Imperva Data Risk Analytics-Logs (DRA) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Imperva DRA-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Der Parser extrahiert Felder aus Syslog-formatierten Logs von Imperva Data Risk Analytics. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt. Imperva DRA hilft dabei, verdächtige Datenaktivitäten aufzudecken und kritische Vorfälle unter Milliarden von Audit-Ereignissen zu priorisieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Ein Windows 2016- oder höher- oder Linux-Host mit systemd
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Imperva DRA-Verwaltungskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

1. Greifen Sie auf die Konfigurationsdatei zu:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'IMPERVA_DRA'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
   • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
   • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
   • Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
   • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Dienstkontoschlüsseldatei (Option 1) in Schritt 1 gespeichert wurde.

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'IMPERVA_DRA'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

   sudo systemctl restart observiq-otel-collector
   

2. Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Syslog-Weiterleitung auf Imperva DRA konfigurieren

1. Melden Sie sich in der Imperva DRA Management Console an.
2. Rufen Sie Konfiguration > SIEM-Integration auf.

3. Geben Sie im Abschnitt Syslog-Server die folgenden Konfigurationsdetails an:

   • Server-IP: Geben Sie die IP-Adresse des Bindplane-Agents ein.
   • Port: Geben Sie die Portnummer des Bindplane-Agents ein (Standard: 514).
   • Protokoll: Wählen Sie je nach Bindplane-Agent-Konfiguration UDP oder TCP aus.
   • Einrichtung: Wählen Sie die entsprechende Syslog-Einrichtung aus (z. B. LOCAL0).

4. Klicken Sie auf Test-Syslog-Nachricht senden, um die Verbindung zu prüfen.

5. Konfigurieren Sie im Bereich Zu sendende Ereignisse Folgendes:

   • Ereignisklassen: Wählen Sie je nach Anforderungen Erkennung von Sicherheitslücken und/oder Risikominimierung aus.
   • Benachrichtigungstypen: Wählen Sie Aktionen zum Öffnen, Schließen und Wiedereröffnen von Vorfällen sowie die zugehörigen Schweregrade aus.
   • Nachrichtenformat: Wählen Sie JSON für das strukturierte Datenformat oder Roh für das grundlegende Syslog-Format aus.

