收集 Imperva Attack Analytics 記錄

支援的服務：

本文說明如何使用 Amazon S3，將 Imperva Attack Analytics 記錄擷取至 Google Security Operations。Imperva Attack Analytics 運用機器學習和人工智慧技術，提供進階威脅偵測和分析功能。這項服務會監控網路流量、應用程式記錄和使用者行為，偵測異常和可疑活動，並彙整多個來源的資料，提供全面的安全性洞察。這項整合功能可讓您將這些記錄傳送至 Google SecOps，以便分析及監控。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • AWS 特殊存取權
  • Imperva 控制台的特殊存取權

收集 Imperva Attack Analytics 必要條件 (API 憑證)

  1. 前往 my.imperva.com 登入 Imperva 控制台。
  2. 依序前往「帳戶」>「帳戶管理」。
  3. 在側欄中，依序點選「SIEM Logs」>「Log Configuration」。
  4. 按一下「新增連線」。
  5. 選取「Amazon S3」做為傳送方式。
  6. 設定 Amazon S3 的連線：
    • 連線名稱：輸入描述性名稱 (例如 Google SecOps Integration)。
    • 存取金鑰：您的 S3 存取金鑰。
    • 密鑰：您的 S3 密鑰。
    • 路徑：bucket 路徑，格式為 <bucket-name>/<folder> (例如 imperva-attack-analytics-logs/chronicle)。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

  1. 按照這份使用手冊建立 bucket，建立 Amazon S3 bucket。
  2. 儲存 bucket 的「名稱」和「區域」，供日後參考 (例如 imperva-attack-analytics-logs)。
  3. 按照這份使用手冊建立使用者：建立 IAM 使用者。
  4. 選取建立的使用者。
  5. 選取「安全憑證」分頁標籤。
  6. 在「Access Keys」部分，按一下「Create Access Key」。
  7. 在「用途」部分選取「第三方服務」。
  8. 點選「下一步」。
  9. 選用：新增說明標記。
  10. 按一下「Create access key」。
  11. 按一下「Download CSV file」，儲存「Access Key」和「Secret Access Key」，以供日後參考。
  12. 按一下「完成」。
  13. 選取「權限」分頁標籤。
  14. 在「權限政策」部分，按一下「新增權限」。
  15. 選取「新增權限」。
  16. 選取「直接附加政策」。
  17. 搜尋 AmazonS3FullAccess 政策。
  18. 選取政策。
  19. 點選「下一步」。
  20. 按一下「Add permissions」。

設定 S3 上傳作業的 IAM 政策和角色

  1. 在 AWS 控制台中，依序前往「IAM」>「Policies」。
  2. 依序點選「Create policy」>「JSON」分頁標籤。

  3. 輸入下列政策：

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
    },
    {
      "Sid": "AllowGetObjects",
      "Effect": "Allow", 
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
    },
    {
      "Sid": "AllowListBucket",
      "Effect": "Allow",
      "Action": "s3:ListBucket", 
      "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
    }
  ]
}
    • 如果您輸入了其他 bucket 名稱，請替換 imperva-attack-analytics-logs。

  4. 依序點選「下一步」>「建立政策」。

  5. 依序前往「IAM」>「Roles」>「Create role」>「AWS service」>「Lambda」。

  6. 附加新建立的政策。

  7. 將角色命名為 imperva-attack-analytics-s3-role，然後按一下「Create role」(建立角色)。

設定 Imperva Attack Analytics S3 連線

  1. 返回 Imperva 控制台 SIEM 記錄設定。
  2. 使用 AWS 憑證更新 Amazon S3 連線：
    • 存取金鑰：可存取 S3 bucket 的使用者存取金鑰。
    • 密鑰：有權存取 S3 bucket 的使用者密鑰。
    • 路徑：請按照 imperva-attack-analytics-logs/chronicle 格式輸入路徑。
  3. 按一下「測試連線」來驗證連線。
  4. 確認連線狀態顯示為「可用」。

設定 Attack Analytics 記錄匯出

  1. 在「Connections」(連結) 表格中，展開 Amazon S3 連結。
  2. 按一下「Add log type」(新增記錄類型)。
  3. 提供下列設定詳細資料：
    • 設定名稱：輸入描述性名稱 (例如 Attack Analytics Logs to Google SecOps)。
    • Select service：選擇「Attack Analytics」。
    • 選取記錄類型：選取要匯出的 Attack Analytics 記錄類型。
    • 格式：CEF (攻擊數據分析記錄的通用事件格式)。
    • State：設為「Enabled」。
  4. 按一下「新增記錄類型」，儲存設定。

選用：為 Google SecOps 建立唯讀 IAM 使用者和金鑰

  1. 依序前往「AWS Console」>「IAM」>「Users」。
  2. 點選 [Add users] (新增使用者)。
  3. 提供下列設定詳細資料：
    • 「User」(使用者)：輸入 secops-reader。
    • Access type：選取「Access key – Programmatic access」。
  4. 點選「Create user」。
  5. 附加最低讀取權限政策 (自訂)：依序點選「Users」>「secops-reader」>「Permissions」>「Add permissions」>「Attach policies directly」>「Create policy」。

  6. 在 JSON 編輯器中輸入下列政策：

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::imperva-attack-analytics-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::imperva-attack-analytics-logs"
    }
  ]
}

  7. 將名稱設為 secops-reader-policy。

  8. 依序前往「建立政策」>「搜尋/選取」>「下一步」>「新增權限」。

  9. 依序前往「Security credentials」>「Access keys」>「Create access key」。

  10. 下載 CSV (這些值會輸入動態饋給)。

在 Google SecOps 中設定動態饋給，擷取 Imperva Attack Analytics 記錄

  1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
  2. 按一下「+ 新增動態饋給」。
  3. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Imperva Attack Analytics logs)。
  4. 在「來源類型」部分，選取「Amazon S3 V2」。
  5. 選取「Imperva Attack Analytics」做為「記錄類型」。
  6. 點選「下一步」。
  7. 指定下列輸入參數的值：
    • S3 URI：s3://imperva-attack-analytics-logs/chronicle/
    • 來源刪除選項：根據偏好選取刪除選項。
    • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。
    • 存取金鑰 ID：可存取 S3 bucket 的使用者存取金鑰。
    • Secret Access Key：可存取 S3 bucket 的使用者私密金鑰。
    • Asset namespace：資產命名空間。
    • 擷取標籤：套用至這個動態饋給事件的標籤。
  8. 點選「下一步」。
  9. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。