https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/license-prisma-access/configure-ha-with-a-primary-and-secondary-panorama   STEP 2（オプション） 既存のPanoramaをPrisma Accessの管理に使用する場合、PAN-OS Version 9.0.4または9.1.1で稼働していることを確認してください。   1.6 Cloud Service pluginをインストールするには、Panoramaは9.0.4以上のPAN-OS Versionで動作していなければなりません。 PAN-OS 9.1.1も1.6 pluginをサポートします。ただし古いpluginはPAN-OS 9.1.1との互換性がないため、古いバージョンのpluginからアップグレードする場合は、Panoramaを9.0.Xから9.1.1にUpgradeする前に、pluginを1.6にアップグレードしてください。 PAN-OS 8.1ないしはそれより古いバージョンで稼働するPanoramaに1.6 pluginをインストールするのは、サポートされない設定となりデータの損失につながります。   STEP 3 パロアルトネットワークスより受信したアクティベーション用のemailにてActivateをクリックします。 ライセンスされたすべてのPrisma AccessとCortex Data Lakeのアクティベートリンクを選択します。 "Hub"へのサインインが終わっていない場合、サインインを促されます。   STEP 4 アクティベートしたいすべての製品を選択し、Start Activationをクリックします。 多くの場合、表示されたすべての製品をアクティベートします。しかし、Prisma Accessを既存のアクティベート済みのCortex Data Lakeに関連付けしたい場合は、Cortex Data Lakeを選択から外します。   STEP 5 選択した製品をCustomer Support Accountに割り当て、Nextをクリックします。 emailに複数のCustomer Support Accountが関連付けられていた場合、製品を割り当てたいアカウントを選択してください。   STEP 6 Prisma Accessを管理したいPanoramaアプライアンスを選択し、Nextをクリックします。 既存のPanoramaを選択するか、新しいPanoramaアプライアンスのシリアル番号を登録することもできます。   STEP 7 Cortex Data Lakeのオプションを選択します。 Cortex Data Lake Selectionでは、新しいCortex Data Lakeインスタンスをアクティベートするか、既存のインスタンスを選択するかを選びます。 Region SelectionではCortex Data Lakeのリージョンを選択します。 アクティベーションプロセスは20分程度かかります。   STEP 8 ワンタイム パスワード（OTP）をコピーします。後でPanorama上でのアカウント確認に必要になります。 注：ワンタイム パスワードは生成から10分間のみ有効です。   STEP 9 Cloud Service pluginのダウンロードとインストールを行います。PanoramaでサポートされるCloud Service pluginのバージョンは以下で確認してください。 Palo Alto Networks Compatibility Matrix > Panorama Plugins > Cloud Services https://docs.paloaltonetworks.com/compatibility-matrix/panorama/plugins.html#id17C8A0Y0M9I   Cloud Service pluginをインストールすると、pluginは管理用のユーザー__cloud_servicesを作成します。このユーザーアカウントはPrisma AccessのEnterprise DLPと、Prisma Accessの管理インフラストラクチャーでの通信を有効化するために必要となります。Palo Alto Networksは、本サービスの利用者の組織のパスワード ポリシーに従って、この管理用アカウントのパスワードを変更することを推奨します。 __cloud_servicesを削除してしまうと、手動で再度追加しなければなりません。このアカウントはEnterprise DLPの登録とアクティベート、またセキュリティ ポリシーから参照されるデータ パターンやデータ フィルタリング プロファイルを用いたDLP スキャニングに使用されます。 より新しいバージョンのCloud Service pluginのインストールは、古いバージョンを上書きします。初めてpluginをインストールした場合は、インストールの成功後にPanoramaは表示を更新し、Panoramaタブの下にCloud Serviceメニューを表示します。   STEP 10 PanoramaでPrisma Accessのライセンスを取得します。   STEP 11 Panoramaでアカウントの確認を行います。 Cloud Service pluginのインストール後、アカウントの確認を促されます。これにより登録されたシリアル番号を持つPanoramaとPrisma Accessとの安全な通信パスの確立を行います。 STEP 8のワンタイム パスワードを使用します。 注：ワンタイム パスワードは生成から10分間のみ有効です。   STEP 12 Prisma Accessインフラストラクチャーにデバイスグループの変更を適用します。   STEP 13 Prisma Accessのインフラストラクチャーを有効化し、Prisma Accessのデプロイを行います。 次項以降を参照して設定作業を継続してください。   (5)評価ライセンスから商用ライセンスへの移行 詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed)> Transfer or Update Prisma Access Licenses https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/license-prisma-access/transfer-or-upgrade-prisma-access-licenses   注：Prisma Access、Panoramaアプライアンスそれぞれのライセンスが評価用（evaluation）か商用（Production）ごとに適用の手順が変わります。Supported Update Pathsの記載をご確認ください。   (6)Prisma AccessとCortex Data Lake用にPanoramaアプライアンスをHA（高可用性）で設定する 詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Configure Panorama Appliances in High Availability for Prisma Access https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/license-prisma-access/configure-ha-with-a-primary-and-secondary-panorama   (7)Prisma Accessインフラストラクチャーの準備 詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Prepare the Prisma Access Infrastructure and Service Connections https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prepare-the-prisma-access-infrastructure   以下の各項目の準備が必要です。   