6. Konfigurieren Sie den Schweregradschwellenwert, um festzulegen, welche Schweregrade weitergeleitet werden sollen.

7. Speichern Sie die Konfiguration.

   Hinweis: Es wird empfohlen, keine Benachrichtigungen zu Problemen an SIEM-Systeme zu senden, da diese dynamisch sind. Verwenden Sie nur Vorfallbenachrichtigungen für eine konsistente SIEM-Integration.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
category_label	additional.fields	Zusammengeführt
clusterMemberNames_label	additional.fields	Zusammengeführt
clusterNames_label	additional.fields	Zusammengeführt
clusterNames_list	additional.fields	Zusammengeführt
dbName_list	additional.fields	Zusammengeführt
dbUser_list	additional.fields	Zusammengeführt
destHostname_list	additional.fields	Zusammengeführt
dstips_label	additional.fields	Zusammengeführt
fileExtension_list	additional.fields	Zusammengeführt
folder_list	additional.fields	Zusammengeführt
numOfAccessedObjects_label	additional.fields	Zusammengeführt
severity	additional.fields	Zugeordnet: (?i)test-severity → severity_label
severity_label	additional.fields	Zusammengeführt
sourceApps_list	additional.fields	Zusammengeführt
srcApp_list	additional.fields	Zusammengeführt
srcHostname_list	additional.fields	Zusammengeführt
srcUser_list	additional.fields	Zusammengeführt
suspiciousCommand_list	additional.fields	Zusammengeführt
tableName_list	additional.fields	Zusammengeführt
userAction_label	additional.fields	Zusammengeführt
hostname	intermediary.hostname	Direkt zugeordnet
msg	metadata.description	Direkt zugeordnet
event_timestamp	metadata.event_timestamp	Geparst als MMM dd HH:mm:ss
firstIncidentTime	metadata.event_timestamp	Als UNIX_MS geparst
lastIncidentTime	metadata.event_timestamp	Geparst als UNIX_MS
securityEventTimestamp	metadata.event_timestamp	Geparst als UNIX
has_principal	metadata.event_type	Zugeordnet: true → RESOURCE_CREATION, true → USER_UNCATEGORIZED, true → `NETWORK_CONNE...
type	metadata.product_event_type	Direkt zugeordnet
data.id	metadata.product_log_id	Direkt zugeordnet
id	metadata.product_log_id	Direkt zugeordnet
sapp	principal.application	Direkt zugeordnet
sourceApps	principal.application	Direkt zugeordnet
srcApp	principal.application	Direkt zugeordnet
shost	principal.asset.hostname	Direkt zugeordnet
srcHosts	principal.asset.hostname	Direkt zugeordnet
pri_ip	principal.asset.ip	Zusammengeführt
src	principal.asset.ip	Zusammengeführt
srcIp	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
src_ips	principal.asset.ip	Zusammengeführt
shost	principal.hostname	Direkt zugeordnet
srcHosts	principal.hostname	Direkt zugeordnet
pri_ip	principal.ip	Zusammengeführt
src	principal.ip	Zusammengeführt
srcIp	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
src_ips	principal.ip	Zusammengeführt
editUser	principal.user.userid	Direkt zugeordnet
srcUser	principal.user.userid	Direkt zugeordnet
srcUsers	principal.user.userid	Direkt zugeordnet
suser	principal.user.userid	Direkt zugeordnet
server_sec_res	security_result	Zusammengeführt
user_sec_res	security_result	Zusammengeführt
actionType	security_result.action_details	Direkt zugeordnet
data.ruleComment	security_result.description	Direkt zugeordnet
msg	security_result.description	Direkt zugeordnet
act_label	security_result.detection_fields	Zusammengeführt
action_label	security_result.detection_fields	Zusammengeführt
cat_label	security_result.detection_fields	Zusammengeführt
dateEdited_label	security_result.detection_fields	Zusammengeführt
firstIncidentTime_label	security_result.detection_fields	Zusammengeführt
incidents_label	security_result.detection_fields	Zusammengeführt
lastIncidentTime_label	security_result.detection_fields	Zusammengeführt
num_of_Incidents_label	security_result.detection_fields	Zusammengeführt
data.ruleName	security_result.rule_name	Direkt zugeordnet
severity	security_result.severity	Zugeordnete Werte (insgesamt 5, z.B. (?i)Low → LOW, (?i)Medium → MEDIUM, (?i)High → HIGH)
severityScore	security_result.severity_details	Umbenannt/zugeordnet
srcHost	src.asset.hostname	Direkt zugeordnet
srcHost	src.asset.ip	Zugeordnet: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → srcHost
srcHost	src.hostname	Direkt zugeordnet
srcHost	src.ip	Zugeordnet: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → srcHost
dhost	target.asset.hostname	Direkt zugeordnet
dstHost	target.asset.hostname	Direkt zugeordnet
dstHosts	target.asset.hostname	Direkt zugeordnet
dest_ip	target.asset.ip	Zusammengeführt
dst	target.asset.ip	Zugeordnet: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → dst
dst_ip	target.asset.ip	Zusammengeführt
dst_ips	target.asset.ip	Zusammengeführt
tar_ip	target.asset.ip	Zusammengeführt
dhost	target.hostname	Direkt zugeordnet
dstHost	target.hostname	Direkt zugeordnet
dstHosts	target.hostname	Direkt zugeordnet
dest_ip	target.ip	Zusammengeführt
dst	target.ip	Zugeordnet: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → dst
dst_ip	target.ip	Zusammengeführt
dst_ips	target.ip	Zusammengeführt
tar_ip	target.ip	Zusammengeführt
clusterName	target.resource.name	Direkt zugeordnet
dest	target.resource.name	Direkt zugeordnet
destination	target.resource.name	Direkt zugeordnet
server.dbName	target.resource.name	Direkt zugeordnet
destinationType	target.resource.resource_subtype	Direkt zugeordnet
dstType	target.resource.resource_subtype	Direkt zugeordnet
server.dbType	target.resource.resource_subtype	Direkt zugeordnet
accessedTables	target.resource.type	Direkt zugeordnet
url	target.url	Direkt zugeordnet
acct	target.user.userid	Direkt zugeordnet
destinationAccount	target.user.userid	Direkt zugeordnet
server.dbUser	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: RESOURCE_CREATION
–	metadata.product_name	Konstante: Data Risk Analytics
–	metadata.vendor_name	Konstante: IMPERVA
–	security_result.severity	Konstante: LOW
client_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
source_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
action_id	event.idm.read_only_udm.security_result.rule_id	Aus Änderungsprotokoll zugeordnet
client_port	event.idm.read_only_udm.principal.port	Aus Änderungsprotokoll zugeordnet
destination_ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
destination_port	event.idm.read_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
distinguished_name_device_id	event.idm.read_only_udm.principal.asset.asset_id	Aus Änderungsprotokoll zugeordnet
distinguished_name	event.idm.read_only_udm.principal.user.group_identifiers	Aus Änderungsprotokoll zugeordnet
distinguished_name_ou	event.idm.read_only_udm.principal.user.group_identifiers	Aus Änderungsprotokoll zugeordnet
distinguished_name_user	event.idm.read_only_udm.principal.user.email_addresses	Aus Änderungsprotokoll zugeordnet
rule_name	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
id	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
packet_size	event.idm.read_only_udm.network.sent_bytes	Aus Änderungsprotokoll zugeordnet
version	event.idm.read_only_udm.metadata.product_version	Aus Änderungsprotokoll zugeordnet
collective_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
collective_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
connection_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
entitlement_token_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
json_wrapper.appname	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
json_wrapper.facility	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
start	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
json_wrapper.priority	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
rule_subnet	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.src.ip	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.src.asset.ip	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.src.hostname	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.src.asset.hostname	Aus Änderungsprotokoll zugeordnet
dstHosts	event.idm.read_only_udm.target.asset.hostname	Aus Änderungsprotokoll zugeordnet
srcUsers	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
srcIps	event.idm.read_only_udm.principal.ip	Aus Änderungsprotokoll zugeordnet
srcIps	event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.principal.hostname	Aus Änderungsprotokoll zugeordnet
srcHosts	event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
sourceApps	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
dstIps	event.idm.read_only_udm.target.ip	Aus Änderungsprotokoll zugeordnet
dstIps	event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
dstHosts	event.idm.read_only_udm.target.hostname	Aus Änderungsprotokoll zugeordnet
destinationAccount	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
destination	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
destinationType	event.idm.read_only_udm.target.resource.resource_subtype	Aus Änderungsprotokoll zugeordnet
accessedTables	event.idm.read_only_udm.target.resource.type	Aus Änderungsprotokoll zugeordnet
securityEventTimestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
actionType	event.idm.read_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
severity	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
numOfAccessedObjects	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
userAction	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
clusterNames	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten