Skills-SIMarket
skills-si.com
Proposer une Skill
/
L’interface est localisée ; les présentations et documents des Skills sont traduits automatiquement par IA dans votre langue. Le code, les commandes, chemins et termes techniques restent en version originale, et le document de l’auteur fait foi.
Explorer les Skills
Déploiement et opérations · SKILL.md

deploying-palo-alto-prisma-access-zero-trust

deploying-palo-alto-prisma-access-zero-trust

部署 Palo Alto Networks Prisma Access，通过 GlobalProtect Agent、ZTNA Connector、 安全策略执行以及与 Strata Cloud Manager 集成，实现基于 SASE 的零信任网络访问统一安全管理。

Independent GitHub snapshot · Automated classification · Original documentation governs

Kkillvxk / cybersecurity-skills-zhApache-2.0

Documentation de la Skill

GitHub

name: deploying-palo-alto-prisma-access-zero-trust description: > 部署 Palo Alto Networks Prisma Access，通过 GlobalProtect Agent、ZTNA Connector、 安全策略执行以及与 Strata Cloud Manager 集成，实现基于 SASE 的零信任网络访问统一安全管理。 domain: cybersecurity subdomain: zero-trust-architecture tags: [prisma-access, palo-alto, ztna, sase, globalprotect, strata-cloud-manager, zero-trust] version: "1.0" author: mahipal license: Apache-2.0

部署 Palo Alto Prisma Access 零信任

适用场景

  • 实施集成 ZTNA、SWG、CASB 和 FWaaS 的企业级 SASE 时
  • 以云交付安全取代 VPN 和分支机构防火墙时
  • 需要对远程访问流量进行高级威胁防护（WildFire、DNS Security）时
  • 为移动用户和远程网络（分支机构）连接部署零信任时
  • 通过 Strata Cloud Manager 将 ZTNA 与现有 Palo Alto NGFW 基础设施集成时

不适用于小型组织（用户数 < 200）（更简单的 ZTNA 解决方案即可满足需求）、仅需要 Web 应用访问而不需要完整网络安全的环境，或预算限制无法承担企业 SASE 许可证的场景。

前置条件

  • Prisma Access 许可证（Business Premium 或同等版本）
  • 已配置 Strata Cloud Manager（SCM）租户
  • 用于端点部署的 GlobalProtect Agent
  • ZTNA Connector 虚拟机：4 vCPU、8GB RAM、128GB 磁盘（VMware、AWS、Azure 或 GCP）
  • 身份提供商：Okta、Entra ID、Ping Identity（SAML 2.0）
  • 用于日志存储的 Palo Alto Cortex Data Lake

工作流程

步骤 1：在 Strata Cloud Manager 中配置 Prisma Access 基础设施

为移动用户和远程网络连接设置云基础设施。

Strata Cloud Manager > Prisma Access > 基础设施设置：

移动用户配置：
  - 服务连接：根据用户位置自动选择
  - DNS 服务器：10.1.1.10、10.1.1.11（企业 DNS）
  - 移动用户 IP 池：10.100.0.0/16
  - 认证：SAML + Okta（主）、Entra ID（备）
  - GlobalProtect 门户：portal.company.com
  - GlobalProtect 网关：自动（最近的 Prisma Access 位置）

基础设施子网：
  - 范围：172.16.0.0/16
  - 分配：每个 Prisma Access 位置 /24

步骤 2：部署 ZTNA Connector 实现私有应用访问

安装 ZTNA Connector 为内部应用程序提供安全访问。

# 在 VMware（OVA）上部署 ZTNA Connector
# 从 Strata Cloud Manager > Prisma Access > ZTNA Connectors 下载 OVA

# 通过 CloudFormation 部署到 AWS
aws cloudformation create-stack \
  --stack-name prisma-ztna-connector \
  --template-url https://prisma-access-connector-templates.s3.amazonaws.com/ztna-connector-aws.yaml \
  --parameters \
    ParameterKey=VpcId,ParameterValue=vpc-PROD \
    ParameterKey=SubnetId,ParameterValue=subnet-PRIVATE \
    ParameterKey=InstanceType,ParameterValue=m5.xlarge \
    ParameterKey=TenantServiceGroup,ParameterValue=TSG_ID \
    ParameterKey=ConnectorName,ParameterValue=dc-east-connector-01

