Raccogliere i log di gestione di Imperva SecureSphere

Supportato in:

Questo documento spiega come importare i log di gestione di Imperva SecureSphere in Google Security Operations utilizzando Bindplane. L'analizzatore sintattico estrae i campi dai log in formato CEF o JSON. Utilizza pattern grok e l'analisi chiave-valore per mappare i campi dei log non elaborati a UDM, gestendo sia i campi CEF standard sia le strutture JSON personalizzate e dando la priorità ai dati JSON, se disponibili. Imperva SecureSphere offre funzionalità complete di web application firewall, sicurezza dei database e sicurezza dei file per implementazioni on-premise e cloud.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato alla console di gestione Imperva SecureSphere

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'IMPERVA_SECURESPHERE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare l'inoltro di Syslog su Imperva SecureSphere Management

  1. Accedi alla console di gestione di Imperva SecureSphere.
  2. Vai a Configurazione > Set di azioni.
  3. Fai clic su Aggiungi per creare un nuovo insieme di azioni.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Syslog).

Configura azione evento di sicurezza

  1. Fai clic su Aggiungi azione e configura:
    • Action Type (Tipo di azione): seleziona Syslog.
    • Host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane (valore predefinito 514).
    • Protocollo: seleziona UDP o TCP.
    • Livello di log Syslog: seleziona DEBUG.
    • Funzione Syslog: seleziona LOCAL0.
    • Formato messaggio: seleziona Gateway Log - Security Event - System Log (syslog) using CEF standard (Log gateway - Evento di sicurezza - Log di sistema (syslog) utilizzando lo standard CEF).

Configura azione evento di sistema

  1. Fai clic su Aggiungi azione e configura:
    • Action Type (Tipo di azione): seleziona System Log (Log di sistema).
    • Host: inserisci l'indirizzo IP dell'agente BindPlane.
    • Porta: inserisci il numero di porta dell'agente BindPlane.
    • Protocollo: seleziona UDP o TCP.
    • Formato messaggio: seleziona Registra evento di sistema nel log di sistema (syslog) utilizzando lo standard CEF.

