Technische gids: Web App Shield-koppelingen

Plan koppelingen voor logs, respons, configuratie, identiteit en eventuele databankbeveiligingsproducten. Valideer voorbeelden voor het gekozen product, de versie en licentie.

Begin bij het verbindingsoverzicht en kies daarna de sectie voor uw taak. Elke sectie bevat een interface of voorbeeldinstelling; controleer vereisten en grenzen voor gebruik.

Verbindingsoverzicht →

BeschermingPer dienstBevestig product, sites en functies.
DatabankenProductafhankelijkControleer engines voor de gekozen versie.
LogsMeten bij testsControleer vertraging, volledigheid en fouten.
ToegangBeperkte rechtenConfigureer inloggegevens en certificaatrollen.

1 Beveiligingsarchitectuur op twee vlakken

Onderscheid webverkeerbescherming van apart gelicentieerde databankbeveiliging. Kies een component om de geplande interface en het formaat te bekijken.

Vlak- en componentinspector

Kies een vlak, dan een component, om zijn functie, uitgangsprotocol en datamodel te zien.

Topologie van het Edge Application Plane150+ wereldwijde PoP’s
Cloud WAF-kernAppSec

Verkeersinspectie in één doorgang over 150+ PoP’s, die de OWASP Top 10, aangepaste regels en zero-daydreigingen inline neutraliseert.

Primair uitgangsprotocol
HTTPS / TLS 1.3
Datamodel / schema
CEF / LEEF / JSON

2 Telemetrie-uitvoer en protocollen

Kies ondersteund kanaal, formaat en bestemming. De vertragingsgrafiek is een voorbeeld: meet volledige levering en de tijd van begin tot einde tijdens acceptatie.

Latentie per leveringskanaal

Gemiddelde logtransportlatentie, in seconden — lager is sneller.

  • Splunk HEC12 s
  • Kafka-streaming1 s
  • Syslog TLS3 s
  • S3-objectpush45 s
  • SIEM pull-API180 s

Conclusie: pushmechanismen (Splunk HEC, Kafka) nemen op in minder dan 15 seconden; API-polling brengt batchvertraging en rate limiting (HTTP 429) mee.

Veldmapping per logformaat

CEF:0|Imperva|Incapsula|1.0|20001|SQL Injection Attempt|7|cs12=BLOCK cs17=CVE-2023-1234 fileType=SQLi filePermission=Rule_1092 c-ip=198.51.100.45 cn1=403 cs-sessionid=sess_8893412a

Gemapte leveranciersextensievelden

  • cs12 / cs-responseactionToegepaste eindbeslissing van de mitigatie (PASSED, BLOCK, CAPTCHA).
  • cs17 / cs-cveCVE gecorreleerd door Threat Research.
  • fileType / filePermissionAanvalsclassificatie (SQLi, XSS) en id van de getriggerde handtekening.
  • c-ip / cn1Bron-IP van de client en teruggestuurde HTTP-statuscode.

Hybride cryptografische envelop

De PoP’s comprimeren en versleutelen ruwe logs symmetrisch, en wikkelen de sleutel in uw publieke RSA-sleutel.

  1. Compressie van de payloadRuwe logs worden aan de PoP in microbatches gecomprimeerd.
  2. Symmetrische AES-256-versleutelingElke batch wordt versleuteld met een gegenereerde symmetrische sessiesleutel.
  3. RSA-sleutelwrappingDe sessiesleutel wordt versleuteld met de door de onderneming geleverde publieke RSA-sleutel.
  4. MD5-integriteitscontroleDe bestandsheader draagt een MD5-checksum om manipulatie te detecteren.

3 SIEM en security data lakes

Kies het onderzoeksplatform en controleer connector, gegevensmapping en toegang. De stappen zijn configuratievoorbeelden, geen bewijs van een werkende koppeling.

Microsoft Sentinel-integratiepipeline

Serverloze extractiepipeline: een Azure Function App in de tenant van de klant haalt logs op via de Imperva SIEM-API en normaliseert ze in Log Analytics.

  1. Timertrigger en Key Vault-opzoekingDe Azure Function draait volgens schema en haalt de API-referenties en de RSA-privésleutel uit Azure Key Vault.
  2. API-pull en ontsleutelingMaakt verbinding met de Imperva SIEM-API over TLS, downloadt de gecomprimeerde logbatch en ontsleutelt ze in het geheugen.
  3. Ingestie in Log AnalyticsStuurt de genormaliseerde CEF-records naar de Azure Monitor Ingestion API, gericht op de Log Analytics-werkruimte.
  4. Normalisatie door de ASIM-parserDe ImpervaWAFCloud-parser mapt ruwe CEF-velden op het CommonSecurityLog-schema voor hunting over workloads heen.

