Imperva WAF-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Imperva WAF-Logs erfassen, indem Sie einen Google Security Operations-Feed mit der Drittanbieter-API, dem Webhook (generischer HTTP-Push) oder Amazon S3 einrichten.

Imperva WAF ist eine cloudbasierte Web Application Firewall, die Websites und Anwendungen vor webbasierten Angriffen wie SQL-Injection, Cross-Site-Scripting (XSS) und DDoS-Bedrohungen schützt. Imperva WAF analysiert eingehenden HTTP-/HTTPS-Traffic in Echtzeit und wendet Sicherheitsregeln und Richtlinien zur Bot-Abwehr an, um schädliche Anfragen zu blockieren, bevor sie den Ursprungsserver erreichen.

Unterschiede bei den Erfassungsmethoden

Die Imperva WAF-Integration in Google SecOps unterstützt die folgenden Methoden für die Logaufnahme:

• API-Sammlung: Google SecOps ruft die Logs direkt von der Imperva API ab. Dies ist eine direkte Verbindung, die nur den Logtyp IMPERVA_WAF unterstützt und nur Audit-Logs erfasst, wie unter Imperva Audit-Trail beschrieben. Google SecOps fragt die Imperva Audit Trail API alle 24 Stunden ab.
• Amazon S3 V2-Bucket-Sammlung: Imperva WAF überträgt Logs in einen bestimmten Amazon S3-Bucket und Google SecOps ruft die Logs dann aus diesem Bucket ab. Bei dieser Methode werden die von der Cloud-WAF generierten Sicherheitsereignisse und Zugriffslogs erfasst, wie unter Imperva-Logintegration beschrieben. Da der Bucket Logs aus vielen Quellen empfangen kann, werden mit dieser Methode auch andere Imperva-Logtypen unterstützt, sofern Sie diese Logs so konfigurieren, dass sie explizit in den Bucket übertragen werden.
• Generischer HTTP-Push-Connector (Beta): Imperva WAF überträgt Logs direkt über HTTPS-Webhooks an Google SecOps. Dies ermöglicht eine Aufnahme nahezu in Echtzeit über direktes API-Streaming, ohne dass ein Zwischenspeicher in S3 erforderlich ist.

Hinweis: Für verschiedene Aufnahmemethoden werden unterschiedliche Anmeldedaten verwendet. Bei der API-Erfassungsmethode werden eine Konto-API-ID und ein API-Schlüssel verwendet, die in der Imperva-Konsole generiert werden. Die Amazon S3-Methode verwendet AWS-Anmeldedaten, die in der Imperva-Logintegration konfiguriert sind. Bei der Webhook-Methode werden statische HTTP-Header für die Authentifizierung verwendet.

Architekturbeschränkungen

Berücksichtigen Sie bei der Auswahl einer Aufnahmemethode die folgenden technischen Einschränkungen:

• Risiko von Datenverlust: Beim direkten Webhook-Streaming gibt es keine langfristigen Wiederholungswarteschlangen. Wenn der Google SecOps-Endpunkt nicht erreichbar ist oder während Dienstunterbrechungen Traffic verloren geht, können nicht verarbeitete Push-Nutzlasten verloren gehen, sofern sie nicht vorgelagert gepuffert werden.
• QPS-Ratenbegrenzungen: Wenn Sie Logs während umfangreicher DDoS-Angriffe oder plötzlicher Traffic-Spitzen über Webhooks übertragen, kann dies zu API-Ratenbegrenzungen oder Lieferdrosselungen führen.
• Header-Einschränkungen: Die Authentifizierung basiert auf statischen HTTP-Headern. Achten Sie darauf, dass Schlüssel gemäß der Sicherheitsrichtlinie Ihrer Organisation sicher rotiert werden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf die Imperva Cloud Security Console (my.imperva.com)
• Ein Imperva-Kontoadministrator, um einen API-Schlüssel für einen anderen Nutzer zu erstellen. Nutzer ohne Administratorberechtigungen können nur für ihr eigenes Konto einen API-Schlüssel erstellen.
• Für die Amazon S3-Methode: privilegierter Zugriff auf AWS (S3, IAM)
• Für Webhook-Push: API-Anmeldedaten mit Berechtigungen zum Verwalten von Imperva Connections- und Log Configurations-APIs.

