Imperva SecureSphere のアラート・アクションの構成

ファイアウォール・ポリシー・アラートの syslog イベントを QRadarに転送するように Imperva SecureSphere アプライアンスを構成します。

このタスクについて

次のリストを使用して、転送するイベント・タイプごとに「メッセージ」フィールドにメッセージ・ストリングを定義します。
ヒント: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字をすべて削除してください。 カスタム・フォーマット列に単一行として貼り付けます。
データベース・アラート (V9.5 および V10 から V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID=${Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp}|usrName=${Event.struct.user.user}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|Alert Description=${Alert.description}|Severity=${Alert.severity}|Immediate Action=${Alert.immediateAction}|SecureSphere Version=${SecureSphereVersion}
ファイル・サーバー・アラート (V9.5 および V10 から V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID={Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp} |usrName=${Event.struct.user.username}|Domain=${Event.struct.user.domain}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|Alert Description=${Alert.description}|Severity=${Alert.severity} |Immediate Action=${Alert.immediateAction} |SecureSphere Version=${SecureSphereVersion}
Web アプリケーション・ファイアウォール・アラート (V9.5 および V10 から V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID=${Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp}|srcPort=$!{Event.sourceInfo.sourcePort}|usrName=${Alert.username}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|dstPort=$!{Event.destInfo.serverPort}|Service name=${Alert.serviceName}|Event Description=${Alert.description}|Severity=${Alert.severity}|Simulation Mode=${Alert.simulationMode}|Immediate Action=${Alert.immediateAction}
すべてのアラート (V6.2 および V7 から V13 リリースの Enterprise Edition)
DeviceType=ImpervaSecuresphere Alert|an=$!{Alert.alertMetadata.alertName}|at=SecuresphereAlert|sp=$!{Event.sourceInfo.sourcePort}|s=$!{Event.sourceInfo.sourceIp}|d=$!{Event.destInfo.serverIp}|dp=$!{Event.destInfo.serverPort}|u=$!{Alert.username}|g=$!{Alert.serverGroupName}|ad=$!{Alert.description}
ヒント: SecureSphere アプライアンスで時刻形式を構成できるため、 devTimeFormat パラメーターには値が含まれません。 SecureSphere アプライアンスの時刻形式を確認し、適切な時刻形式を指定します。

手順

  1. 管理特権を使用して、SecureSphere にログインします。
  2. 「ポリシー」 タブをクリックします。
  3. 「アクション・セット」 タブをクリックします。
  4. SecureSphere デバイスが生成する各アラートに対して、次のようにイベントを生成します。
    1. アラートの新規アクション・セットを作成するには、 「新規」 をクリックします。
    2. アクションを 「選択したアクション」 リストに移動します。
    3. 「システム・ログ」 アクション・グループを展開します。
    4. 「アクション名」 フィールドに、アラート・アクションの名前を入力します。
    5. 「イベント・タイプに適用 (Apply to event type)」 リストから、 「任意のイベント・タイプ (Any event type)」を選択します。
    6. 「Syslog ホスト (Syslog host)」 フィールドに、イベントの送信先となる QRadar アプライアンスの IP アドレスを入力します。
    7. 「Syslog ログ・レベル」 リストで、 「INFO」を選択します。
    8. 「メッセージ」 フィールドで、イベント・タイプのメッセージ・ストリングを定義します。
    9. 「ファシリティー (Facility)」 フィールドに、 syslogと入力します。
    10. 「すべてのイベントで実行」 チェック・ボックスを選択します。
    11. 「保存」をクリックします。
  5. Syslog イベントをトリガーするには、次のように、各ファイアウォール・ポリシーをアラート・アクションに関連付けます。
    1. ナビゲーション・メニューから、 「ポリシー」>「セキュリティー」>「ファイアウォール・ポリシー」をクリックします。
    2. アラート・アクションに使用するポリシーを選択します。
    3. 「ポリシー」 タブをクリックします。
    4. 「フォロー・アクション」 リストから、新規アクションを選択し、パラメーターを構成します。
      ヒント: 確立された接続は、ブロック、インバウンド、またはアウトバウンドのいずれかとして構成してください。 該当するサービス・ポートを常に許可します。
    5. ポリシーが使用可能として構成され、適切なサーバー・グループに適用されていることを確認します。
    6. 「保存」をクリックします。