Set Up Prisma Access Plan the Service Infrastructure and Service Connections Configure the Service Infrastructure Create a Service Connection to Allow Access to Your Corporate Resources Create a Service Connection to Enable Access between Mobile Users and Remote Networks Use Traffic Forwarding Rules with Service Connections How BGP Advertises Mobile User IP Address Pools for Service Connections and Remote Network Connections Routing Preferences for Service Connection Traffic List of Prisma Access Locations   (8)ゾーン マッピング   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Zone Mapping https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-users/zone-mapping   デフォルトではPrisma Accessで作成したゾーンはUntrustにMappingされ、クラウドに展開されます。 インターネット方向へのトラフィックは、承認したアプリケーションは可視性とポリシー管理がされるようになります。 クラウド サービスに関連付けた外部に接するインターフェイスのゾーンはuntrustにマップし、エンジニアのツールやデータセンターアプリなど社内のアプリケーションへのアクセスを提供するゾーンはtrustを割り当てます。     (9)Prisma Accessファイアウォールで使用するIPアドレスの取得   パブリッククラウドにホストするO365などのアプリケーションへのアクセス管理のためIPホワイトリストを作成している場合、Prisma Accessインフラストラクチャーで使用するアドレスが変更されることは、管理上の困難となります。 Prisma AccessインフラストラクチャーのIPアドレス変更を知る手段として、これらの変更を通知するURLをcloud service plugin にて提供します。 通知の内容やAPI keyの取得の方法は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) >  Retrieve the IP Addresses for the Prisma Access https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-overview/retrieve-ip-addresses-for-prisma-access   (10)Cloud Service セットアップ サービス インフラとService Connectionのプラン   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Plan the Service Infrastructure and Service Connections  https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prepare-the-prisma-access-infrastructure/plan-the-service-infrastructure-and-service-connections   リモート ネットワークとモバイル ユーザーのサービス インフラを有効化するために、既存のネットワークで使用中の範囲と重ならない、RFC 1918準拠のサブネットを用意してください。 Prisma Accessのライセンスは100箇所までの本社、データセンターなどとのService Connectionでの接続を含んだライセンスです。最初の3箇所までは帯域などのコストは掛かりません。それ以降はPrisma Access for Networksの帯域から1接続あたり300Mbpsを消費します。   「社内ネットワークへのアクセスのセットアップ」を開始する前に、本社/データーセンターに関する以下の情報を収集します。   IPSec使用可能な、ファイアウォール、ルーター、またはSD-WAN機器の接続 Prisma AccessとIPSec使用可能機器を接続する、プライマリVPNトンネルを終端するIPSecトンネルの設定 Prisma AccessとIPSec使用可能機器を接続する、セカンダリVPNトンネルを終端するIPSecトンネルの設定 注：IPSecトンネル、トンネルモニタリング、IPSec暗号プロファイルを含む既存のテンプレートがある場合、そのテンプレートをテンプレート スタックに追加することでIPSecトンネルの設定を簡略化できます。   該当のサイトのIPサブネットのリスト Cloud Serviceが名前解決する必要があるドメインのリスト IPSecトンネル モニタリングのPING宛先となるIPアドレス アクセスにお客様用意の認証サービスを使用する場合、そのサービス アカウント サービス インフラ サブネットへのネットワーク到達性のための設定   サービスインフラの有効化   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Configure the Service Infrastructure https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prepare-the-prisma-access-infrastructure/enable-the-service-infrastructure.html   設定を続行する前に、サービス インフラのサブネットを設定しなければなりません。既存の社内ネットワークやPrisma Access for Usersのプールと重複しない、 RFC 1918準拠の/24 サブネットを使用します。 STEP 1 Panorama > Cloud Service > 設定 >  (Prisma Access) > Service Setupに移動します。    STEP 2 全般タブにて RFC 1918準拠の/24 サブネットを設定します。 注：一度設定したサブネットは、変更はしないでください。   STEP 3 Prisma AccessでのHQ/データセンターと拠点間の動的なルートの構成をする場合、AS番号をInfrastracture BGP ASに入力します。デフォルトでは65534が使用されます。     STEP 4（オプション） サービス コネクション用のテンプレートを設定します。デフォルトでService_Conn_Template_Stackがテンプレート スタックには組み込まれていますが、他のテンプレートを追加が可能です。   STEP 5 社内内部のドメイン名を解決するためのDNSサーバーの設定をします。   STEP 6 Cortex Data Lakeを有効化します。 注：ログをCortex Data Lakeに転送するには、Prisma Accessでプッシュするデバイス グループで、転送するログタイプの転送方式で"Panorama/ロギング サービス"をチェックします。   STEP 7 OKをクリックしてService Setupの設定を保存します。   STEP 8 Panorama、Prisma Accessに対してCommitを行います。   注：Panoramaとインターネットの間にファイアウォールがある場合、インターネット向きのTCP ポート 444を使用したSSL通信を許可する必要があります。Palo Alto Networks ファイアウォールを使用して"application-default"ポートを許可する設定の場合、Palo Alto Networks ファイアウォールはこの通信をブロックしてしまいます。そのため、別に許可ルールを作成しなければなりません。