Imperva WAF API-Zugriff konfigurieren

Die API-Erfassungsmethode authentifiziert sich bei api.imperva.com mit einer Imperva-API-ID und einem API-Schlüssel. Generieren Sie diese Anmeldedaten in der Imperva Cloud Security Console.

API-Anmeldedaten generieren

1. Melden Sie sich unter my.imperva.com in der Imperva Cloud Security Console an.
2. Klicken Sie in der oberen Menüleiste auf Konto > Kontoverwaltung.
3. Klicken Sie in der Seitenleiste auf Nutzerverwaltung > Nutzer.
4. Suchen Sie den Nutzer, der den Feed verwendet, klicken Sie in der Spalte Aktionen auf das Dreipunkt-Menü und dann auf Bearbeiten.
5. Klicken Sie auf den Tab API-Schlüssel.
6. Klicken Sie auf API-Schlüssel hinzufügen. Geben Sie einen Namen und eine Beschreibung ein, die angeben, wofür der Schlüssel verwendet wird.
7. Kopieren und speichern Sie die folgenden Werte aus dem Pop-up-Fenster:
   • API-ID: Ihre eindeutige API-ID (z. B. 12345).
   • API-Schlüssel: Ihr API-Schlüssel (z. B. abcdef-123456-ghijkl-789012).
   Hinweis: Nachdem Sie das Pop-up-Fenster geschlossen haben, können Sie den API-Schlüssel nicht mehr abrufen. Sie können ihn nur neu generieren.

• Alternativ kann ein Nutzer ohne Administratorberechtigungen einen Schlüssel für sein eigenes Konto generieren. Klicken Sie in der oberen Menüleiste auf Konto > Mein Profil und dann unter API-Schlüssel auf API-Schlüssel hinzufügen.

Hinweis: Die API-ID und der API-Schlüssel, die von der Imperva-Protokollintegration verwendet werden, sind andere Anmeldedaten. Imperva generiert sie auf der Seite SIEM-Logs > Logkonfiguration für die Bereitstellungsmethode Imperva API, listet sie nicht auf der Seite Nutzer auf und beschränkt sie auf das Imperva-Log-Repository anstelle von api.imperva.com. Verwenden Sie sie nicht für diesen Feed.

Wichtig: Bewahren Sie die API-ID und den API-Schlüssel sicher auf. Diese Anmeldedaten ermöglichen den Zugriff auf Ihre Imperva-Kontodaten über die API.

Feed in Google SecOps konfigurieren, um Imperva WAF-Logs aufzunehmen

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Imperva WAF Logs.
5. Wählen Sie Drittanbieter-API als Quelltyp aus.
6. Wählen Sie Imperva als Protokolltyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • HTTP-Header für die Authentifizierung: Geben Sie die Authentifizierungsdaten im folgenden Format ein:

     x-API-Id:your-api-id-value
     x-API-Key:your-api-key-value
     

     Jeder Satz von Anmeldedaten muss in einer separaten Zeile im Format key:value stehen.

     Geben Sie die Headernamen genau wie angegeben ein. Die Imperva Audit Trail API akzeptiert die API-ID und den API-Schlüssel nur als HTTP-Header x-API-Id und x-API-Key.

   • Asset-Namespace: Der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Nach der Einrichtung ruft der Feed Imperva-Audit-Trail-Ereignisse ab, in denen die Aktionen aufgezeichnet werden, die von Kontonutzern, Systemprozessen und Imperva-Administratoren in Ihrem Konto ausgeführt wurden. Verwenden Sie zum Erfassen von Cloud WAF-Sicherheitsereignissen und -Zugriffslogs den generischen HTTP-Push-Connector oder die Amazon S3-Methode.

Imperva WAF-Logs mit dem generischen HTTP-Push-Connector (Beta) erfassen

Feed in Google SecOps für die Webhook-Aufnahme konfigurieren

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Imperva WAF Webhook.
4. Wählen Sie Webhook als Quelltyp aus.
5. Wählen Sie Imperva Cloud WAF als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Konfigurieren Sie die Authentifizierungsheader und kopieren Sie die generierte Endpunkt-URL und den Secret-Header/das Secret-Token.
8. Klicken Sie auf Senden.

