Imperva SecureSphere에 대한 경보 조치 구성

방화벽 정책 경보에 대한 syslog 이벤트를 QRadar에 전달하도록 Imperva SecureSphere 어플라이언스를 구성하십시오.

이 태스크에 대한 정보

다음 목록을 사용하여 전달하려는 각 이벤트 유형의 메시지 필드에 메시지 문자열을 정의하십시오.
팁: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오. 사용자 정의 형식 열에 단일 행으로 붙여넣으십시오.
데이터베이스 경보 (V9.5 및 V10 - V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID=${Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp}|usrName=${Event.struct.user.user}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|Alert Description=${Alert.description}|Severity=${Alert.severity}|Immediate Action=${Alert.immediateAction}|SecureSphere Version=${SecureSphereVersion}
파일 서버 경보 (V9.5 및 V10 - V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID={Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp} |usrName=${Event.struct.user.username}|Domain=${Event.struct.user.domain}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|Alert Description=${Alert.description}|Severity=${Alert.severity} |Immediate Action=${Alert.immediateAction} |SecureSphere Version=${SecureSphereVersion}
웹 애플리케이션 방화벽 경보 (V9.5 및 V10 - V13)
LEEF:1.0|Imperva|SecureSphere|${SecureSphereVersion}|${Alert.alertType} ${Alert.immediateAction}|Alert ID=${Alert.dn}|devTimeFormat=[see note]|devTime=${Alert.createTime}|Alert type=${Alert.alertType}|src=${Alert.sourceIp}|srcPort=$!{Event.sourceInfo.sourcePort}|usrName=${Alert.username}|Application name=${Alert.applicationName}|dst=${Event.destInfo.serverIp}|dstPort=$!{Event.destInfo.serverPort}|Service name=${Alert.serviceName}|Event Description=${Alert.description}|Severity=${Alert.severity}|Simulation Mode=${Alert.simulationMode}|Immediate Action=${Alert.immediateAction}
모든 경보 (V6.2 및 V7 에서 V13 릴리스 Enterprise Edition으로)
DeviceType=ImpervaSecuresphere Alert|an=$!{Alert.alertMetadata.alertName}|at=SecuresphereAlert|sp=$!{Event.sourceInfo.sourcePort}|s=$!{Event.sourceInfo.sourceIp}|d=$!{Event.destInfo.serverIp}|dp=$!{Event.destInfo.serverPort}|u=$!{Alert.username}|g=$!{Alert.serverGroupName}|ad=$!{Alert.description}
팁: SecureSphere 어플라이언스에서 시간 형식을 구성할 수 있으므로 devTimeFormat 매개변수에는 값이 포함되지 않습니다. SecureSphere 어플라이언스의 시간 형식을 검토하고 적절한 시간 형식을 지정하십시오.

프로시저

  1. 관리 권한을 사용하여 SecureSphere에 로그인하십시오.
  2. 정책 탭을 클릭하십시오.
  3. 조치 세트 탭을 클릭하십시오.
  4. SecureSphere 디바이스가 생성하는 각 경보에 대한 이벤트를 생성하십시오.
    1. 경보에 대한 새 조치 세트를 작성하려면 새로 작성 을 클릭하십시오.
    2. 조치를 선택한 조치 목록으로 이동하십시오.
    3. 시스템 로그 조치 그룹을 펼치십시오.
    4. 조치 이름 필드에 경보 조치의 이름을 입력하십시오.
    5. 이벤트 유형에 적용 목록에서 모든 이벤트 유형을 선택하십시오.
    6. Syslog 호스트 필드에 이벤트를 전송할 QRadar 어플라이언스의 IP 주소를 입력하십시오.
    7. Syslog 로그 레벨 목록에서 INFO를 선택하십시오.
    8. 메시지 필드에서 이벤트 유형에 대한 메시지 문자열을 정의하십시오.
    9. 기능 필드에 syslog를 입력하십시오.
    10. 모든 이벤트에서 실행 선택란을 선택하십시오.
    11. 저장을 클릭하십시오.
  5. syslog 이벤트를 트리거하려면 각 방화벽 정책을 경보 조치와 연관시키십시오.
    1. 탐색 메뉴에서 정책 > 보안 > 방화벽 정책을 클릭하십시오.
    2. 경보 조치에 사용할 정책을 선택하십시오.
    3. 정책 탭을 클릭하십시오.
    4. 후속 조치 목록에서 새 조치를 선택하고 매개변수를 구성하십시오.
      팁: 설정된 연결을 차단됨, 인바운드 또는 아웃바운드로 구성하십시오. 적용 가능한 서비스 포트는 항상 허용하십시오.
    5. 정책이 사용으로 구성되고 적당한 서버 그룹에 적용되는지 확인하십시오.
    6. 저장을 클릭하십시오.