Palo Alto Networks ファイアウォールではApp ID paloalto-logging-serviceとpaloalto-shared-servicesで該当の通信を識別できるため、App-IDによる許可ルールの作成がより望ましいです。   STEP 9 Panorama > Cloud Service > 状態 > 状態に移動し、インフラが正しく展開されているか確認します。    STEP 10 続いて以下の必要な設定を行います。   社内ネットワークへのアクセスの設定（Service ConnectionによるHQ、DCへの接続） Prisma Access for Networks(利用する場合のみ) Prisma Access for Users(利用する場合のみ)   社内ネットワークへのアクセスの設定   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Create a Service Connection to Allow Access to Your Corporate Resources https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prepare-the-prisma-access-infrastructure/create-a-service-connection.html   例えば社内ネットワークへのアクセスにあたって、社内のActive Directoryの認証を行いたい場合など、そのサービスが有る社内のロケーションへのアクセスが必要です。同様にfor Networksやfor Usersがアクセスの必要な社内リソースもあるでしょう。 対応する社内ネットワークへのアクセス有効化が必要です。 サービスコネクションの確立のため、例えばPalo Alto Networks 次世代ファイアウォールやSD-WAN機器など、IPSecトンネル設定可能なデバイスが必要です。   データーセンター/HQへのルート構成にはスタティック ルートかBGPが使用できます。   STEP 1 Panorama > Cloud Service > 設定 > Service Setupに移動します。    STEP 2 On Boarding セクションで追加をクリックします。   STEP 3 社内ネットワークの名称を入力します。   STEP 4 社内ネットワークに近いリージョンを"場所"としてドロップ ダウンから選択します。   STEP 5 IPSecトンネルを設定します。既存のトンネルを選択するか、新しいトンネルを選択します。   注：テンプレートのIPSecトンネルは"自動キー"、"IPv4"である必要があります。   STEP 6 社内ネットワークのサブネットを設定します。 スタティック ルートかBGPを使用できます。   STEP 7 社内ネットワーク にセカンダリのWANがあるのであれば、"Enable Secondary WAN"をチェックして、STEP 5と同様にIPSecトンネルを設定します。   STEP 8 Panorama、Prisma Accessに対してCommitを行います。   STEP 9 Panorama > Cloud Service > 状態 > Network Detailsに移動し、Service IP Adressを確認します。 お客様のIPSec 対応機器からPrisma Accessに接続するIPSecトンネルの設定を行います。 他社IPSec 機器の設定方法は弊社ではサポートしていません。   STEP 10 Panorama > Cloud Service > 状態 > 状態に移動し、インフラが正しく展開されているか確認します。   STEP 11 Panorama > Cloud Service > 状態 > モニターで"Service Connection"を選択して、視覚的に状態を確認できます。   STEP 12（オプション） BGPを設定していた場合、BGP状態を確認します。Panorama > Cloud Service > 状態 > Network Detailsで"Service Connection"からBGP状態を確認できます。     (11)Prisma Access for Networks Prisma Access for Networksのプラン Remote Networksのプランにあたって、以下を準備しておきます。   Service Connection テンプレート 親 デバイス グループ IPサブネット   詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Plan to Deploy Prisma Access for Networks https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-networks/plan-prisma-access-for-networks   Prisma Access for Networksの設定   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Configure Prisma Access for Networks https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-networks/configure-prisma-access-for-networks.html STEP 1 Panorama > Cloud Service > 設定 > Remote Networksに移動します。    STEP 2 テンプレートを設定します。デフォルトではテンプレート スタック（Remote_Network_Template_Starck）が作成され、テンプレート（Remote_Network_Template）がプッシュされます。既存のテンプレートを追加できます。   STEP 3 親 デバイス グループを選択します。既存のデバイス グループか"共有"を選択できます。   STEP 4 ゾーンを作成するか、既存のテンプレートのゾーンをTrusted Zones, Untrusted Zonesに振り分けます。デフォルトではPrisma Accessに設定したゾーンはuntrustとなります。必要に応じてtrustにします。   STEP 5 追加したいリモート ネットワークの名称を入力します。   STEP 6 帯域幅を選択します。拠点あたりの帯域幅は、利用できるISPの帯域を考慮して決定します。 注：各拠点の帯域幅の合計がPrisma Access for Networksのライセンスで購入している合計帯域幅を超過した時点で、拠点の設定は追加できなくなります。           STEP 7 Prisma Accessがリモート ネットワークを実装するリージョンを"場所"として選択します。地理的に近い場所の選択が望ましいです。   STEP 8 IPSecトンネルを設定します。既存のトンネルを選択するか、新しいトンネルを選択します。 またスタティックルートかBGPを設定します。   STEP 9 該当のリモートネットワーク にセカンダリのWANがあるのであれば、"Enable Secondary WAN"をチェックして、STEP 8と同様にIPSecトンネルを設定します。   STEP 10 Panorama、Prisma Accessに対してCommitを行います。   STEP 11 Panorama > Cloud Service > 状態 > 状態に移動し、インフラが正しく展開されているか確認します。   STEP 12（オプション） BGPを設定していた場合、BGP状態を確認します。Panorama > Cloud Service > 状態 > Network Detailsで"Service Connection"からBGP状態を確認できます。   STEP 13 リモート ネットワーク拠点にてIPSecトンネルを形成するIPSec機器を設定します。 他社IPSec 機器の設定方法は弊社ではサポートしていません。   STEP 14 リモート ネットワークの通信の安全を保つため、セキュリティー ポリシーを設定します。   STEP 15 Cortex Data Lake へのログ転送を有効にします。