Imperva-Webhook-Push über die API konfigurieren

1. Verwenden Sie die Imperva Connections API, um den von Google SecOps bereitgestellten Webhook-Endpunkt zu registrieren.

2. Fügen Sie Ihrer API-Anfrage die folgenden statischen Authentifizierungsheader hinzu:

   • X-goog-api-key: Ihr Google SecOps API-Schlüssel.
   • X-Webhook-Access-Key: Der von Google SecOps generierte Feed-Zugriffsschlüssel.

3. Verwenden Sie die Imperva Log Configurations API, um die neue Verbindung an Ihre Cloud WAF-Sicherheits- und Zugriffslogstreams anzuhängen.

4. Achten Sie darauf, dass in der API-Nutzlast für Logkonfigurationen batchPackaging.type auf "NONE" festgelegt ist, um einen sofortigen Push zu ermöglichen.

Imperva WAF-Logs mit Amazon S3 erfassen

AWS IAM und S3 konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung.
3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
7. Wählen Sie als Anwendungsfall die Option Drittanbieterdienst aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf Download .csv file (CSV-Datei herunterladen) und speichern Sie den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimen Zugriffsschlüssel) für die spätere Verwendung.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
18. Klicken Sie auf Weiter.
19. Klicken Sie auf Berechtigungen hinzufügen.

Imperva WAF Amazon S3-Verbindung konfigurieren

1. Melden Sie sich mit einem privilegierten Konto in der Imperva Cloud Security Console unter my.imperva.com an.
2. Klicken Sie in der oberen Menüleiste auf Konto > Kontoverwaltung.
3. Klicken Sie in der Seitenleiste auf SIEM-Protokolle > Protokollkonfiguration.
4. Klicken Sie in der Tabelle Verbindungen auf Verbindung hinzufügen.

5. Optional: Wählen Sie einen SIEM-Anbieter aus. Google SecOps wird nicht als SIEM-Anbieter angeboten. Überspringen Sie diesen Schritt und wählen Sie stattdessen die Übermittlungsmethode aus.

   Hinweis: Wenn Sie einen SIEM-Anbieter auswählen, zeigt Imperva nur die von diesem Anbieter unterstützten Übermittlungsmethoden an.

6. Wählen Sie Amazon S3 als Bereitstellungsmethode aus.

7. Geben Sie die folgenden Konfigurationsdetails an:

   • Zugriffsschlüssel: Der Zugriffsschlüssel des von Ihnen erstellten IAM-Nutzers.
   • Geheimer Schlüssel: Der geheime Zugriffsschlüssel des von Ihnen erstellten IAM-Nutzers.
   • Pfad: der Bucket-Pfad im Format <bucket-name>/<folder> (z. B. imperva-waf-logs/logs).

8. Klicke auf Verbindung testen, um einen vollständigen Testzyklus auszuführen, bei dem eine Testdatei in den von dir angegebenen Ordner übertragen wird.

9. Klicken Sie auf Logtyp hinzufügen und wählen Sie dann den Dienst Cloud WAF aus.

10. Geben Sie die folgenden Konfigurationsdetails an:

    • Konfigurationsname: Geben Sie einen Namen ein, der in Ihrem Konto eindeutig ist.
    • Logtypen auswählen: Imperva stellt Cloud WAF-Sicherheitslogs und Zugriffslogs zusammen bereit.
    • Format: Wählen Sie CEF aus. Der Parser liest auch LEEF, aber nicht W3C.
    • Protokolle komprimieren: Deaktivieren Sie diese Option. Imperva komprimiert Protokolldateien standardmäßig und der Parser kann sie nicht dekomprimieren.
    • Verschlüsselung: Lassen Sie die Verschlüsselung deaktiviert. Der Parser kann verschlüsselte Logdateien nicht entschlüsseln.
    • State (Status): auf Enabled (Aktiviert) festgelegt.

