팔로알토 네트웍스 방화벽

구독
다운로드 629
업데이트 2026. 11. 3.

설치 매뉴얼

개요

본 섹션은 로그프레소 소나와 Palo Alto Networks NGFW 간 연동 방법에 대해 설명합니다. Palo Alto Networks NGFW 앱은 PAN-OS 방화벽의 트래픽, 위협, 시스템, 설정 변경 로그를 Syslog 또는 PAN-OS XML API를 통해 수집합니다. DAG(Dynamic Address Group) 기반 IP 차단연동을 지원하여 로그프레소 소나에서 탐지한 위협 IP를 방화벽에 자동으로 등록·해제할 수 있습니다.

적용 범위

Note
소나 4.0.2502.0 이상, PAN-OS 10.x 이상에서 동작합니다. 본 기능은 PA-820 10.2.2 버전에서 개발 및 테스트되었습니다.
주소 그룹에 최대 등록 가능한 IP 건수는 모델별 상이합니다. 자세한 스펙은 팔로알토 제품 비교 페이지를 참고해주세요.
Caution
1.8.2610.0 버전부터 API 수집기는 호스트명·API 키를 직접 입력하지 않고 접속 프로파일을 지정합니다. 이 버전으로 설치하면 이전 버전에서 추가한 API 수집기는 동작하지 않을 수 있으므로, 접속 프로파일을 추가한 뒤 수집기를 수정해 접속 프로파일을 지정해야 합니다. Syslog 수집기는 영향이 없습니다.

요구 사항

항목요구사항비고
외부 장비 권한Syslog 전송 설정 변경 권한, API 키 발급 권한권한 부족 시 설정 불가
네트워크 허용HTTPS/443 (소나 → NGFW, Outbound)API 수집 또는 차단연동 사용 시 필요
로그프레소 앱Palo Alto Networks NGFW 앱 설치

Palo Alto Networks NGFW 설정

Note
Palo Alto Networks NGFW 콘솔에서 API 수집, 방화벽 관련 확장명령어 및 차단연동에 필요한 사전 설정을 수행합니다.

단계 1: API 키 발급

차단연동 및 API 수집에 필요한 API 키를 발급합니다. 방화벽의 관리 IP로 curl 명령을 실행합니다.

curl -k -X GET 'https://<firewall>/api/?type=keygen&user=<username>&password=<password>'

성공 시 XML 응답의 <key> 요소에 API 키가 포함됩니다.

<response status="success">
  <result>
    <key>xxx...</key>
  </result>
</response>

PAN-OS API 키 발급 가이드 페이지

Caution
API 키를 재생성하면 기존 키로 연결된 모든 세션이 종료됩니다. 운영 중인 접속 프로파일이 있다면 키 변경 후 반드시 업데이트하세요.

단계 2: DAG(Dynamic Address Group) 생성

차단연동이 등록한 IP가 방화벽 정책에 반영되려면 Dynamic Address Group이 필요합니다.

Objects > Address Groups에서 Add 버튼을 클릭하고 아래 값을 입력합니다.

항목설정
Name그룹 이름 (예: block_logpresso)
TypeDynamic 선택
Match매칭 태그 조건 입력 (예: 'blocked')
  • Match 값은 반드시 작은따옴표로 감쌉니다.
  • 여러 태그 조합: 'blocked' or 'malicious'
  • AND 조건: 'blocked' and 'high-risk'

NGFW 콘솔 Objects > Address Groups에서 DAG 생성 대화상자

Tip
태그는 미리 만들어두지 않아도 됩니다. API로 IP 등록 시 태그가 자동 생성됩니다.

단계 3: Tag 객체 생성 (선택, 권장)

Objects > Tags에서 Add를 클릭하고 아래 값을 입력합니다.

항목설정
Name태그 이름 (예: blocked). DAG Match 조건과 동일
Color시각적 구분용 색상 지정
Comments용도 설명 (예: ip blocked by logpresso)

NGFW 콘솔 Objects > Tags에서 태그 생성 대화상자

태그를 미리 생성해두면 모니터링 시 색상으로 구분할 수 있습니다.

단계 4: Security Policy 생성 (차단 규칙)

DAG에 등록된 IP를 실제로 차단하기 위한 보안 정책을 추가합니다.

Policies > Security에서 Add를 클릭하고 각 탭을 설정합니다.

General 탭:

항목설정
Name규칙 이름 (예: deny_block_src_logpresso)
Rule Typeuniversal

Security Policy Rule - General 탭 설정

Source 탭:

차단 방향에 따라 Source 또는 Destination에 DAG를 지정합니다.

항목설정
Source Zone대상 존 (예: Any)
Source Address앞서 생성한 DAG 선택 (예: block_logpresso)

Security Policy Rule - Source 탭에서 DAG 지정

Actions 탭:

항목설정
ActionDeny (또는 Drop, Reset-both)

Security Policy Rule - Actions 탭에서 Deny 설정

Tip
인바운드 차단(외부 → 내부)이면 Source Address에, 아웃바운드 차단(내부 → 외부)이면 Destination Address에 DAG를 지정합니다. 양방향 모두 필요하면 규칙 2개를 생성하거나 양쪽 모두에 DAG를 지정합니다.

단계 5: 규칙 순서 확인

차단 규칙은 허용 규칙보다 위에 위치해야 합니다. Security Policy 목록에서 드래그하거나 Move 버튼으로 상단으로 이동합니다. 기존 Allow 규칙이 먼저 매칭되면 차단이 동작하지 않습니다.

단계 6: Commit

우측 상단 Commit 버튼을 클릭하여 설정을 반영합니다.