ログ転送プロファイルを作成して、ログを転送したいポリシーに適用する必要があります。   STEP 16 Panorama、Prisma Accessに対してCommitを行います。   (12)Prisma Access for Users 詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Secure Mobile Users with Prisma Access https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-users     Prisma Access for Usersのプラン Prisma Access for Usersのプランにあたって、以下を準備しておきます。   IPアドレス プール。RFC 1918準拠で社内での他の利用やCloud Serviceセットアップに使用したものと重複してはなりません。リージョンが複数ある場合は、リージョンごとのプールの設定をします。 テンプレート。オンプレミスのGlobalProtectをすでに使用していた場合など、既存のテンプレートも使用できます。 Parent デバイス グループ。セキュリティ ポリシー、セキュリティ プロファイルやその他のオブジェクトのプッシュに必要です。 オンボードするロケーション。地理的、あるいは同じ国、言語の観点から選択してください。IP プールの設定とも関連します。 ポータル ホスト名。Cloud Serviceでホスト名と関連証明書の生成ができます。ただし自社のドメインを使いたい場合は、ポータル用の必要な証明書の発行と、それを参照するためのSSL/TLSサービスプロファイルを設定する必要があります。独自のホスト名をポータルに使用する場合は、所有するDNSサーバーがポータルのDNS CNAMEを解決できるようにする必要があります。 サービス コネクション。 例えば認証サーバーやデータ センター、HQなど社内ネットワーク、あるいはPrisma Access for Networksの拠点へのアクセスのためにサービス コネクションの設定が必要です。 詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Plan To Deploy Prisma Access for Users https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-users/plan-prisma-access-for-users.html Prisma Access for Usersの設定 本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。 Prisma Access Administrator's Guide (Panorama Managed) > Configure Prisma Access for Users https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin/prisma-access-for-users/configure-prisma-access-for-users.html STEP 1 Panorama > Cloud Service > 設定 > Mobile Usersに移動します。    STEP 2 テンプレートを設定します。デフォルトではテンプレート スタック（Mobile_User_Template_Stack）が作成され、テンプレート（Mobile_User_Template）がプッシュされます。既存のテンプレートを追加できます。 注：Mobile_User_Templateを編集する場合、"外部ゲートウェイ"の設定を削除したり、変更したりしないようにしてください。   Prisma Access for Usersのためにプッシュしたい、親 デバイス グループを選択します。 セキュリティ ポリシー、セキュリティ プロファイル、そして他のポリシー オブジェクト（アプリケーション グループとオブジェクト、アドレス グループなど）、HIPオブジェクトとプロファイル、認証ポリシーなど、デバイス グループの階層を使用してPrisma Access for Usersに一貫したポリシーを提供します。 ログ転送プロファイルにて転送するログタイプの転送方式で"Panorama/ロギング サービス"をチェックします。これはCloud Serviceへのログ転送の唯一の方法です。   STEP ３ 選択したテンプレートのゾーンをTrusted Zones, Untrusted Zonesに振り分けます。デフォルトではPrisma Accessに設定したゾーンはuntrustとなります。必要に応じてtrustにします。   STEP 4 On Boarding セクションでConfigureをクリックします。   注：Portal Name Typeで以下を選択します。 Use Default Domain："Portal Hostnameの入力値" +".gpcloudservice.com"となります。必要な証明書の作成と、ホスト名のDNSへの登録はPrisma Accessが行います。 Use Company Name Domain：所有しているドメイン名に合わせた名称としたい場合のオプションです。証明書と社内のDNSサーバーでの名前解決の準備などが必要です。   注：Prisma Accessの端末用のIP プールは社内の他の使用されているものであったり、他のIP プールで使用しているものであってはなりません。プールのサイズは"場所"（端末が接続するリージョン）で収容するモバイル ユーザーの数に応じて変わりますが、Panoramaのプラグインは最低/20のマスクであることをチェックします。IP Poolの領域として、仮想的に全リージョン共通で使用できる"Worldwide"か、プールごとに利用可能なリージョンを分けることができます。   注：プライマリDNS、セカンダリDNSは空欄だとCloud Serviceのデフォルトを使用します。プライマリ、セカンダリDNSを設定した場合、Prisma AccessゲートウェイのDNSプロキシは、設定されたDNSにDNS要求を送信します。     STEP 5 モバイル ユーザーの通信の安全を保つため、セキュリティー ポリシーを設定します。   STEP 6 Cortex Data Lakeにログを転送します。 ログ転送プロファイルを作成して、各々のポリシーに設定する必要があります。   STEP 7 Panorama、Prisma Accessに対してCommitを行います。   STEP 8 Panorama > Cloud Service > 状態 > 状態に移動し、インフラが正しく展開されているか確認します。   STEP 9 Portal Name Typeで"Use Company Name Domain"を選択していた場合、内部のDNSサーバーにポータルのホスト名を登録しておく必要があります。   STEP 10 エンド ユーザーにGlobalProtectクライアント ソフトウェアを展開します。 Mac OSとWindows ユーザーはPrisma Accessのポータル アドレスからユーザーがダウンロードできます。 モバイル アプリのユーザーはオペレーティング システムのアプリ ストアからインストールができます。    ... View more

Prisma Accessのサービスレベル契約の翻訳の公開は終了いたしました。 今後は、以下の原文をご参照下さい。   SERVICE LEVEL AGREEMENT Prisma Access Service （英語 原文） https://www.paloaltonetworks.com/content/dam/pan/en_US/assets/pdf/datasheets/support/prisma-access-service-sla.pdf   参考翻訳が必要な場合は、担当営業に個別にお問い合わせ下さい。 ... View more