11. Speichern Sie die Konfiguration des Logtyps.

Hinweis: Imperva stellt jeder Logdatei einen Headerblock voran (z. B. |==|, format: und startTime:). Der Parser verwirft diese Zeilen absichtlich, sodass sie als nicht unterstützt gemeldet und nicht geparst werden.

Feed in Google SecOps konfigurieren, um Imperva WAF-Logs aus Amazon S3 V2 aufzunehmen

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Imperva WAF Logs.
4. Wählen Sie als Quelltyp Amazon S3 V2 aus.
5. Wählen Sie Imperva Cloud WAF als Logtyp aus.
6. Klicken Sie auf Weiter.

7. Geben Sie Werte für die folgenden Eingabeparameter an:

   • S3-URI: der Bucket-URI.

     s3://your-log-bucket-name/
     

     Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen des Buckets.

   • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

     Hinweis: Wenn Sie die Option Übertragene Dateien löschen oder Übertragene Dateien und leere Verzeichnisse löschen auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.

   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

   • Asset-Namespace: Der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

8. Klicken Sie auf Weiter.

9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
csv_message	about	Zugeordnet: CEF: → about
csv_message	about.asset.ip	Zugeordnet: CEF: → kv.dvc
kv.dvc	about.asset.ip	Zusammengeführt
csv_message	about.ip	Zugeordnet: CEF: → kv.dvc
kv.dvc	about.ip	Zusammengeführt
additional_devicedata	additional.fields	Zusammengeführt
additional_factors_label	additional.fields	Zusammengeführt
additional_severity	additional.fields	Zusammengeführt
cn1_value_label	additional.fields	Zusammengeführt
csv_message	additional.fields	Zugeordnet: CEF: → additional_severity, CEF: → cn1_value_label
random_id_label	additional.fields	Zusammengeführt
site_id_label	additional.fields	Zusammengeführt
site_name_label	additional.fields	Zusammengeführt
zuid_labels	additional.fields	Zusammengeführt
csv_message	extensions.vulns.vulnerabilities	Zugeordnet: CEF: → vuln
message	extensions.vulns.vulnerabilities	Zugeordnet: LEEF: → vuln
vuln	extensions.vulns.vulnerabilities	Zusammengeführt
message	intermediary	Zugeordnet: LEEF: → intermediary
forwardedIp	intermediary.asset.hostname	Direkt zugeordnet
forwardedIp	intermediary.asset.ip	Zusammengeführt
xff	intermediary.asset.ip	Zusammengeführt
forwardedIp	intermediary.hostname	Direkt zugeordnet
forwardedIp	intermediary.ip	Zusammengeführt
log.mx-ip	intermediary.ip	Zusammengeführt
xff	intermediary.ip	Zusammengeführt
popName	intermediary.location.country_or_region	Umbenannt/zugeordnet
csv.description	metadata.description	Zugeordnet, wenn csv_message =~ CEF:
log.message	metadata.description	Zugeordnet, wenn json_array != ``
deviceReceiptTime	metadata.event_timestamp	Geparst als MMM dd HH:mm:ss
log.@timestamp	metadata.event_timestamp	Geparst als UNIX_MS
log.time	metadata.event_timestamp	Geparst als UNIX
log_timestamp	metadata.event_timestamp	Geparst als UNIX_MS
start	metadata.event_timestamp	Geparst als UNIX_MS
timestamp	metadata.event_timestamp	Geparst als MMM dd yyyy HH:mm:ss
csv_message	metadata.event_type	Zugeordnete Werte (insgesamt 6, z.B. CEF: → NETWORK_HTTP, CEF: → SCAN_UNCATEGORIZED, CEF: ...
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION
message	metadata.event_type	Zugeordnet: LEEF: → NETWORK_HTTP
principal_present	metadata.event_type	Zugeordnet: true → NETWORK_HTTP, true → NETWORK_CONNECTION, true → STATUS_UPDATE
csv.event_id	metadata.product_event_type	Direkt zugeordnet
log.type_key	metadata.product_event_type	Zugeordnet, wenn json_array != ``
log.imperva.ids.account_id	metadata.product_log_id	Zugeordnet, wenn json_array != ``
