Raccogli i log CEF di Imperva

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log Imperva CEF in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai log formattati di Imperva syslog in CEF (Common Event Format). Utilizza grok e/o kv per analizzare il messaggio CEF e poi mappa questi valori allo Unified Data Model (UDM). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi alla console o all'appliance di gestione Imperva

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'IMPERVA_CEF'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
   • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'IMPERVA_CEF'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura Imperva WAF Gateway (SecureSphere) per inviare CEF tramite syslog

1. Nella console MX, crea un insieme di azioni:

   • Vai a Norme > Set di azioni.
   • Fai clic su Nuovo e assegnale un nome (ad esempio, Google SecOps CEF).

2. Aggiungi l'interfaccia di azione syslog CEF:

   • In Interfacce azioni disponibili, apri Log di sistema e aggiungi uno o più dei seguenti elementi (se necessario):
     • Registra l'evento di sicurezza nel log di sistema (syslog) utilizzando lo standard CEF
     • Registra l'evento di sicurezza di rete nel log di sistema (syslog) utilizzando lo standard CEF
     • Registra l'evento di sistema nel log di sistema (syslog) utilizzando lo standard CEF
     • Registra un evento di sicurezza personalizzato nel log di sistema (syslog) utilizzando lo standard CEF

3. Configura i parametri dell'interfaccia di azione:

   • Syslog Host (Host Syslog): inserisci l'indirizzo IP dell'agente Bindplane. Per utilizzare una porta non predefinita, aggiungi :PORT (il valore predefinito è 514 se non ne specifichi una). Esempio: 10.0.0.10:514.
   • Facility / Log Level: imposta in base ai requisiti delle norme.
   • Messaggio: lascia i valori predefiniti del fornitore per CEF, a meno che tu non abbia un mapping personalizzato.

4. Collega il set di azioni alle policy:

   • Per gli eventi Sicurezza / Sicurezza di rete: apri le policy pertinenti e imposta Azione eseguita sul tuo insieme di azioni.
   • Per gli Eventi di sistema: crea o verifica una norma Eventi di sistema e imposta Azione eseguita sul tuo insieme di azioni in modo che questi eventi vengano inviati anche tramite CEF.

5. (Facoltativo) Configura i target specifici del gateway:

   • Se gruppi di gateway diversi devono inviare dati a server syslog diversi, configura ogni Gateway Group (Gruppo di gateway) > External Logger (Logger esterno) e attiva "Use gateway configuration if exists" (Usa la configurazione del gateway se esiste) nella policy.
   Nota: per Imperva Cloud WAF (Incapsula), la configurazione è diversa. Cloud WAF fornisce l'integrazione dei log (pull o push dei file di log) utilizzando l'API o lo spazio di archiviazione designato, non il syslog diretto dal portale. Consulta la documentazione di Imperva per le opzioni di esportazione dei log di Cloud WAF.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
act	security_result.action	Derivato. Se act è "allowed", "alert", inizia con "REQ_PASSED" o con "REQ_CACHED", allora action è "ALLOW". Se act è "deny", "blocked", inizia con "REQ_BLOCKED" o con "REQ_CHALLENGE", allora action è "BLOCK". Se act corrisponde alla regex (?i)REQ_BAD, action è "FAIL". In caso contrario, action è "UNKNOWN_ACTION". security_result.action viene quindi impostato sul valore di action.
act	security_result.action_details	Derivato. In base al valore di act, viene generata una descrizione dettagliata. Esempi: "REQ_CACHED_FRESH: la risposta è stata restituita dalla cache del data center", "REQ_BLOCKED: la richiesta è stata bloccata".
app	network.application_protocol	Mappato direttamente dopo la conversione in maiuscolo.
cs1	security_result.detection_fields.value	Mappato in modo condizionale se cs1 non è vuoto o "N/A". security_result.detection_fields.key è impostato sul valore di cs1Label.
cs1Label	security_result.detection_fields.key	Mappato in modo condizionale se cs1 non è vuoto o "N/D". security_result.detection_fields.value è impostato sul valore di cs1.
cs2	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato sul valore di cs2Label.
cs2Label	security_result.detection_fields.key	Mappato in modo condizionale se cs2 non è vuoto. security_result.detection_fields.value è impostato sul valore di cs2.
cs3	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto o "-". security_result.detection_fields.key è impostato sul valore di cs3Label.
cs3Label	security_result.detection_fields.key	Mappato in modo condizionale se cs3 non è vuoto o "-". security_result.detection_fields.value è impostato sul valore di cs3.
cs4	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato sul valore di cs4Label.
cs4Label	security_result.detection_fields.key	Mappato in modo condizionale se cs4 non è vuoto. security_result.detection_fields.value è impostato sul valore di cs4.
cs5	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato sul valore di cs5Label.
cs5Label	security_result.detection_fields.key	Mappato in modo condizionale se cs5 non è vuoto. security_result.detection_fields.value è impostato sul valore di cs5.
cs6	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato sul valore di cs6Label.
cs6Label	security_result.detection_fields.key	Mappato in modo condizionale se cs6 non è vuoto. security_result.detection_fields.value è impostato sul valore di cs6.
cs7	principal.location.region_latitude	Mappato in modo condizionale se cs7Label è "latitude".
cs8	principal.location.region_longitude	Mappato in modo condizionale se cs8Label è "longitude".
cn1	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto e cn1Label non è vuoto. security_result.detection_fields.key è impostato sul valore di cn1Label.
cn1Label	security_result.detection_fields.key	Mappato in modo condizionale se cn1 e cn1Label non sono vuoti. security_result.detection_fields.value è impostato sul valore di cn1.
fileType	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato su "fileType".
filePermission	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato su "filePermission".
request	target.url	Mappato direttamente.
requestClientApplication	network.http.user_agent	Mappato in modo condizionale se non è vuoto. Sovrascrive il valore mappato dal campo user_agent estratto dalle coppie chiave-valore requestContext o requestClientApplication nel payload CEF.
requestMethod	network.http.method	Mappato direttamente.
siteid	security_result.detection_fields.value	Mappato in modo condizionale se non è vuoto. security_result.detection_fields.key è impostato su "siteid".
sourceServiceName	target.hostname	Mappato direttamente. Sovrascrive il valore di dhost, se presente.
src	principal.ip	Mappato direttamente.
start	metadata.event_timestamp.seconds	Estratto utilizzando un pattern grok e convertito in un timestamp. Utilizzato come riserva per deviceReceiptTime se non è presente. Se sia deviceReceiptTime che start sono vuoti, viene utilizzato il timestamp del log.
suid	principal.user.userid	Mappato in modo condizionale se non è vuoto.
N/D	metadata.event_type	Codificato come "NETWORK_HTTP".
N/D	metadata.log_type	Mappato direttamente dal campo log_type di primo livello.
N/D	metadata.product_event_type	Mappato da csv.event_id se non vuoto.
N/D	metadata.product_name	Impostato come hardcoded su "Web Application Firewall".
N/D	metadata.vendor_name	Codificato in modo permanente su "Imperva".
kv.act	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
kv.sourceServiceName	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
cicode	event.idm.read_only_udm.principal.location.city	Mappato dal log delle modifiche
ccode	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
Customer	event.idm.read_only_udm.network.organization_name	Mappato dal log delle modifiche
tls_cipher	event.idm.read_only_udm.network.tls.cipher	Mappato dal log delle modifiche
cpt	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
fileId	event.idm.read_only_udm.target.resource.product_object_id	Mappato dal log delle modifiche
dproc	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
deviceFacility	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
deviceExternalId	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
end	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.