xhoms/xdrgateway

PAN-OS到Cortex XDR的HTTP日志转发网关

这是一个轻量应用，提供HTTP服务器以监听PAN-OS设备通过HTTP日志转发功能生成的警报，并使用Cortex XDR的警报 ingestion API将其转发至XDR平台。

核心功能

• 可配置的缓冲管道，应对警报突发（适配XDR默认每分钟600条外部警报限制）
• 支持XDR高级API密钥（不支持标准API密钥）
• 提供引擎运行时统计功能

构建Docker镜像

bash
docker build -t xdrgw https://github.com/xhoms/xdrgateway.git#main

运行应用

应用需要必填环境变量，同时接受可选变量。

必填变量（缺少将无法启动）

• API_KEY：XDR高级API密钥
• API_KEY_ID：XDR API密钥标识符（序列号）
• FQDN：对应XDR实例的完全限定域名（例如：myxdr.xdr.us.paloaltonetworks.com）

可选变量

• PSK：服务器检查Authorization头值以验证请求（默认无认证）
• DEBUG：开启详细日志输出（默认false）
• PORT：HTTP服务器绑定端口（默认8080）
• OFFSET：PAN-OS时间戳时区偏移（默认+0小时，UTC）
• QUOTA_SIZE：XDR警报 ingestion配额（默认600）
• QUOTA_SECONDS：配额刷新周期（默认60秒）
• UPDATE_SIZE：单次XDR更新最大警报数（默认60）
• BUFFER_SIZE：管道缓冲区大小（默认6000，10分钟容量）
• T1：缓冲区轮询频率（默认2秒）

运行示例

bash
docker run --rm -p 8080:8080 \
-e API_KEY="O4Bw...wEX" \
-e API_KEY_ID="36" \
-e FQDN="myxdr.xdr.us.paloaltonetworks.com" \
-e PSK="hello" \
docker.xuanyuan.run/xhoms/xdrgateway

TLS服务建议

建议在反向代理（如GCP Cloud Run或NGINX）后运行此容器以提供TLS支持。

PAN-OS设备配置

参考PAN-OS文档配置HTTP服务器并在日志转发配置文件中使用。建议仅转发中/高/严重威胁警报避免配额超限。应用/dump端点返回PAN-OS所需payload，警报需通过POST发送至/in端点。

获取PAN-OS配置payload示例

bash
curl 127.0.0.1:8080/dump -H "Authorization: hello"

运行时统计

应用/stats端点返回运行时统计：

bash
curl 127.0.0.1:8080/stats -H "Authorization: hello"

统计字段说明：

• ParseErrors：无法解析的事件数
• EventsReceived：/in端点访问次数
• PSKErrors：认证错误数
• POSTSend：成功发送到XDR的更新数
• POSTFailures：XDR发送失败数
• AlertsSend：通过缓冲管道的警报数
• SendFailures：生成payload内部错误数
• UpdatesSend：成功生成的payload数
• Discards：缓冲区丢弃的警报数