收集 Imperva WAF 記錄

本文說明如何使用第三方 API 或 Amazon S3 設定 Google Security Operations 資訊提供，藉此收集 Imperva WAF 記錄。

Imperva WAF 是一種雲端式網頁應用程式防火牆，可保護網站和應用程式免受網路攻擊，包括 SQL 注入、跨網站指令碼攻擊 (XSS) 和 DDoS 威脅。Imperva WAF 會即時分析傳入的 HTTP/HTTPS 流量，套用安全規則和機器人緩解政策，在惡意要求到達原始伺服器前加以封鎖。

收集方法差異

將 Imperva WAF 與 Google SecOps 整合時，支援下列記錄檔擷取方法：

• API 集合：Google SecOps 會直接從 Imperva API 提取記錄。這是直接連線，僅支援 IMPERVA_WAF 記錄類型，且只會收集稽核記錄，如「Imperva 稽核追蹤記錄」一文所述。Google SecOps 每 24 小時會查詢一次 Imperva Audit Trail API。
• Amazon S3 V2 值區集合：Imperva WAF 會將記錄推送至指定的 Amazon S3 值區，然後 Google SecOps 會從這個值區提取記錄。這個方法會收集 Cloud WAF 產生的安全性事件和存取記錄，如「整合 Imperva 記錄」一文所述。由於儲存空間可接收來自多個來源的記錄，因此只要明確設定將其他 Imperva 記錄推送至儲存空間，這個方法也支援其他 Imperva 記錄類型。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Imperva Cloud Security Console 的特殊權限 (my.imperva.com)
• Imperva 帳戶管理員，可為其他使用者建立 API 金鑰。沒有管理員權限的使用者只能為自己的帳戶建立 API 金鑰。
• Amazon S3 方法：AWS 的特殊權限存取權 (S3、IAM)

設定 Imperva WAF API 存取權

API 收集方法會使用 Imperva API ID 和 API 金鑰，向 api.imperva.com 進行驗證。在 Imperva Cloud Security Console 中產生這些憑證。

產生 API 憑證

1. 前往 my.imperva.com 登入 Imperva Cloud Security Console。
2. 在頂端選單列，依序點選「帳戶」>「帳戶管理」。
3. 在側欄中，依序點選「使用者管理」>「使用者」。
4. 找出動態饋給使用的使用者，按一下「動作」欄中的省略號，然後按一下「編輯」。
5. 按一下「API 金鑰」分頁標籤。
6. 按一下「新增 API 金鑰」。新增名稱和說明，指出金鑰的用途。
7. 從彈出式視窗複製並儲存下列值：
   • API ID：不重複的 API ID (例如 12345)。
   • API 金鑰：您的 API 金鑰 (例如 abcdef-123456-ghijkl-789012)。

• 或者，不具管理員權限的使用者可以為自己的帳戶產生金鑰。在頂端選單列中，依序點選「帳戶」>「我的設定檔」，然後在「API 金鑰」下方，點選「新增 API 金鑰」。

在 Google SecOps 中設定動態饋給，擷取 Imperva WAF 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Imperva WAF Logs)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Imperva」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 驗證 HTTP 標頭：輸入驗證憑證，格式如下：

     x-API-Id:your-api-id-value
     x-API-Key:your-api-key-value
     

     每項憑證都必須以 key:value 格式獨立成行。

     請輸入顯示的標頭名稱。Imperva Audit Trail API 只接受 API ID 和 API 金鑰做為 x-API-Id 和 x-API-Key HTTP 標頭。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

設定完成後，動態饋給會擷取 Imperva 稽核記錄事件，記錄帳戶使用者、系統程序和 Imperva 管理員在帳戶中執行的動作。如要收集 Cloud WAF 安全性事件和存取記錄，請使用下一節所述的 Amazon S3 方法。

使用 Amazon S3 收集 Imperva WAF 記錄

設定 AWS IAM 和 S3

1. 按照這份使用者指南建立 Amazon S3 bucket：建立 bucket
2. 儲存 bucket 的「名稱」和「區域」，稍後會用到。
3. 請按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「Access Keys」部分中，按一下「Create Access Key」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 選用：新增說明標記。
10. 按一下「建立存取金鑰」。
11. 按一下「Download .csv file」，然後儲存「Access Key」和「Secret Access Key」，以供日後使用。
12. 按一下「完成」。
13. 選取 [權限] 分頁標籤。
14. 在「Permissions policies」(權限政策) 區段中，按一下「Add permissions」(新增權限)。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋並選取 AmazonS3FullAccess 政策。
18. 點選「下一步」。
19. 按一下「Add permissions」。

設定 Imperva WAF Amazon S3 連線

1. 使用具備權限的帳戶，登入 Imperva Cloud Security Console (網址：my.imperva.com)。
2. 在頂端選單列，依序點選「帳戶」>「帳戶管理」。
3. 在側欄中，依序按一下「SIEM 記錄」>「記錄設定」。
4. 在「連線」表格中，按一下「新增連線」。

5. 選用：選取 SIEM 供應商。Google SecOps 並非 SIEM 供應商，因此請略過這個步驟，改為選取傳送方式。

6. 選取「Amazon S3」做為傳送方式。

7. 請提供下列設定詳細資料：

   • 存取金鑰：您建立的 IAM 使用者存取金鑰。
   • 密鑰：您建立的 IAM 使用者存取金鑰。
   • 路徑：bucket 路徑，格式為 <bucket-name>/<folder> (例如 imperva-waf-logs/logs)。

8. 按一下「測試連線」，執行完整測試週期，將測試檔案傳輸至您指定的資料夾。

9. 按一下「新增記錄類型」，然後選取「Cloud WAF」服務。

10. 請提供下列設定詳細資料：

    • 設定名稱：輸入帳戶中不重複的名稱。
    • 選取記錄類型：Imperva 會一併提供 Cloud WAF 安全性記錄和存取記錄。
    • 格式：選取「CEF」。剖析器也會讀取 LEEF，但不會讀取 W3C。
    • 壓縮記錄：取消勾選這個選項。Imperva 預設會壓縮記錄檔，但剖析器無法解壓縮。
    • 加密：保持停用加密功能。剖析器無法解密加密的記錄檔。
    • 狀態：設為「已啟用」。

11. 儲存記錄類型設定。

在 Google SecOps 中設定動態饋給，從 Amazon S3 V2 擷取 Imperva WAF 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Imperva WAF Logs)。
4. 選取「Amazon S3 V2」做為「來源類型」。
5. 選取「Imperva」做為「記錄類型」。
6. 點選「下一步」。

7. 指定下列輸入參數的值：

   • S3 URI：值區 URI。

     s3://your-log-bucket-name/
     

     請將 your-log-bucket-name 替換為值區的實際名稱。

   • 來源刪除選項：根據偏好設定選取刪除選項。

   • 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。

   • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰。

   • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

8. 點選「下一步」。

9. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。