Collecter les journaux Imperva CEF

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Imperva CEF dans Google Security Operations à l'aide de l'agent Bindplane.

L'analyseur extrait les champs des journaux au format syslog Imperva au format CEF (Common Event Format). Il utilise grok et/ou kv pour analyser le message CEF, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
• Accès privilégié à la console de gestion ou à l'appliance Imperva

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte Bindplane et faites tourner la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec des privilèges root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

Pour connaître les autres options d'installation, consultez le guide d'installation de l'agent BindPlane.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite la version 1.106.0 ou ultérieure du collecteur Bindplane. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'IMPERVA_CEF'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
   • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.
   • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
   • Remplacez <CUSTOMER_ID> par le numéro client réel.
   • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'IMPERVA_CEF'
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent Bindplane pour appliquer les modifications.

1. Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

   sudo systemctl restart observiq-otel-collector
   

2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurer la passerelle Imperva WAF (SecureSphere) pour envoyer le format CEF via Syslog

1. Dans la console MX, créez un ensemble d'actions :

   • Accédez à Stratégies > Ensembles d'actions.
   • Cliquez sur Nouveau et nommez-le (par exemple, Google SecOps CEF).

2. Ajoutez l'interface d'action syslog CEF :

   • Dans Interfaces d'action disponibles, ouvrez Journal système et ajoutez une ou plusieurs des options suivantes (selon vos besoins) :
     • Enregistrer un événement de sécurité dans le journal système (syslog) à l'aide de la norme CEF
     • Consigner un événement lié à la sécurité réseau dans le journal système (syslog) à l'aide de la norme CEF
     • Enregistrer l'événement système dans le journal système (syslog) à l'aide de la norme CEF
     • Enregistrer un événement de sécurité personnalisé dans le journal système (syslog) à l'aide de la norme CEF

3. Configurez les paramètres de l'interface d'action :

   • Hôte Syslog : saisissez l'adresse IP de votre agent BindPlane. Pour utiliser un port autre que celui par défaut, ajoutez :PORT (la valeur par défaut est 514 si vous n'en spécifiez pas). Exemple : 10.0.0.10:514.
   • Établissement / Niveau de journalisation : définissez-les en fonction des exigences de votre règlement.
   • Message : conservez les valeurs par défaut du fournisseur pour CEF, sauf si vous disposez d'un mappage personnalisé.

4. Associez l'ensemble d'actions aux règles :

   • Pour les événements Sécurité / Sécurité réseau : ouvrez les règles concernées et définissez Action suivie sur votre ensemble d'actions.
   • Pour les événements système : créez ou vérifiez une règle Événements système et définissez l'action suivie sur votre ensemble d'actions afin que ces événements soient également envoyés via CEF.

5. (Facultatif) Configurez des cibles spécifiques à la passerelle :

