Imperva Incapsula

Imperva Incapsula 用の IBM QRadar DSM は、Imperva Incapsula サービスからログを収集します。

以下の表は、Imperva Incapsula DSM の仕様を示しています。
表 1. Imperva Incapsula DSM の仕様
仕様 値
製造元 Imperva
DSM 名 Imperva Incapsula
RPM ファイル名 DSM-ImpervaIncapsula-QRadar_version-build_number.noarch.rpm
サポートされるバージョン N/A
プロトコル Syslog
イベント・フォーマット LEEF
記録されるイベント・タイプ アクセス・イベントとセキュリティー・アラート
自動的に検出? はい
ID を含む? いいえ
カスタム・プロパティーを含む? いいえ
詳細情報 Imperva Incapsula Web サイト (https://www.incapsula.com/)
Imperva Incapsula を QRadarに統合するには、以下の手順を実行します。
  1. 自動アップデートが有効になっていない場合は、IBM® サポート Web サイトから以下の RPM の最新バージョンをダウンロードし、QRadar Console にインストールしてください：
    • DSMCommon RPM
    • Imperva Incapsula DSM RPM
  2. ログを収集し、ログを QRadarに転送するようにログ・ダウンロード・ユーティリティーを構成します。
  3. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar コンソールで Imperva Incapsula ログ・ソースを追加します。 以下の表は、Imperva Incapsula からイベントを収集するために固有の値を必要とするパラメーターについて説明しています。
    表 2. Imperva Incapsula ログ・ソース・パラメーター
    パラメーター 値
    ログ・ソース・タイプ Imperva Incapsula
    プロトコル構成 Syslog
  4. QRadar が正しく構成されていることを確認します。
    重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
    以下の表は、Imperva Incapsula からの正常化されたイベント・メッセージの例を示しています。
    表 3. Imperva Incapsula サンプル・メッセージ
    イベント名 下位カテゴリー サンプル・ログ・メッセージ
    REQ_PASSED 情報 
    LEEF:1.0|Incapsula|SIEMintegration|1.0|Normal|fileId=fidsourceServiceName=ssnamesiteid=siteidsuid=suidrequestClientApplication=reqcliappcs2=truecs2Label=Javascript Supportcs3=truecs3Label=COSupportsrc=<Source_IP_address>cs1=NAcs1Label=CapSupportcs5Label=clappsigdproc=Browsercs6=InternetExplorercs6Label=clappcalCountryOrRegion=[XX]cs7=xx.xxcs7Label=latitudecs8=xx.xxcs8Label=longitudeCustomer=customerstart=startrequestMethod=GETcn1=200proto=HTTPcat=REQ_PASSED