運用ワークフローに直接対応するように、ドキュメントのナビゲーション構造を再編成しました。詳しくは、リリースノートとチュートリアル動画をご覧ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Imperva FlexProtect のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Imperva FlexProtect ログを Google Security Operations に取り込む方法について説明します。

パーサーは、Key-Value 拡張機能を含む CEF（Common Event Format）の Imperva FlexProtect syslog 形式のログからフィールドを抽出します。grok または kv を使用して CEF メッセージを解析し、これらの値を統合データモデル（UDM）にマッピングします。また、イベントのソースとタイプのデフォルトのメタデータ値も設定します。Imperva FlexProtect は、ハイブリッドクラウド環境全体で Imperva セキュリティソリューション（SecureSphere、Cloud WAF、Bot Protection）を柔軟にデプロイします。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
systemd を使用する Windows 2016 以降または Linux ホスト
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します
Imperva FlexProtect 管理コンソールまたは個々のプロダクトコンソールへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM Settings] > [Collection Agents] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストールリソース

その他のインストールオプションについては、Bindplane エージェントのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルにアクセスします。
- config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストールディレクトリにあります。
- テキストエディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_FLEXPROTECT'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
<CUSTOMER_ID> は、実際の顧客 ID に置き換えます。
/path/to/ingestion-authentication-file.json の値を、ステップ 1 で認証ファイルを保存したファイルパスに更新します。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Imperva FlexProtect で Syslog 転送を構成する

SecureSphere コンポーネント（オンプレミス/クラウド）の場合

Imperva SecureSphere Management Console にログインします。
[構成] > [アクションセット] に移動します。
[追加] をクリックして、新しいアクションセットを作成します。
[アクションを追加] をクリックし、次の構成の詳細を指定します。
- 名前: わかりやすい名前を入力します（例: Google SecOps Syslog）。
- アクションタイプ: [Syslog] を選択します。
- ホスト: Bindplane エージェントの IP アドレスを入力します。
- ポート: Bindplane エージェントのポート番号を入力します（デフォルトは 514）。
- プロトコル: [UDP] または [TCP] を選択します。
- Syslog ログレベル: [DEBUG] を選択します。
- Syslog Facility: [LOCAL0] を選択します。
- 形式: [CEF]（Common Event Format）を選択します。
アクション構成を保存し、関連するセキュリティポリシーに適用します。

