Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Imperva CEF ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Imperva CEF ログを Google Security Operations に取り込む方法について説明します。

パーサーは、CEF（Common Event Format）の Imperva syslog 形式のログからフィールドを抽出します。grok または kv を使用して CEF メッセージを解析し、これらの値を統合データモデル（UDM）にマッピングします。また、イベントのソースとタイプにデフォルトのメタデータ値を設定します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows 2016 以降、または systemd を使用する Linux ホスト
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認してください。
Imperva 管理コンソールまたはアプライアンスへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新しいデプロイ: Chronicle API（オプション 1）を使用します。
以前のデプロイ: Ingestion API が 2027 年 7 月 20 日に廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
IAM と管理 > サービスアカウント に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[**続行**] をクリックして [**完了**] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
[鍵を追加] > [新しい鍵を作成] の順にクリックします。
[JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
キーファイルを Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、保存先のパスに合わせて config.yaml の creds_file_path を更新します。
[IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポート構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントをインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプト または PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストールリソース

その他のインストールオプションについては、Bindplane エージェントのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルにアクセスします。
- config.yaml ファイルを見つけます。通常、Linux では /opt/observiq-otel-collector/ ディレクトリに、Windows ではインストールディレクトリにあります。
- テキストエディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_CEF'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
<LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の接頭辞としてこの値を使用します。
<PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
<CUSTOMER_ID> は、実際の顧客 ID に置き換えます。
ステップ 1 でサービスアカウントキーファイル（オプション 1）を保存したファイルパスに /path/to/ingestion-authentication-file.json を更新します。

レガシー Ingestion API エクスポーター

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_CEF'
    raw_log_field: body
    ingestion_labels:

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Imperva WAF Gateway（SecureSphere）を構成して CEF を Syslog 経由で送信する