log.header.product-version	metadata.product_version	Zugeordnet, wenn json_array != ``
product_version	metadata.product_version	Zugeordnet, wenn csv_message =~ CEF:
csv_message	network.application_protocol	Zugeordnet: CEF: → HTTPS, CEF: → HTTP
proto	network.application_protocol	Umbenannt/zugeordnet
deviceExternalId	network.community_id	Umbenannt/zugeordnet
message	network.direction	Zugeordnet: LEEF: → INBOUND
kv.cs8	network.http.method	Zugeordnet, wenn csv_message =~ CEF:
kv.requestMethod	network.http.method	Umbenannt/zugeordnet
log.http.request.method	network.http.method	Zugeordnet, wenn json_array != ``
requestMethod	network.http.method	Umbenannt/zugeordnet
http_user_agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
log.http.request.user-agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
log.imperva.abp.headers_referer	network.http.referral_url	Zugeordnet, wenn json_array != ``
log.imperva.referrer	network.http.referral_url	Zugeordnet, wenn json_array != ``
ref	network.http.referral_url	Umbenannt/zugeordnet
cn1	network.http.response_code	Umbenannt/zugeordnet
cn1_value	network.http.response_code	Umbenannt/zugeordnet
kv.flexString1	network.http.response_code	Umbenannt/zugeordnet
kv.flexString2	network.http.response_code	Umbenannt/zugeordnet
log.http.response.code	network.http.response_code	Umbenannt/zugeordnet
kv.requestClientApplication	network.http.user_agent	Zugeordnet, wenn csv_message =~ CEF:
log.http.request.user-agent	network.http.user_agent	Zugeordnet, wenn json_array != ``
requestClientApplication	network.http.user_agent	Umbenannt/zugeordnet
user_agent	network.http.user_agent	Umbenannt/zugeordnet
kv.proto	network.ip_protocol	Umbenannt/zugeordnet
log.protocol	network.ip_protocol	Zugeordnet, wenn json_array != ``
message	network.ip_protocol	Zugeordnet: LEEF: → TCP
kv.Customer	network.organization_name	Zugeordnet, wenn csv_message =~ CEF:
csv_message	network.received_bytes	Zugeordnet: CEF: → uinteger
in	network.received_bytes	Umbenannt/zugeordnet
kv.in	network.received_bytes	Zugeordnet, wenn csv_message =~ CEF:
message	network.received_bytes	Zugeordnet: LEEF: → uinteger
log.http.request.body.bytes	network.sent_bytes	Umbenannt/zugeordnet
fileId	network.session_id	Umbenannt/zugeordnet
log.http.session-id	network.session_id	Zugeordnet, wenn json_array != ``
log.imperva.abp.customer_request_id	network.session_id	Zugeordnet, wenn json_array != ``
log.imperva.request_session_id	network.session_id	Zugeordnet, wenn json_array != ``
tls_cipher	network.tls.cipher	Umbenannt/zugeordnet
tls_version	network.tls.version	Umbenannt/zugeordnet
cs6	principal.application	Umbenannt/zugeordnet
log.client.domain	principal.asset.hostname	Zugeordnet, wenn json_array != ``
csv_message	principal.asset.ip	Zugeordnet: CEF: → kvsrc
kvsrc	principal.asset.ip	Zusammengeführt
log.client.ip	principal.asset.ip	Zusammengeführt
log.source-ip	principal.asset.ip	Zusammengeführt
message	principal.asset.ip	Zugeordnet: LEEF: → src
src	principal.asset.ip	Zusammengeführt
log.client.domain	principal.hostname	Zugeordnet, wenn json_array != ``
csv_message	principal.ip	Zugeordnet: CEF: → kvsrc
kvsrc	principal.ip	Zusammengeführt
log.client.ip	principal.ip	Zusammengeführt
log.source-ip	principal.ip	Zusammengeführt
message	principal.ip	Zugeordnet: LEEF: → src
src	principal.ip	Zusammengeführt
request_type_label	principal.labels	Zusammengeführt
cicode	principal.location.city	Umbenannt/zugeordnet
kv.cicode	principal.location.city	Zugeordnet, wenn csv_message =~ CEF:
calCountryOrRegion	principal.location.country_or_region	Umbenannt/zugeordnet
kv.ccode	principal.location.country_or_region	Zugeordnet, wenn csv_message =~ CEF:
