Raccogliere i log di Imperva FlexProtect

Supportato in:

Questo documento spiega come importare i log di Imperva FlexProtect in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai log formattati in syslog di Imperva FlexProtect in CEF (Common Event Format) con estensioni chiave-valore. Utilizza grok e/o kv per analizzare il messaggio CEF e poi mappa questi valori nel modello di dati unificato (UDM). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento. Imperva FlexProtect offre un deployment flessibile delle soluzioni di sicurezza Imperva (SecureSphere, Cloud WAF, Bot Protection) in ambienti cloud ibrido.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un host Windows 2016 o versioni successive o Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso privilegiato alla console di gestione Imperva FlexProtect o alle singole console dei prodotti

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
    • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_FLEXPROTECT'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
    • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
    • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
    • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
    • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (opzione 1) nel passaggio 1.

Esportatore API di importazione legacy

  • Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_FLEXPROTECT'
    raw_log_field: body
    ingestion_labels:

Riavvia l'agente Bindplane per applicare le modifiche

  1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura l'inoltro di Syslog su Imperva FlexProtect

Per il componente SecureSphere (on-premise/cloud)

  1. Accedi alla console di gestione di Imperva SecureSphere.
  2. Vai a Configurazione > Set di azioni.
  3. Fai clic su Aggiungi per creare un nuovo insieme di azioni.

  4. Fai clic su Aggiungi azione e fornisci i seguenti dettagli di configurazione:

    • Nome: inserisci un nome descrittivo (ad esempio Google SecOps Syslog).
    • Tipo di azione: seleziona Syslog.
    • Host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane (valore predefinito 514).
    • Protocollo: seleziona UDP o TCP.
    • Livello di log Syslog: seleziona DEBUG.
    • Syslog Facility (Funzione Syslog): seleziona LOCAL0.
    • Formato: seleziona CEF (Common Event Format).

  5. Salva la configurazione dell'azione e applicala alle policy di sicurezza pertinenti.

Per il componente Cloud WAF/Incapsula

  1. Accedi alla console Cloud di Imperva.
  2. Vai a Log > Configurazione log.
  3. Configura la destinazione syslog:
    • Host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane (valore predefinito 514).
    • Protocollo: seleziona UDP o TCP.
    • Formato: seleziona CEF.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
act read_only_udm.security_result.action_details Mappato direttamente dal campo act.
app read_only_udm.network.application_protocol Mappato direttamente dal campo app.
ccode read_only_udm.principal.location.country_or_region Mappato direttamente dal campo ccode.
cicode read_only_udm.principal.location.city Mappato direttamente dal campo cicode.
cn1 read_only_udm.network.http.response_code Mappato direttamente dal campo cn1 dopo la conversione in numero intero.
cs1 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs1.
cs2 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs2.
cs3 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs3.
cs4 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs4.
cs5 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs5.
cs6 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs6.
cs7 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs7.
cs8 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs8.
cs9 read_only_udm.additional.fields.value.string_value Mappato direttamente dal campo cs9.
cpt read_only_udm.principal.port Mappato direttamente dal campo cpt dopo la conversione in numero intero.
Cliente read_only_udm.principal.user.user_display_name Mappato direttamente dal campo Customer.
deviceExternalId read_only_udm.about.asset.asset_id Il valore viene ricavato concatenando "Incapsula.SIEMintegration:" con il campo deviceExternalId.
deviceFacility read_only_udm.principal.location.city Mappato direttamente dal campo deviceFacility.
dproc read_only_udm.target.process.command_line Mappato direttamente dal campo dproc.
end read_only_udm.security_result.detection_fields.value Mappato direttamente dal campo end.
fileId read_only_udm.network.session_id Mappato direttamente dal campo fileId.
filePermission read_only_udm.about.resource.attribute.permissions.name Mappato direttamente dal campo filePermission.
in read_only_udm.network.received_bytes Mappato direttamente dal campo in.
qstr read_only_udm.security_result.detection_fields.value Mappato direttamente dal campo qstr.
richiesta read_only_udm.target.url Mappato direttamente dal campo request.
requestClientApplication read_only_udm.network.http.user_agent Mappato direttamente dal campo requestClientApplication.
requestMethod read_only_udm.network.http.method Mappato direttamente dal campo requestMethod.
siteid read_only_udm.security_result.detection_fields.value Mappato direttamente dal campo siteid.
sip read_only_udm.target.ip Mappato direttamente dal campo sip.
sourceServiceName read_only_udm.principal.application Mappato direttamente dal campo sourceServiceName.
spt read_only_udm.target.port Mappato direttamente dal campo spt dopo la conversione in numero intero.
src read_only_udm.principal.ip Mappato direttamente dal campo src.
start read_only_udm.security_result.detection_fields.value Mappato direttamente dal campo start.
suid read_only_udm.principal.user.userid Mappato direttamente dal campo suid.
ver read_only_udm.network.tls.version Mappato direttamente dal campo ver.
read_only_udm.about.asset.asset_id Il valore viene ricavato concatenando "Incapsula.SIEMintegration:" con il campo deviceExternalId.
read_only_udm.additional.fields.key Il valore viene determinato dalla logica del parser in base all'etichetta del campo, ad esempio:
- cs1Label corrisponde a "Cap Support"
- cs2Label corrisponde a "Javascript Support"
- cs3Label corrisponde a "CO Support"
- cs4Label corrisponde a "VID"
- cs5Label corrisponde a "clappsig"
- cs6Label corrisponde a "clapp"
- cs7Label corrisponde a "latitude"
- cs8Label corrisponde a "longitude"
- cs9Label corrisponde a "Rule name"
read_only_udm.metadata.event_timestamp.nanos Mappato direttamente dal campo collection_time.nanos.
read_only_udm.metadata.event_timestamp.seconds Mappato direttamente dal campo collection_time.seconds.
read_only_udm.metadata.event_type Il valore viene determinato in base alla presenza dei campi src e sip:
- Se sono presenti entrambi, il valore viene impostato su "NETWORK_HTTP".
: se è presente solo src, il valore è impostato su "USER_UNCATEGORIZED".
- In caso contrario, il valore viene impostato su "GENERIC_EVENT".
read_only_udm.metadata.product_event_type Il valore viene derivato concatenando "[", il valore numerico del campo di intestazione CEF all'indice 4, "] - " e la descrizione testuale del campo di intestazione CEF all'indice 4.
read_only_udm.metadata.product_name Il valore è impostato in modo statico su "SIEMintegration".
read_only_udm.metadata.product_version Il valore è impostato staticamente su "1".
read_only_udm.metadata.vendor_name Il valore è impostato staticamente su "Incapsula".
read_only_udm.security_result.detection_fields.key Il valore è impostato in modo statico su "siteid", "event_start_time", "event_end_time" o "qstr" in base al campo corrispondente in fase di elaborazione.
read_only_udm.security_result.severity Il valore è impostato in modo statico su "LOW".
read_only_udm.target.port Mappato direttamente dal campo spt dopo la conversione in numero intero.
qstr security_results.detection_fields Mappato dal log delle modifiche
siteid security_results.detection_fields Mappato dal log delle modifiche
device_facility principal.location.city Mappato dal log delle modifiche
start security_result.detection_fields.event_start_time Mappato dal log delle modifiche
cs8Label additional_cs8.key Mappato dal log delle modifiche
cs8 additional_cs8.value.string_value Mappato dal log delle modifiche
cs9Label additional_cs9.key Mappato dal log delle modifiche
cs9 additional_cs9.value.string_value Mappato dal log delle modifiche
end security_result.detection_fields.event_end_time Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.