概要 本文書はCortex Data Lake（旧名称：Logging Service）を使用するに当たってのハイレベルでの概要と注意事項を紹介します。 手順や機能は随時更新が行われるため、詳細は最新の状況を反映できておりません。 本文書は参考としCortex Data Lake Getting Startedを必ずあわせて参照するようにして下さい。   目次 (1)Cortex Data Lakeのライセンスの入手方法 (2)Cortex Data Lakeのプラニング (3)Cortex Data Lakeライセンスの有効化 (4)ファイアウォールでのCortex Data Lakeへのログ転送の設定（Panoramaを使用しない場合） (5)ファイアウォールからCortex Data Lakeへのログ転送の設定（Panoramaを使用する場合） (6)Cortex Data Lakeのログ ストレージ割当の設定 (7)Cortex Data Lake状態の確認 (8)Cortex Data Lakeで使用するTCPポートとFQDN   (1)Cortex Data Lakeのライセンスの入手方法   1.Authorization Code（以下Auth Code）とSales Order番号の確認   Cortex Data Lakeのご購入が確認されましたらAuth Code、Sales Order番号が販売代理店様より発行されます。Auth CodeとSales Order番号は次の手順(2)で必要になります。まずはお手元にAuth CodeとSales Order番号がある事をご確認下さい。   なお、弊社プレミアムサポートではAuth CodeおよびSales Order番号についてお問い合わせ頂きましてもご回答することができません。Auth CodeまたはSales Order番号に関しましては購入先の販売代理店様までお問い合わせ頂けますようお願いいたします。   2. カスタマーサポートポータルへのアカウント登録   ライセンスファイルの入手や製品サポートを受けるためにはアカウントのご登録が必要となります。以下の記事を参考にアカウントを登録します。   カスタマーサポートポータルへのアカウント登録方法: https://live.paloaltonetworks.com/t5/%E3%81%8A%E5%AE%A2%E3%81%95%E3%81%BE%E5%90%91%E3%81%91%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E6%83%85%E5%A0%B1/%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%9E%E3%83%BC%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%B8%E3%81%AE%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E7%99%BB%E9%8C%B2%E6%96%B9%E6%B3%95/ta-p/177803   カスタマーサポートポータルには複数のユーザーを登録することができます。ユーザーを追加登録する場合は以下の記事をご参照下さい。 カスタマサポートポータルにユーザを追加する方法: https://live.paloaltonetworks.com/t5/%E3%81%8A%E5%AE%A2%E3%81%95%E3%81%BE%E5%90%91%E3%81%91%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E6%83%85%E5%A0%B1/%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%9E%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%AB%E3%83%A6%E3%83%BC%E3%82%B6%E3%82%92%E8%BF%BD%E5%8A%A0%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95/ta-p/178031   (2)Cortex Data Lakeのプラニング 本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。   https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/overview.html   デプロイメントのプラニングに当たっては、以下の要件を考慮してください。 Cortex Sizing Calculatorを使用して、Cortex Data Lakeに必要なストレージ量を見積もってください。 Panoramaあるいは次世代ファイアウォールは、Proxyを介してのCortex Data Lakeとの接続ができないことを考慮してください。 Panoramaで管理する場合はPAN-OS 8.1.3以降、Panoramaで管理しない場合はPAN-OS 9.0.3以降のPAN-OSを使用しなければなりません。現時点でPA-220とPA-800シリーズは、PanoramaなしでのCortex Data Lakeの利用はサポートしていません。これらのファイアウォールを使用する場合は引き続きPanoramaが必要です。 Cortex Data Lakeの有効化は使用するプロダクトや用法により変わります。 PanoramaやPrisma Accessを利用する場合、その他の要件も確認してください。（後述）   (3)Cortex Data Lakeライセンスの有効化   Customer Support PortalまたはHubから行います。使用するプロダクトと用法により方法が異なります。   注：Panorama管理下のPaloalto Networksファイアウォールからログを転送する場合、またはPrisma Accessを使用する場合、Customer Support Portalからの有効化が必須です。   詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > Cortex Data Lake License Activation https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/license-activation       (4)ファイアウォールでのCortex Data Lakeへのログ転送の設定（Panoramaを使用しない場合） ライセンスの有効化ののち、ファイアウォールからログを転送する設定が可能になります。   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。   Cortex Data Lake Getting Started > Forward Logs to Cortex Data Lake https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/forward-logs-to-cortex-data-lake.html   STEP 1 ライセンス有効化をしていないようであれば、前項を参照の上、有効化を実施してください。   STEP 2 ファイアウォールのDevice > ライセンスにてCortex Data Lakeのライセンスが有効であることを確認してください。   STEP 3 ファイアウォールにて"ロギングサービスを有効化”をチェックします。Cortex Data Lake、Panorama オンプレミスのログ収集機器へのログ送信も可能です。   STEP 4 ファイアウォールにてNTPを設定してください。Cortex Data Lakeとの同期のため、NTPの設定は必須です。   STEP 5（オプション） ファイアウォールの管理インターフェイスからCortex Data Lakeへのログ転送をしたくない場合、異なるインターフェイスからの送出が可能です。該当のトラフィックを許可するポリシーも必要になります。   STEP 6 Cortex Data Lakeに転送するログ種類の選択と、その転送設定を行います。   STEP 7 変更をコミットします。   STEP 8 Cortex Data Lakeにログが転送されているか確認します。 Hub上のExplorerにログインして、Cortex Data Lake上のログを見ます。 ファイアウォール上で以下のコマンドで、Cortex Data Lakeにログを転送しているか確認します。 > show logging-status   show logging-status: ----------------------------------------------------------------------------------------------------------------------------- Type Last Log Created Last Log Fwded Last Seq Num Fwded Last Seq Num Acked Total Logs Fwded ----------------------------------------------------------------------------------------------------------------------------- > CMS 0 Not Sending to CMS 0 > CMS 1 Not Sending to CMS 1 >Log Collection Service 'Log Collection log forwarding agent' is active and connected to xx.xxx.xxx.xx config 2017/07/26 16:33:20 2017/07/26 16:34:09 323 321 2 system 2017/07/31 12:23:10 2017/07/31 12:23:18 13634645 13634637 84831 threat 2014/12/01 14:47:52 2017/07/26 16:34:24 557404252 557404169 93 traffic 2017/07/28 18:03:39 2017/07/28 18:03:50 3619306590 3619306590 1740 hipmatch Not Available Not Available 0 0 0 gtp-tunnel Not Available Not Available 0 0 0 userid Not Available Not Available 0 0 0 auth Not Available Not Available 0 0 0   STEP 9 長期に渡ってログをアーカイブしたい、SOC、または内部監査といった目的がある場合、Log Forewarding Appを使用できます。このアプリケーションはCortex Data Lakeから外部のsyslogサーバー、電子メールサーバーへのログ転送を可能にします。 詳細はLog Forwarding App Getting Started Guideを御覧ください。   (5)ファイアウォールからCortex Data Lakeへのログ転送の設定（Panoramaを使用する場合）   本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > Cortex Data Lake for Panorama-Managed Firewalls https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/panorama-and-cortex-data-lake.html   要件 Cortex Data Lakeをご使用するにあたっては、以下のコンポーネントが必要となります。 PAN-OS 8.1.3以上のPanorama 仮想アプライアンス、またはハードウェアベースのPanoramaアプライアンス。 Panorama用の有効なプレミアム サポートライセンス Cortex Data Lakeライセンス、Device Managementライセンス。 Cloud Service Plugin。これはPrisma Accessを使用するためにも必要です。 Panoramaで管理される有効なプレミアム サポート ライセンスを持つPAN-OS 8.1.3以降の次世代ファイアウォール。Cortex XDR Analytics （旧名称：Magnifier）を使用される場合は8.1.3以上を推奨します。 Cortex Data Lakeライセンス。Cortex Data Lakeがライセンスされると、該当のカスタマーサポートポータルに登録されているすべてのファイアウォールでCortex Data Lakeのライセンスが利用可能になります。注：現在のリリースではCortex Data Lakeライセンスは1つの領域（例：ヨーロッパ、アメリカ）を使用してサービスを提供します。もし異なる領域に対してログを送信したい場合は複数のPanoramaとCortex Data Lakeライセンスが必要です。 Device Managementライセンス、プレミアム サポートライセンス Cortex Data Lakeライセンスを持つPanorama。Cortex Data Lakeがライセンスされると、サポートアカウントに登録されたファイアウォールが Cortex Data Lakeライセンスを受け取ります。 Panoramaあるいは次世代ファイアウォールは、Proxyを介してのCortex Data Lakeとの接続ができないことを考慮してください。 (5)-1 Cortex Data Lakeの有効化 本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > Activate Cortex Data Lake (Panorama-Managed Firewalls) https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/panorama-and-cortex-data-lake/license-the-panorama-and-install-the-plugin.html   STEP 1 Panorama仮想アプライアンス、またはMシリーズ アプライアンスをセットアップします。詳細は、以下をご覧ください。     Panorama Administrator's Guide > Set Up the Panorama Virtual Appliance https://docs.paloaltonetworks.com/panorama/8-1/panorama-admin/set-up-panorama/set-up-the-panorama-virtual-appliance.html Panorama Administrator's Guide > Set Up the M-Series Appliance https://docs.paloaltonetworks.com/panorama/8-1/panorama-admin/set-up-panorama/set-up-the-m-series-appliance.html   DNSとNTPの設定が必須です。   STEP 2 Panoramaの登録とサポート ライセンスのアクティベーションを行います。詳細は、以下をご覧ください。   Panorama Administrator's Guide >  Register Panorama and Install Licenses   https://docs.paloaltonetworks.com/panorama/8-1/panorama-admin/set-up-panorama/register-panorama-and-install-licenses STEP 3 Cortex Data Lakeのアクティベーションを行います。 対応するPanoramaのシリアル番号と関連付けの上、Cortex Data LakeのAuth Codeをアクティベートします。     本記事作成時点ではLogging RegionとしてAmerica, Europeが選択可能。     STEP 4 アクティベートしたCortex Data LakeのQuantityとParts Descriptionの確認をします。   STEP 5 Panorama上でのプレミアム サポート ライセンス キーの取得します。   STEP 6 PanoramaでのCloud Services Pluginをインストールします。   STEP 7 アカウントの確認をします。スーパーユーザーとしてCSPにログインし、ワンタイム パスワードを生成し、それをPanoramaに入力する必要があります。   注：ワンタイム パスワードは生成から10分間のみ有効です。   STEP 8 PanoramaのCLIとGUIにてPanoramaとCortex Data Lakeの接続を確認します（Cloud Service Plugin 1.2以降で可能）。   STEP 9 HubにてCortex Data Lakeが正常に提供されていることを確認します。   STEP 10 後述の「(5)Cortex Data Lakeのログ ストレージ割当の設定」を行います。   STEP 11 後述の「(5)-2ファイアウォールからCortex Data Lakeへのログ転送の設定」を行います。   (5)-2 ファイアウォールからCortex Data Lakeへのログ転送の設定    本文書では概要と注意点のみをご紹介します。詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > Forward Logs to Cortex Data Lake (Panorama-Managed Firewalls) https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/panorama-and-cortex-data-lake/forward-logs-from-panorama-managed-firewalls.html   Prisma Access使用時の注意 Prisma Access remote networks / mobile usersを使用している場合のログ転送は手順が異なります。 その場合はPrisma Access Administrator’s Guideをご覧ください。 https://docs.paloaltonetworks.com/prisma/prisma-access/prisma-access-panorama-admin 手順 STEP 1 ファイアウォールをPanoramaに管理対象デバイスとして追加します。 ファイアウォールはCortex Data Lakeとの同期のため、NTPの設定が必須です。 Panoramaに設定したものと同じNTPサーバーを指定してください。   STEP 2 管理対象ファイアウォールのためのCortex Data Lakeライセンスの取得とプッシュをします。   STEP 3 Panorama上でTemplateとDevice Groupを作成し、Cortex Data Lakeにログを転送するファイアウォールを追加します。   STEP 4 Templateで"ロギングサービスを有効化”をチェックし、ログを蓄積したいRegionを選択します。 PAN-OS 8.1からは"ロギングの複製（クラウドおよびオンプレミス）を有効化"をチェックすることで、Cortex Data Lake、Panorama、オンプレミスのログ収集機器へのログ送信も可能です。   STEP 5（オプション） ファイアウォールの管理インターフェイスからCortex Data Lakeへのログ転送をしたくない場合、異なるインターフェイスからの送出が可能です。該当のトラフィックを許可するポリシーも必要になります。   STEP 6 Cortex Data Lakeに転送するログ種類の選択と、その転送設定を行います。   注： Cortex Data Lakeとの通信に、ファイアウォールはTCP ポート 3978、PanoramaはTCP ポート 444を使用します。 Panoramaとインターネットの間にPaloalto Networksのファイアウォールがある場合、App-ID paloalto-shared-servicesとpaloalto-logging-servicesを許可するか、インターネット向きのTCP ポート 444と3978を使用したSSL通信を許可する必要があります。Paloalto以外のファイアウォールの場合は、「(7)Cortex Data Lakeで使用するTCPポートとFQDN」を参照の上、該当する通信を許可してください。   STEP 7 Panorama上で変更をコミットし、テンプレートとデバイスグループをプッシュします。   STEP 8 Cortex Data Lakeにログが転送されているか確認します。 PanoramaのMonitor > ログでログがあるか確認します。 Panorama 9.0では、"ロギング サービスから"のカラムがあり、参照しているログがCortex Data Lakeに保存されたものかを確認できます。   ファイアウォール上で以下のコマンドで、Cortex Data Lakeにログを転送しているか確認します。   > show logging-status   成功している場合の出力例   > show logging-status ----------------------------------------------------------------------------------------------------------------------------- Type Last Log Created Last Log Fwded Last Seq Num Fwded Last Seq Num Acked Total Logs Fwded ----------------------------------------------------------------------------------------------------------------------------- > CMS 0 Not Sending to CMS 0 > CMS 1 Not Sending to CMS 1 >Log Collection Service 'Log Collection log forwarding agent' is active and connected to 65.154.226.13 config 2018/02/06 16:06:33 2018/02/07 02:09:29 48 48 2 system 2018/02/07 09:06:50 2018/02/07 09:07:09 960 959 416 threat Not Available Not Available 0 0 0 traffic 2018/02/07 09:08:52 2018/02/07 09:09:09 238501 238250 237706 hipmatch Not Available Not Available 0 0 0 gtp-tunnel Not Available Not Available 0 0 0 userid Not Available Not Available 0 0 0 auth Not Available Not Available 0 0 0   失敗例：Cortex Data Lakeへの転送を行っていない Cortex Data Lakeに接続せず、Panoramaにログを転送しています。   > show logging-status ----------------------------------------------------------------------------------------------------------------------------- Type Last Log Created Last Log Fwded Last Seq Num Fwded Last Seq Num Acked Total Logs Fwded ----------------------------------------------------------------------------------------------------------------------------- > CMS 0 Panorama log forwarding agent is active config Not Available Not Available 0 42 0 system 2018/01/31 13:58:43 2018/01/31 13:58:50 502 502 69 threat Not Available Not Available 0 0 0 traffic 2018/01/31 14:01:19 2018/01/31 14:01:27 534 532 355 hipmatch Not Available Not Available 0 0 0 gtp-tunnel Not Available Not Available 0 0 0 userid Not Available Not Available 0 0 0 auth Not Available Not Available 0 0 0 > CMS 1 Not Sending to CMS 1 >Log Collection Service Not Sending to Log Collector Cortex Data Lakeの証明書をファイアウォールが取得しているか確認する。