# 验证连接器注册
# Strata Cloud Manager > Prisma Access > ZTNA Connectors
# 状态应显示 "Connected" 并标注最近的 Prisma Access 位置

# 部署第二个连接器实现高可用
# ZTNA Connector 自动发现最近的 Prisma Access 位置
# IPSec 隧道使用：ecp384/aes256/sha512（IKE 和 ESP）
# 带宽：每个连接器最高 2 Gbps

步骤 3：定义应用程序定义和访问策略

创建应用程序定义，通过 ZTNA Connector 指向内部应用。

Strata Cloud Manager > Prisma Access > 应用程序：

应用 1：内部 Wiki
  - FQDN：wiki.internal.corp
  - 端口：TCP 443
  - ZTNA Connector：dc-east-connector-01
  - 协议：HTTPS
  - 健康检查：已启用（HTTP GET /health）

应用 2：源代码仓库
  - FQDN：git.internal.corp
  - 端口：TCP 22、443
  - ZTNA Connector：dc-east-connector-01、dc-east-connector-02
  - 协议：HTTPS、SSH

应用 3：Finance ERP
  - FQDN：erp.internal.corp
  - 端口：TCP 443
  - ZTNA Connector：dc-east-connector-01
  - 协议：HTTPS
  - 用户认证：必须（每 2 小时重新认证）

Strata Cloud Manager > 策略 > 安全策略：

规则 1：工程团队访问开发工具
  来源：用户组 "Engineering"（来自 Okta SAML）
  目标：应用 "源代码仓库"、"内部 Wiki"
  HIP 配置文件："搭载 CrowdStrike 的托管设备"
  操作：允许
  日志：已启用
  威胁防护：最佳实践配置文件

规则 2：Finance 团队访问 ERP
  来源：用户组 "Finance"
  目标：应用 "Finance ERP"
  HIP 配置文件："合规设备 - 高安全"
  操作：允许
  SSL 解密：正向代理
  DLP 配置文件："财务数据保护"

规则 3：默认拒绝私有应用
  来源：任意
  目标：任意私有应用
  操作：拒绝
  日志：已启用

步骤 4：配置主机信息配置文件（HIP）进行设备态势检查

使用 HIP 检查定义设备态势要求。

Strata Cloud Manager > 对象 > GlobalProtect > HIP 对象：

HIP 对象："CrowdStrike 运行中"
  - 供应商：CrowdStrike
  - 产品：Falcon Sensor
  - 正在运行：是
  - 最低版本：7.10

HIP 对象："磁盘加密已启用"
  - Windows：BitLocker = 已加密
  - macOS：FileVault = 已加密

HIP 对象："操作系统补丁级别"
  - Windows：>= 10.0.22631
  - macOS：>= 14.0

HIP 配置文件："搭载 CrowdStrike 的托管设备"
  - 匹配："CrowdStrike 运行中" 且 "磁盘加密已启用"

HIP 配置文件："合规设备 - 高安全"
  - 匹配："CrowdStrike 运行中" 且 "磁盘加密已启用" 且 "操作系统补丁级别"

步骤 5：向端点部署 GlobalProtect Agent

推出 GlobalProtect Agent 实现安全连接。

# 通过 Intune 部署 GlobalProtect（Windows）
# MSI 从 Strata Cloud Manager > GlobalProtect > Agent Downloads 下载

# GlobalProtect 预部署配置
# 用于自动门户连接的 pre-deploy.xml：
cat > pre-deploy.xml << 'EOF'
<GlobalProtect>
  <Settings>
    <portal>portal.company.com</portal>
    <connect-method>pre-logon</connect-method>
    <authentication-override>
      <generate-cookie>yes</generate-cookie>
      <cookie-lifetime>24</cookie-lifetime>
    </authentication-override>
  </Settings>
</GlobalProtect>
EOF

# 验证 GlobalProtect 连接状态
# GlobalProtect 系统托盘 > 设置 > 连接详情
# 应显示：已连接到最近的 Prisma Access 网关
# IPSec 隧道已建立并启用完整威胁防护

步骤 6：配置日志和监控

设置 Cortex Data Lake 集成和监控仪表板。

Strata Cloud Manager > Prisma Access > 监控：

日志转发：
  - Cortex Data Lake：已启用（所有日志类型）
  - SIEM 转发：Splunk HEC（https://splunk-hec.company.com:8088）
  - 日志类型：流量、威胁、URL、WildFire、GlobalProtect、HIP 匹配

