איסוף יומנים של Imperva Attack Analytics

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Imperva Attack Analytics ב-Google Security Operations באמצעות Amazon S3. ‫Imperva Attack Analytics משתמשת בלמידת מכונה ובבינה מלאכותית כדי לספק יכולות מתקדמות של זיהוי איומים וניתוח. הוא מנטר את תעבורת הרשת, את יומני האפליקציות ואת התנהגות המשתמשים כדי לזהות חריגות ופעילויות חשודות, ומשווה בין נתונים ממקורות שונים כדי לספק תובנות מקיפות בנושא אבטחה. השילוב הזה מאפשר לכם לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישה עם הרשאות מיוחדות ל-AWS
• גישה עם הרשאות למסוף Imperva

איסוף הדרישות המוקדמות של Imperva Attack Analytics (פרטי כניסה ל-API)

1. נכנסים ל-Imperva Console בכתובת my.imperva.com.
2. נכנסים אל חשבון > ניהול חשבון.
3. בסרגל הצד, לוחצים על SIEM Logs > Log Configuration (יומני SIEM > הגדרת יומנים).
4. לוחצים על הוספת חיבור.
5. בוחרים באפשרות Amazon S3 כשיטת המשלוח.
6. מגדירים את החיבור ל-Amazon S3:
   • שם החיבור: מזינים שם תיאורי (לדוגמה, Google SecOps Integration).
   • מפתח גישה: מפתח הגישה שלכם ל-S3.
   • מפתח סודי: המפתח הסודי של S3.
   • Path: נתיב הדלי בפורמט <bucket-name>/<folder> (לדוגמה, imperva-attack-analytics-logs/chronicle).

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, imperva-attack-analytics-logs).
3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על Create access key (יצירת מפתח גישה).
11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. בקטע Permissions policies, לוחצים על Add permissions.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות צירוף מדיניות ישירות.
17. מחפשים את המדיניות AmazonS3FullAccess.
18. בוחרים את המדיניות.
19. לוחצים על הבא.
20. לוחצים על הוספת הרשאות.

הגדרת מדיניות ותפקיד IAM להעלאות ל-S3

1. במסוף AWS, עוברים אל IAM > Policies (מדיניות).
2. לוחצים על יצירת מדיניות > הכרטיסייה JSON.

3. מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowGetObjects",
         "Effect": "Allow", 
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Sid": "AllowListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket", 
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

   • מחליפים את imperva-attack-analytics-logs אם הזנתם שם קטגוריה אחר.

4. לוחצים על הבא > יצירת מדיניות.

5. עוברים אל IAM > Roles > Create role > AWS service > Lambda.

6. מצרפים את המדיניות החדשה שיצרתם.

7. נותנים לתפקיד את השם imperva-attack-analytics-s3-role ולוחצים על יצירת תפקיד.

הגדרת חיבור ל-S3 ב-Imperva Attack Analytics

1. חוזרים להגדרת היומנים של SIEM במסוף Imperva.
2. מעדכנים את החיבור ל-Amazon S3 עם פרטי הכניסה ל-AWS:
   • מפתח גישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח סודי: המפתח הסודי של המשתמש עם גישה לקטגוריית S3.
   • נתיב: מזינים את הנתיב בפורמט imperva-attack-analytics-logs/chronicle.
3. לוחצים על בדיקת החיבור כדי לוודא שיש חיבור.
4. מוודאים שסטטוס החיבור הוא זמין.

הגדרת ייצוא של יומנים מ-Attack Analytics

1. בטבלת החיבורים, מרחיבים את החיבור ל-Amazon S3.
2. לוחצים על הוספת סוג יומן.
3. מספקים את פרטי ההגדרה הבאים:
   • שם ההגדרה: מזינים שם תיאורי (לדוגמה, Attack Analytics Logs to Google SecOps).
   • בחירת שירות: בוחרים באפשרות Attack Analytics.
   • בחירת סוגי יומנים: בוחרים את סוגי היומנים של Attack Analytics שרוצים לייצא.
   • פורמט: CEF (פורמט אירועים נפוץ ליומני Attack Analytics).
   • מצב: מוגדר כמופעל.
4. לוחצים על הוספת סוג יומן כדי לשמור את ההגדרה.

אופציונלי: יצירת משתמש IAM ומפתחות עם הרשאת קריאה בלבד ל-Google SecOps

1. עוברים אל AWS Console > IAM > Users (מסוף AWS‏ > IAM‏ > משתמשים).
2. לוחצים על הוספת משתמשים.
3. מספקים את פרטי ההגדרה הבאים:
   • משתמש: מזינים secops-reader.
   • סוג הגישה: בוחרים באפשרות מפתח גישה – גישה פרוגרמטית.
4. לוחצים על יצירת משתמש.
5. מצרפים מדיניות קריאה מינימלית (מותאמת אישית): משתמשים > secops-reader > הרשאות > הוספת הרשאות > צירוף מדיניות ישירות > יצירת מדיניות.

6. בעורך ה-JSON, מזינים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
       }
     ]
   }
   

7. מגדירים את השם ל-secops-reader-policy.

8. עוברים אל יצירת מדיניות > מחפשים או בוחרים > הבא > הוספת הרשאות.

9. עוברים אל Security credentials > Access keys > Create access key (פרטי כניסה לאבטחה > מפתחות גישה > יצירת מפתח גישה).

10. מורידים את קובץ ה-CSV (הערכים האלה מוזנים לפיד).

הגדרת פיד ב-Google SecOps להטמעה של יומנים מ-Imperva Attack Analytics

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על + הוספת פיד חדש.
3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Imperva Attack Analytics logs).
4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
5. בוחרים באפשרות Imperva Attack Analytics בתור סוג היומן.
6. לוחצים על הבא.
7. מציינים ערכים לפרמטרים הבאים של הקלט:
   • S3 URI: s3://imperva-attack-analytics-logs/chronicle/
   • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
   • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס.
   • תוויות להוספה: התווית שמוחלת על האירועים מהפיד הזה.
8. לוחצים על הבא.
9. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.