Cloud WAF/Incapsula コンポーネントの場合

Imperva Cloud Console にログインします。
[Logs] > [Log Setup] に移動します。
syslog の宛先を構成します。
- ホスト: Bindplane エージェントの IP アドレスを入力します。
- ポート: Bindplane エージェントのポート番号を入力します（デフォルトは 514）。
- プロトコル: [UDP] または [TCP] を選択します。
- 形式: [CEF] を選択します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	論理
act	read_only_udm.security_result.action_details	`act` フィールドから直接マッピングされます。
アプリ	read_only_udm.network.application_protocol	`app` フィールドから直接マッピングされます。
ccode	read_only_udm.principal.location.country_or_region	`ccode` フィールドから直接マッピングされます。
cicode	read_only_udm.principal.location.city	`cicode` フィールドから直接マッピングされます。
cn1	read_only_udm.network.http.response_code	整数に変換した後、`cn1` フィールドから直接マッピングされます。
cs1	read_only_udm.additional.fields.value.string_value	`cs1` フィールドから直接マッピングされます。
cs2	read_only_udm.additional.fields.value.string_value	`cs2` フィールドから直接マッピングされます。
cs3	read_only_udm.additional.fields.value.string_value	`cs3` フィールドから直接マッピングされます。
cs4	read_only_udm.additional.fields.value.string_value	`cs4` フィールドから直接マッピングされます。
cs5	read_only_udm.additional.fields.value.string_value	`cs5` フィールドから直接マッピングされます。
cs6	read_only_udm.additional.fields.value.string_value	`cs6` フィールドから直接マッピングされます。
cs7	read_only_udm.additional.fields.value.string_value	`cs7` フィールドから直接マッピングされます。
cs8	read_only_udm.additional.fields.value.string_value	`cs8` フィールドから直接マッピングされます。
cs9	read_only_udm.additional.fields.value.string_value	`cs9` フィールドから直接マッピングされます。
cpt	read_only_udm.principal.port	整数に変換した後、`cpt` フィールドから直接マッピングされます。
顧客	read_only_udm.principal.user.user_display_name	`Customer` フィールドから直接マッピングされます。
deviceExternalId	read_only_udm.about.asset.asset_id	この値は、「Incapsula.SIEMintegration:」と `deviceExternalId` フィールドを連結することで導出されます。
deviceFacility	read_only_udm.principal.location.city	`deviceFacility` フィールドから直接マッピングされます。
dproc	read_only_udm.target.process.command_line	`dproc` フィールドから直接マッピングされます。
end	read_only_udm.security_result.detection_fields.value	`end` フィールドから直接マッピングされます。
fileId	read_only_udm.network.session_id	`fileId` フィールドから直接マッピングされます。
filePermission	read_only_udm.about.resource.attribute.permissions.name	`filePermission` フィールドから直接マッピングされます。
in	read_only_udm.network.received_bytes	`in` フィールドから直接マッピングされます。
qstr	read_only_udm.security_result.detection_fields.value	`qstr` フィールドから直接マッピングされます。
リクエスト	read_only_udm.target.url	`request` フィールドから直接マッピングされます。
requestClientApplication	read_only_udm.network.http.user_agent	`requestClientApplication` フィールドから直接マッピングされます。
requestMethod	read_only_udm.network.http.method	`requestMethod` フィールドから直接マッピングされます。
siteid	read_only_udm.security_result.detection_fields.value	`siteid` フィールドから直接マッピングされます。
sip	read_only_udm.target.ip	`sip` フィールドから直接マッピングされます。
sourceServiceName	read_only_udm.principal.application	`sourceServiceName` フィールドから直接マッピングされます。
spt	read_only_udm.target.port	整数に変換した後、`spt` フィールドから直接マッピングされます。
src	read_only_udm.principal.ip	`src` フィールドから直接マッピングされます。
start	read_only_udm.security_result.detection_fields.value	`start` フィールドから直接マッピングされます。
suid	read_only_udm.principal.user.userid	`suid` フィールドから直接マッピングされます。
ver	read_only_udm.network.tls.version	`ver` フィールドから直接マッピングされます。
	read_only_udm.about.asset.asset_id	この値は、「Incapsula.SIEMintegration:」と `deviceExternalId` フィールドを連結することで導出されます。
	read_only_udm.additional.fields.key	値は、フィールドのラベルに基づいてパーサーロジックによって決定されます。例: - `cs1Label` は「Cap Support」にマッピングされます。 - `cs2Label` は「Javascript Support」にマッピングされます。 - `cs3Label` は「CO Support」にマッピングされます。 - `cs4Label` は「VID」にマッピングされます。 - `cs5Label` は「clappsig」にマッピングされます。 - `cs6Label` は「clapp」にマッピングされます。 - `cs7Label` は「latitude」にマッピングされます。 - `cs8Label` は「longitude」にマッピングされます。 - `cs9Label` は「Rule name」にマッピングされます。
	read_only_udm.metadata.event_timestamp.nanos	`collection_time.nanos` フィールドから直接マッピングされます。
	read_only_udm.metadata.event_timestamp.seconds	`collection_time.seconds` フィールドから直接マッピングされます。
	read_only_udm.metadata.event_type	値は、`src` フィールドと `sip` フィールドの有無に基づいて決定されます。 - 両方が存在する場合、値は「NETWORK_HTTP」に設定されます。 - `src` のみ存在する場合、値は「USER_UNCATEGORIZED」に設定されます。 - それ以外の場合、値は「GENERIC_EVENT」に設定されます。
	read_only_udm.metadata.product_event_type	値は、「["、インデックス 4 の CEF ヘッダーフィールドの数値、「] - "、インデックス 4 の CEF ヘッダーフィールドのテキスト説明を連結して導出されます。
	read_only_udm.metadata.product_name	値は静的に「SIEMintegration」に設定されます。
	read_only_udm.metadata.product_version	値は静的に「1」に設定されます。
	read_only_udm.metadata.vendor_name	値は静的に「Incapsula」に設定されます。
	read_only_udm.security_result.detection_fields.key	値は、処理される対応するフィールドに基づいて、「siteid」、「event_start_time」、「event_end_time」、「qstr」のいずれかに静的に設定されます。
	read_only_udm.security_result.severity	値は静的に「LOW」に設定されます。
	read_only_udm.target.port	整数に変換した後、`spt` フィールドから直接マッピングされます。
`qstr`	`security_results.detection_fields`	変更履歴からマッピング
`siteid`	`security_results.detection_fields`	変更履歴からマッピング
`device_facility`	`principal.location.city`	変更履歴からマッピング
`start`	`security_result.detection_fields.event_start_time`	変更履歴からマッピング
`cs8Label`	`additional_cs8.key`	変更履歴からマッピング
`cs8`	`additional_cs8.value.string_value`	変更履歴からマッピング
`cs9Label`	`additional_cs9.key`	変更履歴からマッピング
`cs9`	`additional_cs9.value.string_value`	変更履歴からマッピング
`end`	`security_result.detection_fields.event_end_time`	変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。