Technische specificaties

Integratiepatroon
Azure Function App (Python), timertrigger
Normalisatiemodel
ASIM (CommonSecurityLog-tabel)
Authenticatie
API-id + sleutel; RSA-privésleutel in Key Vault
Telemetriebereik
Cloud WAF, bots, ATO, DDoS, auditlogs

4 Bidirectionele SOAR en geautomatiseerde respons

Spreek triggers en goed te keuren acties af. Voorbeeldberichten tonen een structuur; valideer authenticatie, herpogingen en toegelaten acties voor gebruik.

Simulator van het incidentresponsplaybook

Kies een aanval om detectie, webhookverzending, verrijking en afdwinging te doorlopen.

  1. Stap 1: DetectieAttack Analytics-engineAttack Analytics bundelt een piek van 45.000 verzoeken/s uit 12 landen tot één actief L7-DDoS-narratief.Engine: Attack Analytics
  2. Stap 2: VerzendingUitgaande webhookDe uitgaande HTTPS-webhook vuurt met zijn gedeelde-geheimtoken.Protocol: HTTPS-webhook
  3. Stap 3: VerrijkingSOAR-playbookqueryHet Cortex XSOAR-playbook bevraagt de Imperva REST API voor de meest aangevallen URL-paden.Doel: SOAR-platform
  4. Stap 4: AfdwingingDynamische beleidswijzigingEen API-commando schakelt de WAF-regel van alleen-alarm naar een actieve dynamische JavaScript-challenge.Status: gemitigeerd
Payload van de uitgaande webhookTLS 1.3 · gedeeld geheim geverifieerd
{
  "event_type": "WebsiteDdosStart",
  "account_id": "10023456",
  "site_name": "checkout.enterprise.com",
  "threat_level": "CRITICAL",
  "rps_peak": 45000,
  "mitigation_method": "Dynamic Adaptive Challenge"
}

5 DevSecOps, IaC en CI/CD

Beoordeel en test configuratie voor toepassing. Gegenereerde code is een beginvoorbeeld; bevestig versies, parameters, inloggegevens en herstelpad.

Terraform HCL-generator

Stel de parameters in; de HCL rechts volgt.

imperva/incapsula Terraform-provider (v3.39.0)Declaratieve IaC
resource "incapsula_site_v3" "production_site" {
  name       = "api.enterprise.com"
  type       = "PUBLIC_CLOUD"
  cloud_type = "AWS"
}

resource "incapsula_data_centers_configuration" "dc_config" {
  site_id = incapsula_site_v3.production_site.id

  data_center {
    name       = "primary_origin"
    ip_or_host = "10.0.12.44"
    server {
      ip     = "10.0.12.44"
      active = true
    }
  }
}

resource "incapsula_waf_security_rule" "custom_protection" {
  site_id     = incapsula_site_v3.production_site.id
  rule_action = "api.rule_action.block"
  name        = "Enforce-Security-Policy"
  filter      = "Header.User-Agent == 'BadBotEngine' | Header.Authorization == ''"
}

Site-aanmaak, SSL-certificaatvalidatie en regelprovisionering via Terraform beheren haalt configuratiedrift uit de CI/CD-pipeline.

OpenAPI-schemasynchronisatie en positieve beveiliging

In de uitrolpipeline (GitLab CI, GitHub Actions) pushen ontwikkelaars de bijgewerkte OpenAPI (Swagger)-specificatie via de REST API naar de Imperva API Security-module.

  • Dwingt aan de rand geldige routes, HTTP-methoden en parametertypes af.
  • Detecteert schaduw-API’s: ongedocumenteerde endpoints die actief zijn.
  • Identificeert zombie-API’s: afgeschreven routes die nog verkeer ontvangen.

RASP in-app-workloadsensoren

Runtime Application Self-Protection (RASP)-microagents worden in de applicatieruntime uitgerold (JVM, .NET CLR, Node.js, Kubernetes-pods) zonder netwerkregels aan de rand.

  • Bewaken geheugenbuffers, bestandssysteemtoegang en ruwe databasequery’s.
  • Neutraliseren zero-dayexploits (deserialisatie, SQL-injectie) in realtime.
  • Mitigatie in de thread, zonder omweg naar de rand.

6 Identiteitsfederatie, bedrijfs-PKI en mTLS op twee niveaus

Scheid beheerderaanmelding van transportauthenticatie. Controleer productondersteuning voor identiteit en certificaten, inclusief beide verbindingen bij wederzijdse TLS.

mTLS-flow op twee niveaus

Kies een stap van de handshake voor de mechaniek van clientauthenticatie en headerinjectie.

Niveau 1: mTLS client-naar-ImpervaIdentiteitsingang met hoge zekerheid

Ontworpen voor mobiele bankapplicaties, B2B-API’s en IoT-netwerken. De client zet een wederzijdse TLS 1.3-handshake op met de dichtstbijzijnde Imperva-PoP. De PoP controleert de intrekkingslijsten (CRL’s) en authenticeert de certificaatautoriteit van de client.

