Mengumpulkan log Imperva Database

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Imperva Database ke Google Security Operations menggunakan agen Bindplane.

Parser mengekstrak kolom dari log yang diformat syslog Database Imperva. Log ini menggunakan grok dan/atau kv untuk mengurai pesan log, lalu memetakan nilai ini ke Model Data Terpadu (UDM). Fungsi ini juga menetapkan nilai metadata default untuk sumber dan jenis peristiwa. Imperva Database Security menyediakan kemampuan pemantauan, audit, dan perlindungan aktivitas database yang komprehensif.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol pengelolaan Imperva SecureSphere

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat Panduan penginstalan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /opt/observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'IMPERVA_DB'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini.
   • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
   • Ganti <CUSTOMER_ID> dengan ID Pelanggan yang sebenarnya.
   • Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'IMPERVA_DB'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Mengonfigurasi penerusan Syslog di Imperva Database

1. Login ke Imperva SecureSphere Management Console.
2. Buka Configuration > Action Sets.
3. Klik Add untuk membuat Set Tindakan baru atau mengedit yang sudah ada.
4. Klik Add Action, lalu berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Google SecOps Syslog).
   • Action Type: Pilih GW Syslog.
   • Host: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane (default 514).
   • Protocol: Pilih UDP atau TCP, bergantung pada konfigurasi agen Bindplane Anda.
   • Syslog Log Level: Pilih DEBUG untuk logging yang komprehensif.
   • Syslog Facility: Pilih LOCAL0 atau fasilitas yang sesuai.
   • Antarmuka Tindakan: Pilih Log Gateway - Peristiwa Keamanan - Log Sistem (syslog) - format JSON (Diperluas) untuk format SYSLOG+JSON, atau Log Gateway - Peristiwa Keamanan - Log Sistem (syslog) untuk format SYSLOG standar.
5. Simpan konfigurasi tindakan.
6. Buka Policies > Security Policies atau Policies > Database Audit Policies.
7. Edit kebijakan yang relevan dan tambahkan Set Tindakan yang berisi tindakan syslog Anda untuk memastikan peristiwa diteruskan ke Google SecOps.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
acct	principal.user.userid	Jika acct adalah "admin", petakan ke target.user.userid, jika tidak, petakan ke principal.user.userid. Hapus tanda petik dan spasi dari acct sebelum pemetaan.
tindakan	security_result.action_details	Nilai kolom action dari log mentah
alertSev	security_result.severity	Jika alertSev adalah "Informatif", petakan sebagai "INFORMASIONAL", jika tidak, petakan sebagai huruf besar dari alertSev
application	principal.application	Jika application adalah "pam_unix(sudo:session)" atau description berisi "pam_unix", petakan sebagai "pam_unix". Jika message berisi " run-parts", petakan sebagai "run-parts". Jika message berisi "audispd", petakan sebagai "audispd". Jika message berisi "FSS audit", petakan sebagai "FSS audit". Jika tidak, petakan sebagai kolom application dari log mentah
application-name	target.application	Nilai kolom application-name dari log mentah
audit-policy	security_result.category_details	Nilai kolom audit-policy dari log mentah
bind-variables	additional.fields.bind_variables_label.value.string_value	Nilai kolom bind-variables dari log mentah
category	security_result.category_details	Nilai kolom category dari log mentah
COMMAND	target.process.command_line	Jika exe tidak kosong, petakan sebagai kolom exe dari log mentah. Jika tidak, petakan sebagai kolom COMMAND dari log mentah
Waktu pembuatan		Belum Dipetakan
db-schema-pair	additional.fields.DB Name_{index}.value.string_value, additional.fields.Schema Name_{index}.value.string_value	Untuk setiap objek db-schema-pair dalam log mentah, ekstrak kolom db-name dan schema-name, lalu petakan ke DB Name_{index} dan Schema Name_{index} masing-masing di UDM, dengan index adalah indeks objek dalam array.