log.client.geo.country_iso_code	principal.location.country_or_region	Zugeordnet, wenn json_array != ``
log.imperva.country	principal.location.country_or_region	Zugeordnet, wenn json_array != ``
cs7	principal.location.region_latitude	Umbenannt/zugeordnet
csv_message	principal.location.region_latitude	Zugeordnet: CEF: → float
kv.cs7	principal.location.region_latitude	Umbenannt/zugeordnet
message	principal.location.region_latitude	Zugeordnet: LEEF: → float
cs8	principal.location.region_longitude	Umbenannt/zugeordnet
csv_message	principal.location.region_longitude	Zugeordnet: CEF: → float
kv.cs8	principal.location.region_longitude	Umbenannt/zugeordnet
message	principal.location.region_longitude	Zugeordnet: LEEF: → float
log.source-port	principal.port	Umbenannt/zugeordnet
port	principal.port	Zugeordnet, wenn csv_message =~ CEF:
srcPort	principal.port	Umbenannt/zugeordnet
log.imperva.path	principal.process.file.full_path	Zugeordnet, wenn json_array != ``
log.imperva.abp.pid	principal.process.pid	Zugeordnet, wenn json_array != ``
header_map_label	principal.resource.attribute.labels	Zusammengeführt
log.user.email	principal.user.email_addresses	Zusammengeführt
log.user_details	principal.user.email_addresses	Zusammengeführt
log.event.provider	principal.user.user_display_name	Zugeordnet, wenn json_array != ``
log.http.user-name	principal.user.userid	Zugeordnet, wenn json_array != ``
log.user_id	principal.user.userid	Zugeordnet, wenn json_array != ``
user_name	principal.user.userid	Zugeordnet, wenn json_array != ``
csv_message	security_result	Zugeordnet: CEF: → security_result
message	security_result	Zugeordnet: LEEF: → security_result
_action	security_result.action	Zusammengeführt
action	security_result.action	Zusammengeführt
csv_message	security_result.action	Zugeordnet: CEF: → action
message	security_result.action	Zugeordnet: LEEF: → _action
security_action	security_result.action	Zusammengeführt
cat	security_result.action_details	Direkt zugeordnet
kv.act	security_result.action_details	Direkt zugeordnet
kv.cat	security_result.action_details	Direkt zugeordnet
log.action	security_result.action_details	Direkt zugeordnet
csv_message	security_result.category_details	Zugeordnet: CEF: → kv.cat
dproc	security_result.category_details	Zusammengeführt
kv.cat	security_result.category_details	Zusammengeführt
message	security_result.category_details	Zugeordnet: LEEF: → dproc
log.description	security_result.description	Direkt zugeordnet
log.imperva.abp.tls_fingerprint	security_result.description	Direkt zugeordnet
log.imperva.risk_reason	security_result.description	Direkt zugeordnet
accept_encoding_label	security_result.detection_fields	Zusammengeführt
accept_language_label	security_result.detection_fields	Zusammengeführt
apollo_rule	security_result.detection_fields	Zusammengeführt
behavior	security_result.detection_fields	Zusammengeführt
class_label	security_result.detection_fields	Zusammengeführt
cn1_field	security_result.detection_fields	Zusammengeführt
cn2_field	security_result.detection_fields	Zusammengeführt
condition_id	security_result.detection_fields	Zusammengeführt
condition_name	security_result.detection_fields	Zusammengeführt
cs10Label_field	security_result.detection_fields	Zusammengeführt
cs11_field	security_result.detection_fields	Zusammengeführt
cs12Label_field	security_result.detection_fields	Zusammengeführt
cs1_field	security_result.detection_fields	Zusammengeführt
cs2_field	security_result.detection_fields	Zusammengeführt
cs3_field	security_result.detection_fields	Zusammengeführt
cs4_field	security_result.detection_fields	Zusammengeführt
cs5Label_field	security_result.detection_fields	Zusammengeführt
cs5_field	security_result.detection_fields	Zusammengeführt
