איסוף יומנים של Imperva Attack Analytics

נתמך ב:

Google secops SIEM

במסמך הזה מוסבר איך להטמיע יומני Imperva Attack Analytics ב-Google Security Operations באמצעות Amazon S3. ‫Imperva Attack Analytics משתמשת בלמידת מכונה ובבינה מלאכותית כדי לספק יכולות מתקדמות של זיהוי איומים וניתוח. הוא מנטר את התנועה ברשת, את יומני האפליקציות ואת התנהגות המשתמשים כדי לזהות חריגות ופעילויות חשודות, ומשווה בין נתונים ממקורות שונים כדי לספק תובנות מקיפות בנושא אבטחה. השילוב הזה מאפשר לכם לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישת הרשאת-על ל-AWS
• גישה עם הרשאות למסוף Imperva

איסוף הדרישות המוקדמות של Imperva Attack Analytics (פרטי כניסה ל-API)

1. נכנסים ל-Imperva Console בכתובת my.imperva.com.
2. עוברים אל חשבון > ניהול חשבון.
3. בסרגל הצד, לוחצים על SIEM Logs (יומני SIEM) > Log Configuration (הגדרת יומן).
4. לוחצים על הוספת חיבור.
5. בוחרים באפשרות Amazon S3 כשיטת המשלוח.
6. מגדירים את החיבור ל-Amazon S3:
   • שם החיבור: מזינים שם תיאורי (לדוגמה, Google SecOps Integration).
   • מפתח גישה: מפתח הגישה שלכם ל-S3.
   • מפתח סודי: המפתח הסודי של S3.
   • נתיב: נתיב הדלי בפורמט <bucket-name>/<folder> (לדוגמה, imperva-attack-analytics-logs/chronicle).

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה של Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
2. שומרים את השם של ה-bucket ואת האזור לעיון בעתיד (לדוגמה, imperva-attack-analytics-logs).
3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על Create access key (יצירת מפתח גישה).
11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. בקטע Permissions policies, לוחצים על Add permissions.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות צירוף מדיניות ישירות.
17. מחפשים את המדיניות AmazonS3FullAccess.
18. בוחרים את המדיניות.
19. לוחצים על הבא.
20. לוחצים על הוספת הרשאות.

הגדרת מדיניות ותפקיד IAM להעלאות ל-S3

1. במסוף AWS, עוברים אל IAM > Policies (מדיניות).
2. לוחצים על יצירת מדיניות > הכרטיסייה JSON.

3. מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowGetObjects",
         "Effect": "Allow", 
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket", 
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

   • מחליפים את imperva-attack-analytics-logs אם הזנתם שם אחר לקטגוריה.

4. לוחצים על הבא > יצירת מדיניות.

5. עוברים אל IAM > Roles > Create role > AWS service > Lambda.

6. מצרפים את המדיניות החדשה שנוצרה.

7. נותנים לתפקיד את השם imperva-attack-analytics-s3-role ולוחצים על יצירת תפקיד.

הגדרת חיבור ל-S3 ב-Imperva Attack Analytics

1. חוזרים להגדרת יומני SIEM במסוף Imperva.
2. מעדכנים את החיבור ל-Amazon S3 באמצעות פרטי הכניסה ל-AWS:
   • מפתח גישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח סודי: המפתח הסודי של המשתמש עם גישה לקטגוריית S3.
   • נתיב: מזינים את הנתיב בפורמט imperva-attack-analytics-logs/chronicle.
3. לוחצים על בדיקת החיבור כדי לוודא שיש קישוריות.
4. מוודאים שסטטוס החיבור הוא זמין.

הגדרת ייצוא של יומנים מ-Attack Analytics

1. בטבלת החיבורים, מרחיבים את החיבור ל-Amazon S3.
2. לוחצים על הוספת סוג יומן.
3. מספקים את פרטי ההגדרה הבאים:
   • שם ההגדרה האישית: מזינים שם תיאורי (לדוגמה, Attack Analytics Logs to Google SecOps).
   • בחירת שירות: בוחרים באפשרות Attack Analytics.
   • בחירת סוגי יומנים: בוחרים את סוגי היומנים של Attack Analytics שרוצים לייצא.
   • פורמט: CEF (פורמט אירועים נפוץ ליומני Attack Analytics).
   • מצב: מגדירים את האפשרות מופעל.
4. לוחצים על הוספת סוג יומן כדי לשמור את ההגדרה.

אופציונלי: יצירת משתמש IAM ומפתחות לקריאה בלבד עבור Google SecOps

1. עוברים אל AWS Console > IAM > Users.
2. לוחצים על הוספת משתמשים.
3. מספקים את פרטי ההגדרה הבאים:
   • משתמש: מזינים secops-reader.
   • סוג הגישה: בוחרים באפשרות מפתח גישה – גישה פרוגרמטית.
4. לוחצים על יצירת משתמש.
5. צירוף מדיניות קריאה מינימלית (מותאמת אישית): משתמשים > secops-reader > הרשאות > הוספת הרשאות > צירוף מדיניות ישירות > יצירת מדיניות.

6. בעורך ה-JSON, מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

7. מגדירים את השם ל-secops-reader-policy.

8. עוברים אל יצירת מדיניות > חיפוש/בחירה > הבא > הוספת הרשאות.

9. עוברים אל Security credentials > Access keys > Create access key (פרטי כניסה לאבטחה > מפתחות גישה > יצירת מפתח גישה).

10. מורידים את CSV (הערכים האלה מוזנים לפיד).

הגדרת פיד ב-Google SecOps להטמעה של יומנים מ-Imperva Attack Analytics

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על + הוספת פיד חדש.
3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Imperva Attack Analytics logs).
4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
5. בוחרים באפשרות Imperva Attack Analytics בתור סוג היומן.
6. לוחצים על הבא.
7. מציינים ערכים לפרמטרים הבאים של הקלט:
   • S3 URI: s3://imperva-attack-analytics-logs/chronicle/
   • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה לפי ההעדפה.
   • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון. ברירת המחדל היא 180 ימים.
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס.
   • תוויות של נתוני אירועים: התווית שמוחלת על האירועים מהפיד הזה.
8. לוחצים על הבא.
9. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.