收集 Imperva WAF 日志

本文档介绍了如何通过使用第三方 API 或 Amazon S3 设置 Google Security Operations Feed 来收集 Imperva WAF 日志。

Imperva WAF 是一款基于云的 Web 应用防火墙，可保护网站和应用免受基于 Web 的攻击，包括 SQL 注入、跨站脚本攻击 (XSS) 和 DDoS 攻击威胁。Imperva WAF 会实时分析传入的 HTTP/HTTPS 网络流量，应用安全规则和机器人缓解措施来阻止恶意请求，以免其到达源服务器。

收集方法差异

Imperva WAF 与 Google SecOps 的集成支持以下日志提取方法：

• API 收集：Google SecOps 直接从 Imperva API 拉取日志。这是直接连接，仅支持 IMPERVA_WAF 日志类型，并且仅收集审核日志，如 Imperva 审核轨迹中所述。Google SecOps 每 24 小时查询一次 Imperva 审核跟踪 API。
• Amazon S3 V2 存储桶收集：Imperva WAF 将日志推送到指定的 Amazon S3 存储桶，然后 Google SecOps 从该存储桶中提取日志。此方法会收集 Cloud WAF 生成的安全事件和访问日志，如 Imperva 日志集成中所述。由于该存储桶可以接收来自多个来源的日志，因此该方法还支持其他 Imperva 日志类型，前提是您明确配置这些日志以推送到该存储桶。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Imperva Cloud Security Console (my.imperva.com) 的特权访问权限
• Imperva 账号管理员，为其他用户创建 API 密钥。没有管理员权限的用户只能为其自己的账号创建 API 密钥。
• 对于 Amazon S3 方法：对 AWS (S3、IAM) 的特权访问权限

配置 Imperva WAF API 访问权限

API 收集方法使用 Imperva API ID 和 API 密钥针对 api.imperva.com 进行身份验证。在 Imperva Cloud Security Console 中生成这些凭据。

生成 API 凭据

1. 前往 my.imperva.com，登录 Imperva Cloud Security Console。
2. 在顶部菜单栏中，依次点击账号 > 账号管理。
3. 在边栏中，依次点击用户管理 > 用户。
4. 找到 Feed 所使用的用户，点击操作列中的省略号，然后点击修改。
5. 点击 API 密钥标签页。
6. 点击添加 API 密钥。添加名称和说明，以指明密钥的用途。
7. 从弹出式窗口中复制并保存以下值：
   • API ID：您的唯一 API 标识符（例如 12345）。
   • API 密钥：您的 API 密钥（例如 abcdef-123456-ghijkl-789012）。

• 或者，没有管理员权限的用户可以为其自己的账号生成密钥。在顶部菜单栏中，依次点击账号 > 我的个人资料，然后点击 API 密钥下方的添加 API 密钥。

在 Google SecOps 中配置 Feed 以注入 Imperva WAF 日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Imperva WAF Logs）。
5. 选择第三方 API 作为来源类型。
6. 选择 Imperva 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 身份验证 HTTP 标头：以以下格式输入身份验证凭据：

     x-API-Id:your-api-id-value
     x-API-Key:your-api-key-value
     

     每项凭据都必须以 key:value 格式单独列为一行。

     输入与显示内容完全一致的标题名称。Imperva 审核跟踪 API 仅接受 API ID 和 API 密钥作为 x-API-Id 和 x-API-Key HTTP 标头。

   • 资产命名空间：资产命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置完成后，该 Feed 会检索 Imperva 审核轨迹事件，这些事件会记录账号用户、系统进程和 Imperva 管理员在您的账号中执行的操作。如需收集 Cloud WAF 安全事件和访问日志，请使用下一部分中介绍的 Amazon S3 方法。

使用 Amazon S3 收集 Imperva WAF 日志

配置 AWS IAM 和 S3

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
2. 保存存储桶名称和区域以备后用。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击下载 .csv 文件，然后保存访问密钥和密钥以供日后使用。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索并选择 AmazonS3FullAccess 政策。
18. 点击下一步。
19. 点击添加权限。

配置 Imperva WAF Amazon S3 连接

1. 使用具有管理员权限的账号登录 my.imperva.com 中的 Imperva Cloud Security Console。
2. 在顶部菜单栏中，依次点击账号 > 账号管理。
3. 在边栏中，依次点击 SIEM 日志 > 日志配置。
4. 在连接表格中，点击添加连接。

5. 可选：选择 SIEM 供应商。Google SecOps 不作为 SIEM 供应商提供，因此请跳过此步骤，改为选择交付方式。

6. 选择 Amazon S3 作为交付方式。

7. 提供以下配置详细信息：

   • 访问密钥：您创建的 IAM 用户的访问密钥。
   • 密钥：您创建的 IAM 用户的私有访问密钥。
   • 路径：存储桶路径，采用 <bucket-name>/<folder> 格式（例如 imperva-waf-logs/logs）。

8. 点击测试连接，运行完整的测试周期，将测试文件传输到您指定的文件夹。

9. 点击添加日志类型，然后选择 Cloud WAF 服务。

10. 提供以下配置详细信息：

    • 配置名称：输入在您的账号中唯一的名称。
    • 选择日志类型：Imperva 同时提供 Cloud WAF 安全日志和访问日志。
    • 格式：选择 CEF。解析器还可以读取 LEEF，但无法读取 W3C。
    • 压缩日志：清除此选项。Imperva 默认会压缩日志文件，而解析器无法解压缩这些文件。
    • 加密：保持加密功能处于停用状态。解析器无法解密加密的日志文件。
    • 状态：设置为已启用。

11. 保存日志类型配置。

在 Google SecOps 中配置 Feed 以从 Amazon S3 V2 注入 Imperva WAF 日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在 Feed 名称字段中，输入 Feed 的名称（例如 Imperva WAF Logs）。
4. 选择 Amazon S3 V2 作为来源类型。
5. 选择 Imperva 作为日志类型。
6. 点击下一步。

7. 为以下输入参数指定值：

   • S3 URI：存储桶 URI。

     s3://your-log-bucket-name/
     

     将 your-log-bucket-name 替换为存储桶的实际名称。

   • 源删除选项：根据您的偏好选择删除选项。

   • 文件存在时间上限：包含在过去指定天数内修改过的文件。默认值为 180 天。

   • 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。

   • 私有访问密钥：有权访问 S3 存储桶的用户私有密钥。

   • 资产命名空间：资产命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

8. 点击下一步。

9. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。