Implantando Palo Alto Prisma Access Zero Trust

Quando Usar

• Ao implementar SASE de nível empresarial com ZTNA, SWG, CASB e FWaaS integrados
• Ao substituir tanto VPN quanto firewalls de filiais por segurança entregue na nuvem
• Ao precisar de prevenção avançada contra ameaças (WildFire, DNS Security) para tráfego de acesso remoto
• Ao implantar zero trust tanto para usuários móveis quanto para conexões de rede remota (filiais)
• Ao integrar ZTNA com a infraestrutura Palo Alto NGFW existente via Strata Cloud Manager

Não use para organizações pequenas (< 200 usuários) onde soluções ZTNA mais simples são suficientes, para ambientes que exigem apenas acesso a aplicativos web sem segurança de rede completa, ou quando restrições orçamentárias impedem licenciamento SASE empresarial.

Pré-requisitos

• Licença Prisma Access (Business Premium ou equivalente)
• Tenant Strata Cloud Manager (SCM) configurado
• Agente GlobalProtect para implantação em endpoints
• VM ZTNA Connector: 4 vCPU, 8GB RAM, 128GB disco (VMware, AWS, Azure ou GCP)
• Provedor de identidade: Okta, Entra ID, Ping Identity (SAML 2.0)
• Palo Alto Cortex Data Lake para armazenamento de logs

Fluxo de Trabalho

Etapa 1: Configurar a Infraestrutura Prisma Access no Strata Cloud Manager

Configure a infraestrutura de nuvem para conexões de usuários móveis e redes remotas.

Strata Cloud Manager > Prisma Access > Infrastructure Settings:

Mobile Users Configuration:
  - Service Connection: Auto-selected based on user location
  - DNS Servers: 10.1.1.10, 10.1.1.11 (corporate DNS)
  - IP Pool for Mobile Users: 10.100.0.0/16
  - Authentication: SAML with Okta (Primary), Entra ID (Secondary)
  - GlobalProtect Portal: portal.company.com
  - GlobalProtect Gateway: Auto (nearest Prisma Access location)

Infrastructure Subnet:
  - Range: 172.16.0.0/16
  - Allocation: /24 per Prisma Access location

Etapa 2: Implantar ZTNA Connectors para Acesso a Aplicativos Privados

Instale ZTNA Connectors para fornecer acesso seguro a aplicativos internos.

# Deploy ZTNA Connector on VMware (OVA)
# Download OVA from Strata Cloud Manager > Prisma Access > ZTNA Connectors

# AWS deployment via CloudFormation
aws cloudformation create-stack \
  --stack-name prisma-ztna-connector \
  --template-url https://prisma-access-connector-templates.s3.amazonaws.com/ztna-connector-aws.yaml \
  --parameters \
    ParameterKey=VpcId,ParameterValue=vpc-PROD \
    ParameterKey=SubnetId,ParameterValue=subnet-PRIVATE \
    ParameterKey=InstanceType,ParameterValue=m5.xlarge \
    ParameterKey=TenantServiceGroup,ParameterValue=TSG_ID \
    ParameterKey=ConnectorName,ParameterValue=dc-east-connector-01

# Verify connector registration
# Strata Cloud Manager > Prisma Access > ZTNA Connectors
# Status should show "Connected" with nearest Prisma Access location

# Deploy second connector for HA
# ZTNA Connector auto-discovers nearest Prisma Access location
# IPSec tunnel uses: ecp384/aes256/sha512 for IKE and ESP
# Bandwidth: up to 2 Gbps per connector

Etapa 3: Definir Definições de Aplicativos e Políticas de Acesso

Crie definições de aplicativos apontando para aplicativos internos via ZTNA Connectors.

Strata Cloud Manager > Prisma Access > Applications:

Application 1: Internal Wiki
  - FQDN: wiki.internal.corp
  - Port: TCP 443
  - ZTNA Connector: dc-east-connector-01
  - Protocol: HTTPS
  - Health Check: Enabled (HTTP GET /health)

Application 2: Source Code Repository
  - FQDN: git.internal.corp
  - Ports: TCP 22, 443
  - ZTNA Connector: dc-east-connector-01, dc-east-connector-02
  - Protocol: HTTPS, SSH

Application 3: Finance ERP
  - FQDN: erp.internal.corp
  - Port: TCP 443
  - ZTNA Connector: dc-east-connector-01
  - Protocol: HTTPS
  - User Authentication: Required (re-auth every 2h)

Strata Cloud Manager > Policies > Security Policy:

Rule 1: Engineering Access to Dev Tools
  Source: User Group "Engineering" (from Okta SAML)
  Destination: Application "Source Code Repository", "Internal Wiki"
  HIP Profile: "Managed Device with CrowdStrike"
  Action: Allow
  Logging: Enabled
  Threat Prevention: Best Practice profile

Rule 2: Finance Access to ERP
  Source: User Group "Finance"
  Destination: Application "Finance ERP"
  HIP Profile: "Compliant Device - High Security"
  Action: Allow
  SSL Decryption: Forward Proxy
  DLP Profile: "Financial Data Protection"

Rule 3: Default Deny Private Apps
  Source: Any
  Destination: Any Private App
  Action: Deny
  Logging: Enabled

Etapa 4: Configurar o Perfil de Informações do Host (HIP) para Postura do Dispositivo

…