QRadar との通信のための Imperva Incapsula の構成

Imperva Incapsula からイベントを収集するには、Python スクリプトが必要です。

スクリプト、構成ファイル、および手順は、 GitHub Web サイト (https://github.com/imperva/incapsula/logs-downloader) から入手できます。

手順

  1. apt-get や pip などのパッケージ・マネージャーを使用して、スクリプトの依存関係をインストールします。 スクリプトの依存関係は、QRadar ではない中間サーバーにインストールする必要があります。 以下の依存関係については、使用しているオペレーティング・システムに応じて、追加のモジュールが必要になる場合があります。
    • M2Crypto
    • loggerglue
    • crypto.cipher
  2. スクリプトを実行してログ・イベントを収集します。
    1. 新しいローカル・ディレクトリーを作成するかデフォルトのディレクトリーを使用して、スクリプト構成ファイルを保管します。 このローカル・ディレクトリーには、Settings.Config ファイルが格納されます。 デフォルトのディレクトリーは /etc/incapsula/logs/config です。 Settings.Config ファイルを取得するには、 GitHub Web サイト (https://github.com/imperva/incapsula-logs-downloader) にアクセスします。
    2. Settings.Config 構成ファイルのパラメーター値を構成します。
      表 1. Settings.Config 構成ファイルのパラメーター値
      パラメーター 値
      APIID 自分の API ID。
      APIKEY 自分の API 鍵。
      SAVE_LOCALLY 「Yes」または「No」の値。この値により、処理後のログ・ファイルを Incapsula で保持するかどうかが決まります。 この値を「No」に設定すると、処理後のファイルは削除されます。

      デフォルトは YES です。
      PROCESS_DIR

      抽出されたログが Incapsula によって自動的に保存されるディレクトリー。

      デフォルトは以下です。 /tmp/processed/
      BASEURL

      Incapsula クラウド内のログ・リポジトリーの URL。 この URL は、「Incapsula 管理コンソールの設定 (Incapsula Administration Console Settings)」ウィンドウに「ログ・サーバーの URL (Log Server URL)」フィールドとして表示されます。
      USEPROXY プロキシーを使用してファイルをダウンロードする場合は YES を指定します。

      デフォルトは NO です。
      PROXYSERVER

      プロキシー・サーバーの使用を選択した場合は、プロキシー URLを入力するときに <https://1.1.1.1:8080> の形式を使用します。
      SYSLOG_ENABLE

      YESと入力します。

      値として「Yes」または「No」を入力することにより、Syslog を使用して Incapsula からファイルを送信するかどうかが決まります。

      デフォルトは YES です。
      SYSLOG_ADDRESS QRadar の IP アドレス
      SYSLOG_PORT 514
      USE_CUSTOM_CA_FILE

      サービスの証明書がバンドル内に含まれていない場合、デフォルト値は NO になります。
      CUSTOM_CA_FILE カスタム証明書ファイルのファイル・パス。
  3. 以下のコマンドを実行して、LogsDownloader スクリプトを開始し、ログを取得します。
    python LogsDownloader.py -c <path_to_config_folder> -l <path_to_system_logs_folder> -v <system_logs_level>

    -c、-l、-v の各パラメーターはオプションです。 パラメーター値を指定しなかった場合は、以下の表に示すデフォルト値が使用されます。

    表 2. LogsDownloader.py のパラメーター値
    パラメーター 値
    <path_to_config_folder> デフォルトは以下です。

    /etc/incapsula/logs/config
    <path_to_system_logs_folder>

    <path_to_system_logs_folder> は、 LogsDownloader.py スクリプト出力ログ・ファイルが保管されているフォルダーです。 このパラメーターは、Incapsula のログを参照しません。

    デフォルトは以下です。 /var/log/incapsula/logsDownloader/
    <system_logs_level>

    スクリプト出力ログのロギング・レベル。 サポートされる値は、info、debug、error です。

    デフォルト値は infoです。
    注:
    • SAVE_LOCALLY パラメーターの値を YES に設定すると、ダウンロードしたログ・ファイルが PROCESS_DIR ディレクトリーに保存されます。
    • ファイルがダウンロードされると、スクリプトは最後に収集したファイルの名前を LastKnownDownloadedFileId.txt として <path_to_config_folder> ディレクトリーに保存します。 すべての履歴ログを収集する場合は、このファイルを削除する必要があります。
    • 仲介サーバーのセットアップについて詳しくは、Imperva Incapsula の「 Web Protection-Log Integration 」(https://docs.imperva.com/bundle/cloud-application-security/page/settings/log-integration.htm) を参照してください。