db-user	principal.user.userid	Jika db-user tidak kosong, petakan sebagai kolom db-user dari log mentah. Jika os-user tidak kosong dan db-user kosong, petakan sebagai kolom os-user dari log mentah
dbName	target.resource.name	Nilai kolom dbName dari log mentah
dest-ip	target.ip, target.asset.ip	Nilai kolom dest-ip dari log mentah
dest-port	target.port	Nilai kolom dest-port dari log mentah
deskripsi	metadata.description	Jika description berisi "user:", ekstrak userid dari description dan petakan ke userid. Jika userid tidak kosong dan description berisi "Invalid" atau "invalid", ganti "Invalid user" dengan "Invalid". Jika application adalah "sshd", hapus " from" dan " by" dari description. Jika tidak, petakan sebagai kolom description dari log mentah
dst	target.ip, target.asset.ip	Nilai kolom dst dari log mentah
dstIP	target.ip, target.asset.ip	Nilai kolom dstIP dari log mentah
dstPort	target.port	Nilai kolom dstPort dari log mentah
event-type	metadata.product_event_type	Nilai kolom event-type dari log mentah
eventType	metadata.product_event_type, metadata.event_type	Jika eventType tidak kosong dan srcIP serta dstIP tidak kosong, petakan eventType ke metadata.product_event_type dan petakan "NETWORK_CONNECTION" ke metadata.event_type
evntDesc	security_result.description	Nilai kolom evntDesc dari log mentah
exe	target.process.command_line	Nilai kolom exe dari log mentah
dari	network.email.from	Hapus "<" dan ">" dari from dan petakan ke network.email.from
grup	target.user.group_identifiers	Nilai kolom group dari log mentah
gw-ip	intermediary.ip, intermediary.asset.ip	Nilai kolom gw-ip dari log mentah
host	target.hostname, target.asset.hostname	Nilai kolom host dari log mentah
host-name	principal.hostname, principal.asset.hostname	Nilai kolom host-name dari log mentah
hostname	principal.hostname, principal.asset.hostname	Nilai kolom hostname dari log mentah
ip	target.ip, target.asset.ip	Nilai kolom ip dari log mentah
mx-ip	intermediary.ip, intermediary.asset.ip	Nilai kolom mx-ip dari log mentah
objects-list	additional.fields.Object_{index}.value.string_value	Untuk setiap objek objects-list dalam log mentah, ekstrak objek dan petakan ke Object_{index} di UDM, dengan index adalah indeks objek dalam array.
Operasi	about.labels.Operation.value	Nilai kolom Operation dari log mentah
Operation type	about.labels.Operation Type.value	Nilai kolom Operation type dari log mentah
os-user	principal.user.userid, additional.fields.OS User.value.string_value	Jika os-user tidak kosong dan db-user kosong, petakan sebagai kolom os-user dari log mentah. Jika tidak, petakan sebagai kolom OS User dari log mentah
Kueri yang Diurai	target.process.command_line	Nilai kolom Parsed Query dari log mentah
parsed-query	additional.fields.Parsed Query.value.string_value	Nilai kolom parsed-query dari log mentah
pid	target.process.pid	Nilai kolom pid dari log mentah
policy-id	security_result.detection_fields.Policy_ID_{index}.value	Untuk setiap objek policy-id dalam log mentah, ekstrak kebijakan dan petakan ke Policy_ID_{index} di UDM, dengan index adalah indeks objek dalam array.
policyName	security_result.detection_fields.policyName_label.value	Nilai kolom policyName dari log mentah
port	target.port	Nilai kolom port dari log mentah
Diberi Hak Istimewa	about.labels.Privileged.value	Jika Privileged benar, petakan sebagai "True", jika tidak, petakan sebagai "False"
proto	network.ip_protocol	Nilai kolom proto dari log mentah
protokol	network.ip_protocol	Jika protocol adalah "TCP" atau "UDP", petakan sebagai kolom protocol dari log mentah
PWD	target.file.full_path	Nilai kolom PWD dari log mentah
Raw Data	target.resource.attribute.labels.raw_Data.value	Nilai kolom Raw Data dari log mentah
raw-query	additional.fields.Raw Query.value.string_value	Nilai kolom raw-query dari log mentah
ruleName	security_result.rule_name	Nilai kolom ruleName dari log mentah
server-group	additional.fields.serve_group_label.value.string_value	Nilai kolom server-group dari log mentah
service-name	additional.fields.service_name_label.value.string_value	Nilai kolom service-name dari log mentah
Service Type	additional.fields.Service Type.value.string_value	Nilai kolom Service Type dari log mentah
ukuran	network.received_bytes	Nilai kolom size dari log mentah
Stored Proc	about.labels.Stored_Proc.value	Jika Stored Proc benar, petakan sebagai "True", jika tidak, petakan sebagai "False"
Table Group	target.group.group_display_name	Nilai kolom Table Group dari log mentah
timestamp	metadata.event_timestamp	Nilai kolom timestamp dari log mentah