MX コンソールで、アクションセットを作成します。
- [ポリシー] > [アクションセット] に移動します。
- [新規] をクリックして名前を付けます（例: Google SecOps CEF）。
CEF Syslog アクションインターフェースを追加します。
- [**利用可能なアクションインターフェース**] で [**システムログ**] を開き、必要に応じて次のいずれかを追加します。
  - CEF 標準を使用してセキュリティイベントをシステムログ（Syslog）に記録する
  - CEF 標準を使用してネットワークセキュリティイベントをシステムログ（Syslog）に記録する
  - CEF 標準を使用してシステムイベントをシステムログ（Syslog）に記録する
  - CEF 標準を使用してカスタムセキュリティイベントをシステムログ（Syslog）に記録する
アクションインターフェースのパラメータを構成します。
- Syslog ホスト: Bindplane エージェントの IP アドレスを入力します。デフォルト以外のポートを使用するには、:PORT を追加します（指定しない場合のデフォルトは 514 です）。例: 10.0.0.10:514。
- ファシリティ / ログレベル: ポリシー要件に従って設定します。
- メッセージ: カスタムマッピングがない限り、CEF のベンダーのデフォルトのままにします。
アクションセットをポリシーにアタッチします。
- セキュリティ / ネットワークセキュリティ イベントの場合: 関連するポリシーを開き、[フォローされたアクション] をアクションセットに設定します。
- システムイベント の場合: システムイベント ポリシーを作成または確認し、[フォローされたアクション] をアクションセットに設定して、これらのイベントも CEF 経由で送信されるようにします。
（省略可）ゲートウェイ固有のターゲットを構成します。
- 異なるゲートウェイグループを異なる Syslog サーバーに送信する必要がある場合は、各ゲートウェイグループ > 外部ロガー を構成し、ポリシーで [ゲートウェイ構成が存在する場合は使用する] を有効にします。
注: Imperva Cloud WAF（Incapsula）の場合、構成は異なります。Cloud WAF は、ポータルからの直接 Syslog ではなく、API または指定されたストレージを使用してログ統合 （ログファイルの pull または push）を提供します。Cloud WAF ログのエクスポートオプションについては、Imperva のドキュメントをご覧ください。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`act`	`security_result.action`	派生。`act` が「allowed」、「alert」、「REQ_PASSED」で始まる、または「REQ_CACHED」で始まる場合、`action` は「ALLOW」になります。`act` が「deny」、「blocked」、「REQ_BLOCKED」で始まる、または「REQ_CHALLENGE」で始まる場合、`action` は「BLOCK」になります。`act` が正規表現 `(?i)REQ_BAD` と一致する場合、`action` は "FAIL" になります。それ以外の場合、`action` は「UNKNOWN_ACTION」になります。`security_result.action` はその後、`action` の値に設定されます。
`act`	`security_result.action_details`	派生。`act` の値に基づいて、詳細な説明が生成されます。例: 「REQ_CACHED_FRESH: レスポンスがデータセンターのキャッシュから返されました」、「REQ_BLOCKED: リクエストがブロックされました」。
`app`	`network.application_protocol`	大文字に変換された後、直接マッピングされます。
`cs1`	`security_result.detection_fields.value`	`cs1` が空でないか「NA」の場合に条件付きでマッピングされます。 `security_result.detection_fields.key` は `cs1Label` の値に設定されます。
`cs1Label`	`security_result.detection_fields.key`	`cs1` が空でないか「NA」の場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs1` の値に設定されます。
`cs2`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cs2Label` の値に設定されます。
`cs2Label`	`security_result.detection_fields.key`	`cs2` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs2` の値に設定されます。
`cs3`	`security_result.detection_fields.value`	空でないか「-」でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cs3Label` の値に設定されます。
`cs3Label`	`security_result.detection_fields.key`	`cs3` が空でないか「-」でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs3` の値に設定されます。
`cs4`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cs4Label` の値に設定されます。
`cs4Label`	`security_result.detection_fields.key`	`cs4` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs4` の値に設定されます。
`cs5`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cs5Label` の値に設定されます。
`cs5Label`	`security_result.detection_fields.key`	`cs5` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs5` の値に設定されます。
`cs6`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cs6Label` の値に設定されます。
`cs6Label`	`security_result.detection_fields.key`	`cs6` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cs6` の値に設定されます。
`cs7`	`principal.location.region_latitude`	`cs7Label` が「latitude」の場合に条件付きでマッピングされます。
`cs8`	`principal.location.region_longitude`	`cs8Label` が「longitude」の場合に条件付きでマッピングされます。
`cn1`	`security_result.detection_fields.value`	空でなく、`cn1Label` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は `cn1Label` の値に設定されます。
`cn1Label`	`security_result.detection_fields.key`	`cn1` と `cn1Label` が空でない場合に条件付きでマッピングされます。`security_result.detection_fields.value` は `cn1` の値に設定されます。
`fileType`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は「fileType」に設定されます。
`filePermission`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は「filePermission」に設定されます。
`request`	`target.url`	直接マッピングされます。
`requestClientApplication`	`network.http.user_agent`	空でない場合に条件付きでマッピングされます。CEF ペイロードの `requestContext` または `requestClientApplication` Key-Value ペアから抽出された `user_agent` フィールドからマッピングされた値を上書きします。
`requestMethod`	`network.http.method`	直接マッピングされます。
`siteid`	`security_result.detection_fields.value`	空でない場合に条件付きでマッピングされます。`security_result.detection_fields.key` は「siteid」に設定されます。
`sourceServiceName`	`target.hostname`	直接マッピングされます。`dhost` の値が存在する場合は上書きされます。
`src`	`principal.ip`	直接マッピングされます。
`start`	`metadata.event_timestamp.seconds`	grok パターンを使用して抽出され、タイムスタンプに変換されます。`deviceReceiptTime` が存在しない場合は、フォールバックとして使用されます。 `deviceReceiptTime` と `start` の両方が空の場合、ログのタイムスタンプが使用されます。
`suid`	`principal.user.userid`	空でない場合に条件付きでマッピングされます。
なし	`metadata.event_type`	「NETWORK_HTTP」にハードコードされています。
なし	`metadata.log_type`	トップレベルの `log_type` フィールドから直接マッピングされます。
なし	`metadata.product_event_type`	空でない場合は `csv.event_id` からマッピングされます。
なし	`metadata.product_name`	「ウェブアプリケーションファイアウォール」にハードコードされています。
なし	`metadata.vendor_name`	「Imperva」にハードコードされています。
`kv.act`	`event.idm.read_only_udm.security_result.action_details`	変更履歴からマッピング
`kv.sourceServiceName`	`event.idm.read_only_udm.target.resource.name`	変更履歴からマッピング
`cicode`	`event.idm.read_only_udm.principal.location.city`	変更履歴からマッピング
`ccode`	`event.idm.read_only_udm.principal.location.country_or_region`	変更履歴からマッピング
`Customer`	`event.idm.read_only_udm.network.organization_name`	変更履歴からマッピング
`tls_cipher`	`event.idm.read_only_udm.network.tls.cipher`	変更履歴からマッピング
`cpt`	`event.idm.read_only_udm.target.port`	変更履歴からマッピング
`fileId`	`event.idm.read_only_udm.target.resource.product_object_id`	変更履歴からマッピング
`dproc`	`event.idm.read_only_udm.security_result.category_details`	変更履歴からマッピング
`deviceFacility`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`deviceExternalId`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`end`	`event.idm.read_only_udm.metadata.collected_timestamp`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。