Applicare set di azioni ai criteri

  1. Vai a Norme > Norme di sicurezza.
  2. Per ogni norma pertinente, configura Azioni eseguite in modo da utilizzare il tuo insieme di azioni.
  3. Vai a Norme > Norme sugli eventi di sistema.
  4. Configura le policy per gli eventi di sistema in modo che utilizzino il set di azioni per un monitoraggio completo.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
action security_result.action_details Il valore del campo action viene assegnato al campo security_result.action_details.
application-name target.application Il valore del campo application-name viene assegnato al campo target.application.
cat security_result.category_details Il valore del campo cat viene assegnato al campo security_result.category_details.
class security_result.detection_fields.value Il valore del campo class viene assegnato al campo value all'interno di security_result.detection_fields. Il key corrispondente è "class".
collection_time.seconds metadata.event_timestamp.seconds Il valore di collection_time.seconds del log non elaborato viene utilizzato come valore dei secondi per metadata.event_timestamp.
create-time metadata.event_timestamp.seconds Il valore di create-time viene analizzato e il suo valore in secondi viene utilizzato come valore in secondi per metadata.event_timestamp.
cs1 security_result.rule_name Il valore del campo cs1 viene assegnato al campo security_result.rule_name.
cs10 target.resource.attribute.labels.value Il valore del campo cs10 viene assegnato al campo value all'interno di target.resource.attribute.labels.
cs10Label target.resource.attribute.labels.key Il valore del campo cs10Label viene assegnato al campo key all'interno di target.resource.attribute.labels.
cs11 principal.application Il valore del campo cs11 viene assegnato al campo principal.application.
cs12 security_result.description Il valore del campo cs12, dopo aver rimosso le parentesi graffe e i simboli del dollaro, viene assegnato al campo security_result.description.
cs14 target.resource.attribute.labels.value Il valore del campo cs14 viene assegnato al campo value all'interno di target.resource.attribute.labels.
cs14Label target.resource.attribute.labels.key Il valore del campo cs14Label viene assegnato al campo key all'interno di target.resource.attribute.labels.
cs15 security_result.summary Il valore del campo cs15 viene assegnato al campo security_result.summary.
cs16 principal.process.command_line Il valore del campo cs16 viene assegnato al campo principal.process.command_line.
cs17 target.resource.resource_subtype Il valore del campo cs17 viene assegnato al campo target.resource.resource_subtype.
cs2 principal.group.group_display_name Il valore del campo cs2 viene assegnato al campo principal.group.group_display_name.
cs3 principal.hostname, principal.asset.hostname Il valore del campo cs3 viene assegnato sia al campo principal.hostname che al campo principal.asset.hostname.
cs4 target.application Il valore del campo cs4 viene assegnato al campo target.application, a meno che il valore non sia "ProcessWitness".
cs5 metadata.description Il valore del campo cs5 viene assegnato al campo metadata.description.
cs6 target.resource_ancestors.name Il valore del campo cs6 viene assegnato al campo target.resource_ancestors.name.
cs7 target.resource_ancestors.resource_subtype Il valore del campo cs7 viene assegnato al campo target.resource_ancestors.resource_subtype.
cs8 target.resource.name, target.resource.resource_type Il valore del campo cs8 viene assegnato al campo target.resource.name e target.resource.resource_type è impostato su "DATABASE".
cs9 principal.user.userid Il valore del campo cs9 viene assegnato al campo principal.user.userid.
description security_result.description Il valore del campo description viene assegnato al campo security_result.description.
dest-ip target.ip, target.asset.ip L'indirizzo IP estratto dal campo dest-ip viene assegnato sia al campo target.ip che al campo target.asset.ip.
dest-port target.port Il valore del campo dest-port, convertito in un numero intero, viene assegnato al campo target.port.
deviceExternalId intermediary.hostname Il valore del campo deviceExternalId viene assegnato al campo intermediary.hostname.
dpt target.port Il valore del campo dpt, convertito in un numero intero, viene assegnato al campo target.port.
dst target.ip, target.asset.ip Il valore del campo dst viene assegnato sia al campo target.ip che al campo target.asset.ip.
duser target.user.userid Il valore del campo duser viene assegnato al campo target.user.userid.
eventId metadata.product_log_id Il valore del campo eventId viene assegnato al campo metadata.product_log_id.
gateway-name security_result.detection_fields.value Il valore del campo gateway-name viene assegnato al campo value all'interno di security_result.detection_fields. Il key corrispondente è "gateway-name".
http.request.method network.http.method Il valore del campo http.request.method viene assegnato al campo network.http.method.
http.request.user-agent network.http.user_agent Il valore del campo http.request.user_agent viene assegnato al campo network.http.user_agent.
http.response.code network.http.response_code Il valore del campo http.response.code, convertito in un numero intero, viene assegnato al campo network.http.response_code.
http.session-id network.session_id Il valore del campo http.session-id viene assegnato al campo network.session_id.
http.user-name principal.user.userid Il valore del campo http.user-name, con le virgolette circostanti rimosse, viene assegnato al campo principal.user.userid.
log_type metadata.log_type Il valore del campo log_type del log non elaborato viene assegnato al campo metadata.log_type.
mx-ip intermediary.ip Il valore del campo mx-ip viene assegnato al campo intermediary.ip.
MxIP intermediary.ip Il valore del campo MxIP viene assegnato al campo intermediary.ip.
OSUser principal.user.userid Il valore del campo OSUser viene assegnato al campo principal.user.userid.
policy-name security_result.detection_fields.value Il valore del campo policy-name viene assegnato al campo value all'interno di security_result.detection_fields. Il key corrispondente è "policy-name".
pquery target.resource.name, target.process.command_line Se pquery non è vuoto e contiene la parola "from", il nome della tabella viene estratto e assegnato a target.resource.name, target.resource.resource_type viene impostato su "TABLE" e l'intero valore di pquery viene assegnato a target.process.command_line. In caso contrario, l'intero valore pquery viene assegnato a target.resource.name.
pro security_result.description Il valore del campo pro viene assegnato al campo security_result.description.
product metadata.product_name Il valore del campo product viene assegnato al campo metadata.product_name.
product_type metadata.product_event_type Il valore del campo product_type viene assegnato al campo metadata.product_event_type.
protocol network.ip_protocol Se il valore del campo protocol è "TCP" o "UDP", viene assegnato al campo network.ip_protocol.
proto network.ip_protocol Il valore del campo proto viene assegnato al campo network.ip_protocol.
reason security_result.rule_name Il valore del campo reason viene assegnato al campo security_result.rule_name.
rt metadata.event_timestamp.seconds Il valore di rt viene analizzato e il suo valore in secondi viene utilizzato come valore in secondi per metadata.event_timestamp.
server-group-name target.resource.attribute.labels.value Il valore del campo server-group-name viene assegnato al campo value all'interno di target.resource.attribute.labels. Il key corrispondente è "server-group-name".
server-group-simulation-mode target.resource.attribute.labels.value Il valore del campo server-group-simulation-mode viene assegnato al campo value all'interno di target.resource.attribute.labels. Il key corrispondente è "server-group-simulation-mode".
service-name target.resource.attribute.labels.value Il valore del campo service-name viene assegnato al campo value all'interno di target.resource.attribute.labels. Il key corrispondente è "service-name".
ServiceName target.application Se ApplicationName non è vuoto e ServiceName è vuoto, il valore di ApplicationName viene assegnato a ServiceName. Il valore di ServiceName viene quindi assegnato a target.application.
severity security_result.severity, security_result.severity_details Il valore del campo severity viene convertito in maiuscolo. Se è uno dei valori "LOW", "MEDIUM", "HIGH", "CRITICAL", viene assegnato a security_result.severity. Se è "INFORMATIVE" o "INFO", security_result.severity è impostato su "INFORMATIONAL". Il valore originale viene assegnato anche a security_result.severity_details.
severity_data security_result.severity Il valore del campo severity_data viene convertito in maiuscolo. Se è uno dei seguenti valori: "HIGH", "LOW", "MEDIUM", "CRITICAL", "ERROR", "INFORMATIONAL", viene assegnato a security_result.severity.
source-ip principal.ip, principal.asset.ip Il valore del campo source-ip viene assegnato sia al campo principal.ip che al campo principal.asset.ip.
source-port principal.port Il valore del campo source-port, convertito in un numero intero, viene assegnato al campo principal.port.
spt principal.port Il valore del campo spt, convertito in un numero intero, viene assegnato al campo principal.port.
src principal.ip, principal.asset.ip Il valore del campo src viene assegnato sia al campo principal.ip che al campo principal.asset.ip.
srcapp principal.application Il valore del campo srcapp viene assegnato al campo principal.application.
srchost principal.hostname, principal.asset.hostname Il valore del campo srchost viene assegnato sia al campo principal.hostname che al campo principal.asset.hostname.
vendor metadata.vendor_name Il valore del campo vendor viene assegnato al campo metadata.vendor_name.
version metadata.product_version Il valore del campo version viene assegnato al campo metadata.product_version.
violation-id security_result.detection_fields.value Il valore del campo violation-id viene assegnato al campo value all'interno di security_result.detection_fields. Il key corrispondente è "violation-id".
violation-type security_result.detection_fields.value Il valore del campo violation-type viene assegnato al campo value all'interno di security_result.detection_fields. Il key corrispondente è "violation-type".

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.