Palo Alto : analyse des journaux de menaces

Le SOC vous transmet l'export des journaux de menaces (~/pa/threat.csv) du pare-feu de la DMZ.

1. Règle dont des menaces critiques n'ont pas été bloquées (action alert) → answer non-bloque <règle>
2. Adresse externe qui tente d'exploiter le serveur web → answer attaquant <ip>
3. Poste interne vraisemblablement infecté (requêtes DNS vers un domaine de commande et contrôle, redirigées vers le sinkhole) → answer infecte <ip>
4. Écrivez ~/pa/actions.md : une ligne Règle <nom> : … (correction du profil) et une ligne <ip du poste> : … (réaction)

Colonnes : heure,source,destination,port,application,menace,severite,action,regle