   • Si différents groupes de passerelles doivent envoyer des données à différents serveurs syslog, configurez chaque groupe de passerelles> enregistreur externe et activez Utiliser la configuration de la passerelle si elle existe dans la règle.
   Remarque : Pour Imperva Cloud WAF (Incapsula), la configuration est différente. Cloud WAF fournit une intégration des journaux (extraction ou transfert de fichiers journaux) à l'aide d'une API ou d'un espace de stockage désigné, et non d'un syslog direct depuis le portail. Consultez la documentation Imperva pour connaître les options d'exportation des journaux Cloud WAF.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
act	security_result.action	Dérivé. Si act est défini sur "allowed" ou "alert", commence par "REQ_PASSED" ou commence par "REQ_CACHED", alors action est défini sur "ALLOW". Si act est "deny", "blocked", commence par "REQ_BLOCKED" ou commence par "REQ_CHALLENGE", alors action est "BLOCK". Si act correspond à l'expression régulière (?i)REQ_BAD, action est défini sur "FAIL". Sinon, action est défini sur "UNKNOWN_ACTION". security_result.action est ensuite défini sur la valeur de action.
act	security_result.action_details	Dérivé. Une description détaillée est générée en fonction de la valeur de act. Exemples : "REQ_CACHED_FRESH : la réponse a été renvoyée à partir du cache du centre de données", "REQ_BLOCKED : la requête a été bloquée".
app	network.application_protocol	Mappé directement après avoir été converti en majuscules.
cs1	security_result.detection_fields.value	Mappé de manière conditionnelle si cs1 n'est pas vide ou n'est pas défini sur "NA". security_result.detection_fields.key est défini sur la valeur de cs1Label.
cs1Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs1 n'est pas vide ou "NA". security_result.detection_fields.value est défini sur la valeur de cs1.
cs2	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur la valeur de cs2Label.
cs2Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs2 n'est pas vide. security_result.detection_fields.value est défini sur la valeur de cs2.
cs3	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide ou s'il ne contient pas "-". security_result.detection_fields.key est défini sur la valeur de cs3Label.
cs3Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs3 n'est pas vide ou "-". security_result.detection_fields.value est défini sur la valeur de cs3.
cs4	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur la valeur de cs4Label.
cs4Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs4 n'est pas vide. security_result.detection_fields.value est défini sur la valeur de cs4.
cs5	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur la valeur de cs5Label.
cs5Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs5 n'est pas vide. security_result.detection_fields.value est défini sur la valeur de cs5.
cs6	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur la valeur de cs6Label.
cs6Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cs6 n'est pas vide. security_result.detection_fields.value est défini sur la valeur de cs6.
cs7	principal.location.region_latitude	Mappé de manière conditionnelle si cs7Label est "latitude".
cs8	principal.location.region_longitude	Mappé de manière conditionnelle si cs8Label est "longitude".
cn1	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide et si cn1Label n'est pas vide. security_result.detection_fields.key est défini sur la valeur de cn1Label.
cn1Label	security_result.detection_fields.key	Mappé de manière conditionnelle si cn1 et cn1Label ne sont pas vides. security_result.detection_fields.value est défini sur la valeur de cn1.
fileType	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur "fileType".
filePermission	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur "filePermission".
request	target.url	Mappé directement.
requestClientApplication	network.http.user_agent	Mappé de manière conditionnelle s'il n'est pas vide. Écrase la valeur mappée à partir du champ user_agent extrait des paires clé-valeur requestContext ou requestClientApplication dans la charge utile CEF.
requestMethod	network.http.method	Mappage direct.
siteid	security_result.detection_fields.value	Mappé de manière conditionnelle s'il n'est pas vide. security_result.detection_fields.key est défini sur "siteid".
sourceServiceName	target.hostname	Mappage direct. Écrase la valeur de dhost si elle est présente.
src	principal.ip	Mappage direct.
start	metadata.event_timestamp.seconds	Extrait à l'aide d'un modèle Grok et converti en code temporel. Utilisé comme solution de secours pour deviceReceiptTime s'il n'est pas présent. Si deviceReceiptTime et start sont vides, le code temporel du journal est utilisé.
suid	principal.user.userid	Mappé de manière conditionnelle s'il n'est pas vide.
N/A	metadata.event_type	Codé en dur sur "NETWORK_HTTP".
N/A	metadata.log_type	Mappé directement à partir du champ log_type de premier niveau.
N/A	metadata.product_event_type	Mappé à partir de csv.event_id s'il n'est pas vide.
N/A	metadata.product_name	Codé en dur sur "Pare-feu d'application Web".
N/A	metadata.vendor_name	Codé en dur sur "Imperva".
kv.act	event.idm.read_only_udm.security_result.action_details	Mappé à partir du journal des modifications
kv.sourceServiceName	event.idm.read_only_udm.target.resource.name	Mappé à partir du journal des modifications
cicode	event.idm.read_only_udm.principal.location.city	Mappé à partir du journal des modifications
ccode	event.idm.read_only_udm.principal.location.country_or_region	Mappé à partir du journal des modifications
Customer	event.idm.read_only_udm.network.organization_name	Mappé à partir du journal des modifications
tls_cipher	event.idm.read_only_udm.network.tls.cipher	Mappé à partir du journal des modifications
cpt	event.idm.read_only_udm.target.port	Mappé à partir du journal des modifications
fileId	event.idm.read_only_udm.target.resource.product_object_id	Mappé à partir du journal des modifications
dproc	event.idm.read_only_udm.security_result.category_details	Mappé à partir du journal des modifications
deviceFacility	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
deviceExternalId	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
end	event.idm.read_only_udm.metadata.collected_timestamp	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.