Collecter les journaux Imperva Data Risk Analytics (DRA)

Compatible avec :

Ce document explique comment ingérer les journaux Imperva Data Risk Analytics (DRA) dans Google Security Operations à l'aide de BindPlane. L'analyseur extrait les champs des journaux au format syslog de Data Risk Analytics. Il utilise grok et kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Imperva DRA vous aide à détecter les activités de données suspectes et à hiérarchiser les incidents critiques parmi des milliards d'événements d'audit.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console de gestion Imperva DRA

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    1. Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_DRA'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <customer_id> par le numéro client réel.
    • Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer le transfert Syslog sur Imperva DRA

  1. Connectez-vous à la console de gestion Imperva DRA.
  2. Accédez à Configuration> Intégration SIEM.
  3. Dans la section Serveur Syslog, fournissez les informations de configuration suivantes :
    • Adresse IP du serveur : saisissez l'adresse IP de l'agent BindPlane.
    • Port : saisissez le numéro de port de l'agent BindPlane (514 par défaut).
    • Protocole : sélectionnez UDP ou TCP, selon la configuration de votre agent BindPlane.
    • Installation : sélectionnez l'installation syslog appropriée (par exemple, LOCAL0).
  4. Cliquez sur Envoyer un message Syslog de test pour vérifier la connectivité.
  5. Dans la section Événements à envoyer, configurez les éléments suivants :
    • Classes d'événements : sélectionnez Détection d'atteinte à la sécurité et/ou Réduction des risques en fonction des exigences.
    • Types de notifications : choisissez les actions d'ouverture, de fermeture ou de réouverture des incidents, ainsi que leur niveau de gravité.
    • Format du message : sélectionnez JSON pour le format de données structurées ou Brut pour le format syslog de base.
  6. Configurez le seuil de gravité pour déterminer les niveaux de gravité à transférer.
  7. Enregistrez la configuration.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.