sampai	network.email.to	Hapus "<" dan ">" dari to dan petakan ke network.email.to
PENGGUNA	principal.user.userid, target.user.userid	Jika USER tidak kosong dan USER adalah "admin", petakan sebagai kolom USER dari log mentah ke target.user.userid. Jika USER tidak kosong, petakan sebagai kolom USER dari log mentah ke principal.user.userid
diautentikasi pengguna	security_result.detection_fields.user_authenticated.value	Nilai kolom user-authenticated dari log mentah
user-group	additional.fields.user_group_label.value.string_value	Nilai kolom user-group dari log mentah
nama pengguna	principal.user.user_display_name	Nilai kolom username dari log mentah
usrName	principal.user.userid	Nilai kolom usrName dari log mentah
	extensions.auth.mechanism	Ditetapkan ke "USERNAME_PASSWORD" jika description berisi "authentication failure" atau "check pass; user unknown" atau "Invalid user" atau "invalid user" atau error tidak kosong
	extensions.auth.type	Dihardcode ke "AUTHTYPE_UNSPECIFIED" jika has_principal adalah "true" dan has_target adalah "true" dan event-type adalah "Login"
	metadata.event_type	Di-hardcode ke "PROCESS_OPEN" jika PWD tidak kosong. Dihardcode ke "PROCESS_OPEN" jika message berisi "starting" atau application adalah "pman" atau "CROND" atau "run-parts" dan event_type kosong. Dihardcode ke "NETWORK_CONNECTION" jika description adalah "Syslog connection established" atau "Syslog connection broken" atau "Syslog connection failed". Dikodekan secara permanen ke "EMAIL_UNCATEGORIZED" jika application adalah "postfix/qmgr" atau "postfix/local" atau "postfix/pickup". Diprogram secara permanen ke "EMAIL_TRANSACTION" jika application adalah "postfix/local" atau "postfix/pickup" dan status adalah "sent (delivered to mailbox)". Dihardcode ke "NETWORK_HTTP" jika application adalah "sshd" dan description tidak berisi "check pass; user unknown" dan description tidak berisi "authentication failure" dan description tidak berisi "invalid". Dihardcode ke "USER_LOGIN" jika description berisi "authentication failure" atau "check pass; user unknown" atau "Invalid user" atau "invalid user" atau error tidak kosong. Dikodekan secara permanen ke "FILE_SYNC" jika file_path tidak kosong. Dihardcode ke "PROCESS_UNCATEGORIZED" jika message berisi "reconfigure" dan application adalah "pman". Di-hardcode ke "PROCESS_TERMINATION" jika message berisi "exit code 1" dan application adalah "pman". Dihardcode ke "NETWORK_CONNECTION" jika eventType tidak kosong serta srcIP dan dstIP tidak kosong. Dikodekan secara permanen ke "USER_LOGIN" jika has_principal adalah "true", has_target adalah "true", dan event-type adalah "Login". Dikodekan secara permanen ke "NETWORK_CONNECTION" jika has_principal adalah "true" dan has_target adalah "true" dan protocol tidak kosong. Dihardcode ke "STATUS_UPDATE" jika has_principal adalah "true". Dihardcode ke "GENERIC_EVENT" jika event_type kosong atau "GENERIC_EVENT"
	metadata.log_type	Dihardcode ke "IMPERVA_DB"
	metadata.product_name	Dikodekan secara permanen ke "IMPERVA DB"
	metadata.vendor_name	Dikodekan secara permanen ke "IMPERVA DB"
	security_result.action	Ditetapkan ke "ALLOW" jika description tidak berisi "authentication failure" atau "check pass; user unknown" atau "Invalid user" atau "invalid user" dan error kosong. Dikodekan secara permanen ke "BLOCK" jika description berisi "authentication failure" atau "check pass; user unknown" atau "Invalid user" atau "invalid user" atau error tidak kosong
	security_result.rule_id	Jika description berisi "alert_score" atau "new_alert_score", ekstrak ruleid dari description dan petakan ke security_result.rule_id
version	metadata.product_version	Dipetakan dari log perubahan
source-ip	principal.ip	Dipetakan dari log perubahan
source-port	principal.port	Dipetakan dari log perubahan
server-group", "service-name", "user-group", "raw-query", "parsed-query", "bind-variables", "sql-error", "db-schema-pair.db-name", "db-schema-pair.schema-name", and "objects-list	additional.fields	Dipetakan dari log perubahan
source-application	principal.application	Dipetakan dari log perubahan
event-id	metadata.product_log_id	Dipetakan dari log perubahan
application-user	principal.user.user_display_name	Dipetakan dari log perubahan
mx-ip", "gw-ip	intermediary.ip	Dipetakan dari log perubahan
policy-id" and "user-authenticated	security_result.detection_fields	Dipetakan dari log perubahan
srcPort	principal.port	Dipetakan dari log perubahan
srcIP	principal.ip	Dipetakan dari log perubahan
event_name	metadata.product_event_type	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.