cs6_field	security_result.detection_fields	Zusammengeführt
cs8_label	security_result.detection_fields	Zusammengeführt
cs97Label_field	security_result.detection_fields	Zusammengeführt
cs98_field	security_result.detection_fields	Zusammengeführt
cs99_field	security_result.detection_fields	Zusammengeführt
cs9_field	security_result.detection_fields	Zusammengeführt
cs9_label	security_result.detection_fields	Zusammengeführt
csv_message	security_result.detection_fields	Zugeordnete Werte (insgesamt 30, z.B. CEF: → flexString1_field, CEF: → cs1_field, CEF: → `...
detection_fields_domain_risk	security_result.detection_fields	Zusammengeführt
detection_fields_event_action	security_result.detection_fields	Zusammengeführt
detection_fields_event_context	security_result.detection_fields	Zusammengeführt
detection_fields_significant_domain_name	security_result.detection_fields	Zusammengeführt
detection_fields_violated_directive	security_result.detection_fields	Zusammengeführt
deviceExternalId_label	security_result.detection_fields	Zusammengeführt
deviceFacility_field	security_result.detection_fields	Zusammengeführt
dproc_label	security_result.detection_fields	Zusammengeführt
end_label	security_result.detection_fields	Zusammengeführt
filePermission_field	security_result.detection_fields	Zusammengeführt
fileType_field	security_result.detection_fields	Zusammengeführt
flexNumber1_field	security_result.detection_fields	Zusammengeführt
flexString1_field	security_result.detection_fields	Zusammengeführt
flexString2_field	security_result.detection_fields	Zusammengeführt
fname_field	security_result.detection_fields	Zusammengeführt
gateway_name_label	security_result.detection_fields	Zusammengeführt
headers_connection_label	security_result.detection_fields	Zusammengeführt
hsig	security_result.detection_fields	Zusammengeführt
log_imperva_classified_client_field	security_result.detection_fields	Zusammengeführt
log_imperva_credentials_leaked_field	security_result.detection_fields	Zusammengeführt
log_imperva_declared_client_field	security_result.detection_fields	Zusammengeführt
log_imperva_failed_logins_last_24h_field	security_result.detection_fields	Zusammengeführt
log_imperva_fingerprint_field	security_result.detection_fields	Zusammengeführt
log_imperva_successful_logins_last_24h_field	security_result.detection_fields	Zusammengeführt
message	security_result.detection_fields	Zugeordnete Werte (insgesamt 11, z.B. LEEF: → siteid_label, LEEF: → start_label, LEEF: → `...
policy_id	security_result.detection_fields	Zusammengeführt
policy_label	security_result.detection_fields	Zusammengeführt
policy_name	security_result.detection_fields	Zusammengeführt
postbody_field	security_result.detection_fields	Zusammengeführt
postbody_label	security_result.detection_fields	Zusammengeführt
request_user_label	security_result.detection_fields	Zusammengeführt
selector	security_result.detection_fields	Zusammengeführt
selector_derived_id	security_result.detection_fields	Zusammengeführt
siteTag_field	security_result.detection_fields	Zusammengeführt
siteid_label	security_result.detection_fields	Zusammengeführt
start_label	security_result.detection_fields	Zusammengeführt
tag_label	security_result.detection_fields	Zusammengeführt
triggered_condition_id	security_result.detection_fields	Zusammengeführt
triggered_condition_name	security_result.detection_fields	Zusammengeführt
violation	security_result.detection_fields	Zusammengeführt
violation_id_label	security_result.detection_fields	Zusammengeführt
violation_type_label	security_result.detection_fields	Zusammengeführt
cs9	security_result.rule_name	Direkt zugeordnet