以下は取得できていない例。   > request logging-service-forwarding certificate info Certificate chain verification: failed Failed to fetch lcaas certificate info. admin@PA-VM1> request logging-service-forwarding certificate fetch Server error : Logging Service License not installed. Install the license beforefetching a certificate.     上記の出力の場合、STEP 2"管理対象ファイアウォールのためのCortex Data Lakeライセンスの取得とプッシュ"を再度実行してください。   失敗例：Cortex Data Lakeへの転送を試みているが失敗している   > show logging-status ----------------------------------------------------------------------------------------------------------------------------- Type Last Log Created Last Log Fwded Last Seq Num Fwded Last Seq Num Acked Total Logs Fwded ----------------------------------------------------------------------------------------------------------------------------- > CMS 0 Not Sending to CMS 0 > CMS 1 Not Sending to CMS 1 >Log Collection Service 'Log Collection log forwarding agent' is active but not connected config Not Available Not Available 0 42 0 system Not Available Not Available 0 516 0 threat Not Available Not Available 0 0 0 traffic Not Available Not Available 0 635 0 hipmatch Not Available Not Available 0 0 0 gtp-tunnel Not Available Not Available 0 0 0 userid Not Available Not Available 0 0 0 auth Not Available Not Available 0 0 0   例えばファイアウォールからインターネットへのTCP ポート 3978の通信が遮断されている場合などに上記の出力となります。該当の通信が適切なルートに向けて出力されているか、またTCP 3978が他のファイアウォールなどにブロックされていないかご確認ください。   STEP 9 長期に渡ってログをアーカイブしたい、SOC、または内部監査といった目的がある場合、Log Forewarding Appを使用できます。このアプリケーションはCortex Data Lakeから外部のsyslogサーバー、電子メールサーバーへのログ転送を可能にします。 詳細はLog Forwarding App Getting Started Guideを御覧ください。   (6)Cortex Data Lakeのログ ストレージ割当の設定 Hubにてログ ストレージ割当をログ タイプごとに行う必要があります。デフォルトでは割当がされておらず、ログ ストレージ割当を行わないと、ログはCortex Data Lakeで保存されません。   本文書では概要をご紹介します。詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > Configure Log Storage Quota on the Cortex Data Lake https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/set-log-storage-quota   STEP 1 Hub (https://apps.paloaltonetworks.com/apps)にサイン インします。 サイン インできない場合はCustomer Support Portalにて適切なユーザー ロールを割り当てる必要があります。   STEP 2 ログ ストレージ割当を行いたいCortex Data Lakeのインスタンスを選択します。 複数のCortex Data Lakeのインスタンスを保持している場合は、Cortex Data Lakeのタイルにマウスを重ねてください。お客様のアカウント配下で利用可能なインスタンスのリストから、該当するものを選択します。   STEP 3 各タイプのログへ割り当てるストレージ量を調整するため、Configrationを選択します。   STEP 4 ログの生成元（Firewall 等）をクリックして展開し、各ログ タイプごとに設定をします。 Quota：ストレージ送料に対するパーセンテージでの割当。 （オプション）MAX DAYS：Cortex Data Lakeによるログの保持期間。最大2000日 MIN RETENTION WARTINING：最大保持期間到達の前にWarningを行う閾値。この閾値に達すると、ファイアウォールはシステム ログに通知を生成します。設定がない場合通知はありません。 STEP 5 Applyにて設定を適用します。   (7)Cortex Data Lake状態の確認 Hub (https://apps.paloaltonetworks.com/apps) > Statusからサービスの状態を確認できます   詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > View Cortex Data Lake Status https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/view-status.html (8)Cortex Data Lakeで使用するTCPポートとFQDN   PanoramaとファイアウォールはTCPポート444と3978を用いて、ログを転送します。App-ID “paloalto-logging-service”にて識別が可能です。詳細は以下をご覧ください。   Cortex Data Lake Getting Started Guide > TCP Ports and FQDNs Required for Cortex Data Lake https://docs.paloaltonetworks.com/cortex/cortex-data-lake/cortex-data-lake-getting-started/get-started-with-cortex-data-lake/ports-and-fqdns ... View more