איסוף יומנים של Imperva Attack Analytics

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Imperva Attack Analytics ב-Google Security Operations באמצעות Amazon S3. ‫Imperva Attack Analytics משתמש בלמידת מכונה ובבינה מלאכותית כדי לספק יכולות מתקדמות של זיהוי וניתוח איומים. הוא עוקב אחרי התנועה ברשת, יומני האפליקציות והתנהגות המשתמשים כדי לזהות חריגות ופעילויות חשודות, ומקשר בין נתונים ממקורות שונים כדי לספק תובנות אבטחה מקיפות. השילוב הזה מאפשר לכם לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• גישה מיוחדת ל-AWS
• גישה מיוחדת למסוף Imperva

איסוף דרישות מוקדמות של Imperva Attack Analytics (פרטי כניסה ל-API)

1. נכנסים למסוף Imperva בכתובת my.imperva.com.
2. עוברים אל חשבון > ניהול החשבון.
3. בסרגל הצד, לוחצים על SIEM Logs (יומני SIEM) > Log Configuration (הגדרת יומן).
4. לוחצים על הוספת חיבור.
5. בוחרים באפשרות Amazon S3 כשיטת המסירה.
6. מגדירים את החיבור ל-Amazon S3:
   • שם החיבור: מזינים שם תיאורי (לדוגמה, Google SecOps Integration).
   • מפתח גישה: מפתח הגישה שלכם ל-S3.
   • מפתח סודי: המפתח הסודי של S3.
   • ‫Path: הנתיב לקטגוריה בפורמט <bucket-name>/<folder> (לדוגמה, imperva-attack-analytics-logs/chronicle).

הגדרת קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה של Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה.
2. שומרים את שם הקטגוריה ואת האזור שלה לעיון בעתיד (לדוגמה, imperva-attack-analytics-logs).
3. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
6. לוחצים על Create Access Key בקטע Access Keys.
7. בקטע Use case, בוחרים באפשרות Third-party service.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על יצירת מפתח גישה.
11. לוחצים על Download CSV file כדי לשמור את Access Key ואת Secret Access Key לשימוש עתידי.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. בקטע מדיניות הרשאות, לוחצים על הוספת הרשאות.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות Attach policies directly.
17. מחפשים את המדיניות AmazonS3FullAccess.
18. בוחרים את המדיניות.
19. לוחצים על הבא.
20. לוחצים על הוספת הרשאות.

הגדרת המדיניות והתפקיד ב-IAM להעלאות ל-S3

1. במסוף AWS, נכנסים אל IAM > Policies.
2. לוחצים על Create policy > הכרטיסייה JSON.

3. מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowGetObjects",
         "Effect": "Allow", 
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket", 
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

   • אם הזנתם שם אחר לקטגוריה, החליפו את imperva-attack-analytics-logs.

4. לוחצים על Next > Create policy.

5. עוברים אל IAM > Roles > Create role > AWS service > Lambda.

6. מצרפים את המדיניות החדשה שנוצרה.

7. נותנים לתפקיד את השם imperva-attack-analytics-s3-role ולוחצים על יצירת תפקיד.

הגדרת החיבור של Imperva Attack Analytics ל-S3

1. חוזרים להגדרת יומני ה-SIEM במסוף Imperva.
2. מעדכנים את החיבור ל-Amazon S3 באמצעות פרטי הכניסה ל-AWS:
   • מפתח גישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח סודי: המפתח הסודי של המשתמש עם גישה לקטגוריית S3.
   • נתיב: מזינים את הנתיב בפורמט imperva-attack-analytics-logs/chronicle.
3. לוחצים על בדיקת החיבור כדי לוודא שהחיבור תקין.
4. מוודאים שסטטוס החיבור הוא זמין.

הגדרת ייצוא של יומן Attack Analytics

1. בטבלת החיבורים, מרחיבים את החיבור ל-Amazon S3.
2. לוחצים על הוספת סוג יומן.
3. מזינים את פרטי ההגדרה הבאים:
   • שם ההגדרה האישית: מזינים שם תיאורי (לדוגמה, Attack Analytics Logs to Google SecOps).
   • בחירת שירות: בוחרים באפשרות Attack Analytics.
   • Select log types: בוחרים את סוגי היומנים של Attack Analytics שרוצים לייצא.
   • פורמט: CEF (פורמט אירועים נפוץ ליומני Attack Analytics).
   • מצב: מגדירים את המצב כמופעל.
4. לוחצים על Add log type כדי לשמור את ההגדרה.

אופציונלי: יצירת משתמש ומפתחות IAM לקריאה בלבד ל-Google SecOps

1. עוברים אל AWS Console > IAM > Users.
2. לוחצים על הוספת משתמשים.
3. מזינים את פרטי ההגדרה הבאים:
   • משתמש: מזינים secops-reader.
   • Access type: בוחרים באפשרות Access key – Programmatic access.
4. לוחצים על Create user.
5. מצרפים מדיניות קריאה מינימלית (בהתאמה אישית): Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy.

6. בעורך ה-JSON, מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

7. מגדירים את השם secops-reader-policy.

8. עוברים אל Create policy > חיפוש/בחירה > Next > Add permissions.

9. עוברים אל Security credentials > Access keys > Create access key.

10. מורידים את קובץ ה-CSV (הערכים האלה מוזנים בפיד).

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של Imperva Attack Analytics

1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
2. לוחצים על + הוספת פיד חדש.
3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Imperva Attack Analytics logs).
4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
5. בוחרים באפשרות Imperva Attack Analytics בתור סוג היומן.
6. לוחצים על הבא.
7. מציינים ערכים לפרמטרים הבאים של הקלט:
   • S3 URI: s3://imperva-attack-analytics-logs/chronicle/
   • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
   • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.
   • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס.
   • תוויות הטמעה: התווית שנוספה לאירועים מהפיד הזה.
8. לוחצים על הבא.
9. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.