kv.cs9	security_result.rule_name	Direkt zugeordnet
fileType	security_result.rule_type	Zugeordnet, wenn message =~ LEEF:
kv.fileType	security_result.rule_type	Direkt zugeordnet
csv_message	security_result.severity	Zugeordnet: CEF: → HIGH, CEF: → MEDIUM, CEF: → LOW, CEF: → UNKNOWN_SEVERITY
log.severity	security_result.severity	Direkt zugeordnet
severity	security_result.severity	Zugeordnet: High → HIGH, Medium → MEDIUM, Low → LOW, Unknown → UNKNOWN_SEVERITY
sevs	security_result.severity	Zugeordnet: "error", "warning" → HIGH, critical → CRITICAL, "medium","notice" → `MED...
log.imperva.risk_level	security_result.severity_details	Direkt zugeordnet
severity	security_result.threat_id	Direkt zugeordnet
description	security_result.threat_name	Direkt zugeordnet
log.application-name	target.application	Zugeordnet, wenn json_array != ``
kv.dhost	target.asset.hostname	Zugeordnet, wenn csv_message =~ CEF:
kv.sourceServiceName	target.asset.hostname	Zugeordnet, wenn csv_message =~ CEF:
log.server.domain	target.asset.hostname	Zugeordnet, wenn json_array != ``
csv_message	target.asset.ip	Zugeordnet: CEF: → kv.dst, CEF: → kv.sip
dst	target.asset.ip	Zusammengeführt
kv.dst	target.asset.ip	Zusammengeführt
kv.sip	target.asset.ip	Zusammengeführt
log.dest-ip	target.asset.ip	Zusammengeführt
message	target.asset.ip	Zugeordnet: LEEF: → dst
kv.dhost	target.hostname	Zugeordnet, wenn csv_message =~ CEF:
kv.sourceServiceName	target.hostname	Zugeordnet, wenn csv_message =~ CEF:
log.server.domain	target.hostname	Zugeordnet, wenn json_array != ``
sourceServiceName	target.hostname	Umbenannt/zugeordnet
csv_message	target.ip	Zugeordnet: CEF: → kv.dst, CEF: → kv.sip
dst	target.ip	Zusammengeführt
kv.dst	target.ip	Zusammengeführt
kv.sip	target.ip	Zusammengeführt
log.dest-ip	target.ip	Zusammengeführt
message	target.ip	Zugeordnet: LEEF: → dst
log.server.geo.name	target.location.name	Zugeordnet, wenn json_array != ``
dstPort	target.port	Umbenannt/zugeordnet
kv.cpt	target.port	Umbenannt/zugeordnet
kv.dpt	target.port	Umbenannt/zugeordnet
log.dest-port	target.port	Umbenannt/zugeordnet
kv.deviceProcessName	target.process.file.full_path	Zugeordnet, wenn csv_message =~ CEF:
log.url.path	target.process.file.full_path	Zugeordnet, wenn json_array != ``
header_map_label	target.resource.attribute.labels	Zusammengeführt
server_group_label	target.resource.attribute.labels	Zusammengeführt
server_group_simulation_mode_label	target.resource.attribute.labels	Zusammengeführt
service_label	target.resource.attribute.labels	Zusammengeführt
log.resource_id	target.resource.id	Zugeordnet, wenn json_array != ``
log.context_key	target.resource.name	Zugeordnet, wenn json_array != ``
log.imperva.audit_trail.resource_name	target.resource.name	Zugeordnet, wenn json_array != ``
kv.fileId	target.resource.product_object_id	Zugeordnet, wenn csv_message =~ CEF:
log.imperva.abp.token_id	target.resource.product_object_id	Zugeordnet, wenn json_array != ``
log.resource_type_key	target.resource.type	Zugeordnet, wenn json_array != ``
kv.request	target.url	Umbenannt/zugeordnet
url	target.url	Umbenannt/zugeordnet
Customer	target.user.user_display_name	Umbenannt/zugeordnet
log.imperva.ids.account_name	target.user.user_display_name	Zugeordnet, wenn json_array != ``
kv.duser	target.user.userid	Umbenannt/zugeordnet
kv.suid	target.user.userid	Zugeordnet, wenn csv_message =~ CEF:
log.account_id	target.user.userid	Zugeordnet, wenn json_array != ``
suid	target.user.userid	Umbenannt/zugeordnet
–	metadata.event_type	Konstante: NETWORK_HTTP
–	network.direction	Konstante: INBOUND
–	network.ip_protocol	Konstante: TCP
–	security_result.severity	Konstante: HIGH

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten