Coletar registros do Imperva Advanced Bot Protection

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Imperva Advanced Bot Protection no Google Security Operations usando o Amazon S3. O Imperva Advanced Bot Protection produz dados operacionais na forma de registros que oferecem visibilidade detalhada do tráfego de bots em canais da Web, para dispositivos móveis e de API. Essa integração permite enviar esses registros ao Google SecOps para análise e monitoramento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Acesso privilegiado à AWS
Acesso privilegiado ao console do Imperva

Receber credenciais da API do Imperva Advanced Bot Protection

Faça login no console do Imperva em my.imperva.com.
Acesse Conta > Gerenciamento de contas.
Na barra lateral, clique em Registros do SIEM > Configuração de registros.
Clique em Adicionar conexão.
Selecione Amazon S3 como o método de entrega.
Configure a conexão para o Amazon S3:
- Nome da conexão: insira um nome descritivo, por exemplo, Google SecOps Integration.
- Chave de acesso: sua chave de acesso do S3.
- Chave secreta: sua chave secreta do S3.
- Caminho: o caminho do bucket no formato <bucket-name>/<folder>, por exemplo, imperva-abp-logs/secops.

Configurar o bucket do AWS S3 e o IAM para o Google SecOps

Crie um bucket do Amazon S3 seguindo este guia do usuário: Criar um bucket.
Salve o nome e a região do bucket para referência futura, por exemplo, imperva-abp-logs.
Crie um usuário seguindo este guia do usuário: Criar um usuário do IAM.
Selecione o usuário criado.
Selecione a guia Credenciais de segurança.
Clique em Criar chave de acesso na seção Chaves de acesso.
Selecione Serviço de terceiros como Caso de uso.
Clique em Próxima.
Opcional: adicione uma tag de descrição.
Clique em Criar chave de acesso.
Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para referência futura.
Clique em Concluído.
Selecione a guia Permissões.
Clique em Adicionar permissões na seção Políticas de permissões.
Selecione Adicionar permissões.
Selecione Anexar políticas diretamente.
Pesquise a política AmazonS3FullAccess.
Selecione a política.
Clique em Próxima.
Clique em Adicionar permissões.

Configurar a política e o papel do IAM para uploads do S3

No console da AWS, acesse IAM > Políticas.
Clique em Criar política > guia JSON.

Insira a seguinte política:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::imperva-abp-logs/*"
    },
    {
      "Sid": "AllowGetObjects",
      "Effect": "Allow", 
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::imperva-abp-logs/*"
    },
    {
      "Sid": "AllowListBucket",
      "Effect": "Allow",
      "Action": "s3:ListBucket", 
      "Resource": "arn:aws:s3:::imperva-abp-logs"
    }
  ]
}

Substitua imperva-abp-logs se você tiver inserido um nome de bucket diferente.

Clique em Próxima > Criar política.
Acesse IAM > Papéis > Criar papel > Serviço da AWS > Lambda.
Anexe a política recém-criada.
Nomeie o papel imperva-abp-s3-role e clique em Criar papel.

Configurar a conexão do Imperva Advanced Bot Protection S3

Volte para a configuração de registros do SIEM do console do Imperva.
Atualize a conexão do Amazon S3 com as credenciais da AWS:
- Chave de acesso: a chave de acesso do usuário com acesso ao bucket do S3.
- Chave secreta: a chave secreta do usuário com acesso ao bucket do S3.
- Caminho: insira o caminho no formato imperva-abp-logs/chronicle.
Clique em Testar conexão para verificar a conectividade.
Verifique se o status da conexão mostra Disponível.

Configurar a exportação de registros do Advanced Bot Protection

Na tabela de conexões, expanda sua conexão do Amazon S3.
Clique em Adicionar tipo de registro.
Informe os seguintes detalhes de configuração:
- Nome da configuração: insira um nome descritivo, por exemplo, ABP Logs to Google SecOps.
- Selecionar serviço: escolha Advanced Bot Protection (ABP).
- Selecionar tipos de registro: selecione os tipos de registro do ABP que você quer exportar.
- Formato: JSON (formato estruturado para registros do Advanced Bot Protection).
- Estado: defina como Ativado.
Clique em Adicionar tipo de registro para salvar a configuração.

Opcional: criar usuário e chaves do IAM somente leitura para o Google SecOps

Acesse Console da AWS > IAM > Usuários.
Clique em Adicionar usuários.
Informe os seguintes detalhes de configuração:
- Usuário: insira secops-reader.
- Tipo de acesso: selecione Chave de acesso – Acesso programático.
Clique em Criar usuário.
Anexe a política de leitura mínima (personalizada): Usuários > secops-reader > Permissões > Adicionar permissões > Anexar políticas diretamente > Criar política.

No editor JSON, insira a seguinte política:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::imperva-abp-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::imperva-abp-logs"
    }
  ]
}

Defina o nome como secops-reader-policy.
Acesse Criar política > pesquisar/selecionar > Próxima > Adicionar permissões.
Acesse Credenciais de segurança > Chaves de acesso > Criar chave de acesso.
Faça o download do CSV (esses valores são inseridos no feed).

Configurar um feed no Google SecOps para ingerir registros do Imperva Advanced Bot Protection

Acesse Configurações do SIEM > Feeds.
Clique em + Adicionar novo feed.
No campo Nome do feed , insira um nome para o feed, por exemplo, Imperva Advanced Bot Protection logs.
Selecione Amazon S3 V2 como o Tipo de origem.
Selecione Imperva Advanced Bot Protection como o Tipo de registro.
Clique em Próxima.
Especifique valores para os seguintes parâmetros de entrada:
- URI do S3: s3://imperva-abp-logs/chronicle/
- Opções de exclusão de origem: selecione a opção de exclusão de acordo com sua preferência.
- Idade máxima do arquivo: inclua arquivos modificados no último número de dias. O padrão é 180 dias.
- ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3.
- Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3.
- Namespace do recurso: o namespace do recurso.
- Marcadores de ingestão: o marcador aplicado aos eventos desse feed.
Clique em Próxima.
Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.