NGFW 콘솔 Commit 대화상자

Note
DAG와 Security Policy의 최초 설정 시에만 Commit이 필요합니다. 이후 API를 통한 IP 등록·해제는 Commit 없이 즉시 반영됩니다.

로그프레소 설정

접속 프로파일 추가

API 수집기·차단연동·확장 명령어가 NGFW API를 호출할 때 사용할 자격증명을 등록합니다.

시스템 > 접속 프로파일에서 추가를 클릭하고 아래 값을 입력합니다.

구분항목설정
필수이름접속 프로파일을 식별할 고유한 이름
필수식별자로그프레소 쿼리 등에서 사용할 고유 식별자 (예: paloalto_ngfw)
필수유형Palo Alto Networks NGFW 선택
필수호스트명방화벽 도메인 또는 IP 주소 (예: 192.0.2.1)
필수API 키NGFW 설정 단계 1에서 발급한 API 키
선택HTTP 프록시IP:PORT 형식. 프록시를 통해 접속해야 하는 경우 설정

소나 접속 프로파일 추가 화면

Syslog 수집기 추가

방화벽이 전송하는 Syslog로 로그를 수집하려면 수집기를 추가합니다. Syslog 수집기는 접속 프로파일을 사용하지 않습니다.

시스템 > 수집기에서 추가를 클릭하고 아래 값을 입력합니다.

구분항목설정
필수이름수집기를 식별할 고유한 이름
필수적재 위치로그를 적재할 노드 선택
필수수집 모델Palo Alto Networks NGFW (Syslog) 선택
필수테이블FW_PALOALTO로 시작하는 테이블 이름 입력
선택원격지 IPSyslog를 전송하는 방화벽 IP 주소 (예: 192.0.2.1)
선택포트수신 포트 필터. 미설정 시 모든 포트로 수신 (예: 514)

Palo Alto Networks NGFW (Syslog) 수집 설정

Note
기본 설치되는 대시보드 및 데이터셋은 이름이 FW_PALOALTO로 시작하는 테이블을 참조합니다.

API 수집기 추가

Syslog 대신 PAN-OS XML API로 트래픽·위협 로그를 수집하려면 수집기를 추가합니다. 수집기는 위에서 등록한 접속 프로파일의 호스트명·API 키·HTTP 프록시로 방화벽에 접속합니다.

시스템 > 수집기에서 추가를 클릭하고 아래 값을 입력합니다.

구분항목설정
필수이름수집기를 식별할 고유한 이름
필수실행 방식주기 선택
필수주기초 단위 수집 주기. 기본값 5
필수적재 위치로그를 적재할 노드 선택
선택수집 위치수집을 수행할 센트리 선택
필수수집 모델Palo Alto Networks NGFW (API) 선택
필수테이블FW_PALOALTO로 시작하는 테이블 이름 입력
필수접속 프로파일위에서 등록한 접속 프로파일의 식별자 입력 (예: paloalto_ngfw)
선택수집 시작 일시yyyy-MM-dd HH:mm:ss 형식. 미설정 시 1시간 전부터 수집

소나 수집기 추가 화면 - Palo Alto Networks NGFW (API) 기본 설정

소나 수집기 추가 화면 - 접속 프로파일·수집 시작 일시 옵션

차단연동 추가

시스템 > 차단 연동에서 추가를 클릭하고 아래 값을 입력합니다.

구분항목설정
필수이름차단연동을 식별할 고유한 이름
필수차단 연동 모델Palo Alto Networks NGFW 선택
필수접속 프로파일위 단계에서 등록한 프로파일 선택
필수주소 그룹차단 대상 IP를 관리할 주소 그룹 선택 또는 새로 생성
필수DAG 태그 이름동적 주소 그룹 차단에 사용할 태그 이름 (예: blocked)

소나 차단 연동 추가 화면

Note
DAG 태그 이름은 NGFW 설정 단계 2에서 DAG의 Match 조건에 사용한 태그와 동일해야 합니다.

설치 후 검증

아래 쿼리로 수집이 동작하는지 확인합니다. Syslog·API 수집기 모두 FW_PALOALTO로 시작하는 테이블에 적재됩니다.

table duration=10m FW_PALOALTO*
| stats count by type
  • 정상: 로그 유형(TRAFFIC, THREAT 등)별 레코드가 1건 이상 조회됩니다. API 수집기는 TRAFFIC·THREAT만 수집합니다.
  • 비정상 (Syslog): 0건이면 방화벽의 Syslog 전송 설정과 수집기의 원격지 IP·포트를 확인합니다.
  • 비정상 (API): 0건이면 수집기 상태의 오류 메시지와 접속 프로파일의 호스트명·API 키, 네트워크 도달(HTTPS/443)을 확인합니다.

방화벽 차단 동작을 검증하려면 아래 명령어로 테스트 IP를 등록한 뒤 NGFW에서 확인합니다.

paloalto-ngfw-add-dynamic-address profile=paloalto_ngfw tag=blocked ip=192.0.2.1

paloalto-ngfw-dynamic-addresses profile=paloalto_ngfw tag=blocked

등록된 IP는 NGFW 콘솔에서 Objects > Address Groups > 해당 DAG 선택 > more... 링크를 클릭하거나, CLI에서 아래 명령으로 확인할 수 있습니다.

show object registered-ip tag "blocked"

검증이 끝나면 테스트 IP를 해제합니다.

paloalto-ngfw-remove-dynamic-address profile=paloalto_ngfw tag=blocked ip=192.0.2.1

참고 자료