仪表板监控：
  - 移动用户：活跃连接、位置、带宽
  - ZTNA Connector：健康状态、延迟、隧道状态
  - 安全事件：已阻断威胁、DLP 违规、HIP 失败
  - 应用使用情况：热门应用、活跃用户、拒绝访问尝试

告警：
  - ZTNA Connector 宕机：邮件 + PagerDuty
  - HIP 失败率 > 10%：邮件通知 IT
  - 移动用户检测到威胁：SOC 告警

核心概念

术语定义
Prisma AccessPalo Alto 的云交付 SASE 平台，从单一架构提供 FWaaS、SWG、CASB、DLP 和 ZTNA
ZTNA Connector基于虚拟机的连接器，从内部网络到 Prisma Access 建立 IPSec 隧道，用于私有应用访问
GlobalProtect端点 Agent，提供与 Prisma Access 的安全连接，包含 HIP 检查和始终在线 VPN
Host Information Profile（HIP）授权访问前评估端点安全状态（EDR、加密、补丁）的设备态势检查
Strata Cloud ManagerPrisma Access、NGFW 和 Prisma Cloud 安全策略的统一管理控制台
Cortex Data Lake适用于 Palo Alto 安全遥测的基于云的日志存储和分析平台

工具与系统

  • Prisma Access：集成 ZTNA、SWG、CASB、DLP、FWaaS 的云交付 SASE
  • Strata Cloud Manager（SCM）：跨 Palo Alto 安全产品的统一策略管理
  • GlobalProtect Agent：具有 HIP 数据采集功能的端点连接 Agent
  • ZTNA Connector：用于内部应用访问的仅出站隧道连接器
  • Cortex Data Lake：具有分析和威胁检测能力的集中式日志存储
  • WildFire：集成到 Prisma Access 的基于云的恶意软件分析和防护

常见场景

场景：5000 名用户的企业 SASE 迁移

场景背景：一家拥有 5000 名用户、分布在 15 个办公室的制造企业，正在将 VPN、SWG 和分支防火墙整合到 Prisma Access SASE 中。用户需要访问 50 多个内部应用，并且无论在何处都需要一致的安全保障。

方法：

  1. 在 3 个数据中心部署 ZTNA Connector（每个数据中心 2 个实现高可用）以访问内部应用
  2. 配置 GlobalProtect 使用预登录连接实现始终在线安全
  3. 在 SCM 中定义 50 多个包含 FQDN 和端口映射的应用程序定义
  4. 创建 HIP 配置文件：标准（加密 + AV）、增强（+ CrowdStrike + 补丁）
  5. 构建安全策略，将用户组映射到应用程序并附带 HIP 要求
  6. 启用威胁防护配置文件（防间谍软件、防病毒、WildFire、URL 过滤）
  7. 通过 SCCM 分阶段向所有 5000 个端点部署 GlobalProtect Agent
  8. 配置 Cortex Data Lake 向 Splunk 转发日志供 SOC 监控
  9. 下线 VPN 集中器和分支防火墙设备

常见陷阱：ZTNA Connector 至少需要 4 vCPU 和 8GB RAM，配置不足会导致延迟。GlobalProtect 预登录需要机器证书在用户登录前进行认证。HIP 检查间隔应最少为 60 秒以避免性能影响。在全面部署前需规划 4-6 周的试点周期。

输出格式

Prisma Access ZTNA 部署报告
==================================================
组织：ManufactureCorp
部署日期：2026-02-23

基础设施：
  ZTNA Connector：6（2x DC-East、2x DC-West、2x DC-EU）
  Prisma Access 位置：8（自动选择）
  GlobalProtect 门户：portal.manufacturecorp.com

应用访问：
  已定义应用：52
  活跃 ZTNA 连接：3,247
  平均延迟：12ms

端点部署：
  GlobalProtect 已部署：4,812 / 5,000（96.2%）
  HIP 合规：4,567 / 4,812（94.9%）
  HIP 失败：245（主要原因：缺失补丁 120，加密问题 85）

安全状态（过去 30 天）：
  已阻断威胁：1,234
  DLP 违规：89
  URL 已拦截：45,678
  WildFire 提交：2,345

More skills to explore

Voir toutes les Skills
Skills enregistrées