Geïnjecteerde doorstuurheader:

X-Imperva-Client-Cert-SAN: SubjectAltName: email:api-client@enterprise.com, CN=MobileAppClientV2

SAML 2.0-identiteitsfederatie

Federeert administratieve authenticatie met Microsoft Entra ID, Okta en ADFS. Attribuutassertions mappen beveiligingsgroepen uit de bedrijfsdirectory op fijnmazige RBAC-niveaus en op de Data Level Security (DLS)-compliancebereiken van de Data Security Fabric.

Cryptografische ondersteuning controleren

Bevestig protocollen, certificaten en algoritmen per verbinding in actuele documentatie. Een klassiek encryptielabel bewijst geen postkwantumfunctie.

7 Data Security Fabric en het databasepark

Databankaudit heeft een aparte productscope. Controleer engines, licenties, rechten en exports in de actuele leveranciersdocumentatie.

Verdeling van het databasebereik

Opslagcategorieën bewaakt over architecturen met en zonder agent.

  • Relationeel (Oracle, SQL Server)45 %
  • Cloud-DBaaS (RDS, Azure SQL)25 %
  • Big data (Snowflake, BigQuery)18 %
  • NoSQL (MongoDB, Cassandra)12 %

Kerncapaciteit: de sonargd-engine van de DSF Hub draait user and entity behaviour analytics (UEBA) om anomalieën van bevoorrechte gebruikers en schemamanipulatie te detecteren zonder de SIEM-licentie te belasten.

Catalogus van ondersteunde databases

  • Oracle (RAC en Exadata)Agent / agentloos
    Bewaakt lokale IPC in gedeeld geheugen en cloudinstanties.
  • Microsoft SQL ServerAgent / agentloos
    Volledige auditopvolging voor SQL Server on-premise en Azure SQL.
  • Amazon RDS en AuroraAgentloze gateway
    Neemt CloudWatch-auditstromen op zonder software op de host.
  • PostgreSQL en AlloyDBAgent / agentloos
    Diepe SQL-parsing over open-source en enterprise PostgreSQL.
  • SnowflakeAgentloze gateway
    Auditverzameling voor het clouddatawarehouse van de onderneming.
  • MongoDB en CouchbaseAgentloos / agent
    Bewaking van JSON-query’s op documentdatabases en UEBA-analyse.
  • Google BigQueryAgentloze gateway
    Auditingestie van het serverloze datawarehouse via GCP-API’s.
  • Apache CassandraAgentgateway
    Activiteitsopvolging van de gedistribueerde NoSQL-ring.
  • SAP HANAAgentgateway
    Audit van de in-memory database en afdwinging van beleid.
  • Databricks en HadoopAgentloze gateway
    Query-audit van de data lake en preventie van dataverlies.

Kafka-streamingbroker en uitvoer naar business intelligence

Naast het verschepen van logs naar de SIEM werkt de DSF Hub als databroker voor de onderneming: de ingebouwde rsyslog-kafka-engine streamt verrijkte auditrecords naar Apache Kafka- of Azure Event Hubs-topics, terwijl Tableau en Power BI via ODBC/JDBC verbinden voor meerjarige compliancerapportering.

Kafka-uitvoer onder de secondeDatabasetelemetrie in JSON-formaat naar Apache Kafka voor realtime fraude-engines.
ODBC / JDBC-connectiviteitCompliance-verantwoordelijken bevragen de historische toegangssporen rechtstreeks vanuit Power BI en Tableau.
Koude kluis op lange termijnGepartitioneerde, gecomprimeerde auditbestanden geëxporteerd naar S3 of Blob voor reglementaire bewaartermijnen van zeven jaar (SOX, PCI).

8 Integratiematrix en roadmap

Plan interfaces, richtingen en formaten met de matrix. Spreek acceptatiechecks en eigenaarschap per fase af; voorbeeldwaarden zijn geen diensttoezeggingen.

Architecturale integratiematrix

DomeinDoelsysteemRichtingProtocol / interfaceDataformaatArchitecturaal doel
SIEMSplunk Enterprise / CloudUitgaandHTTPS / HEC APIJSON, CEFIngestie van ruwe beveiligingsevents en Splunk CIM-mapping
SIEMMicrosoft SentinelInkomendREST API (Azure Function)CEF (ASIM)Geautomatiseerd ophalen van logs en correlatie met Defender-telemetrie
SIEMIBM QRadarUitgaandSyslog over TLS (TCP 6514)LEEFThreat-intelligencefeed en Sense Analytics-offenses
SIEMElastic SecurityInkomendFilebeat / S3 pluginJSON (ECS)Logopslag in Elasticsearch voor threat hunting
StorageAmazon S3UitgaandS3 REST object APICompressed JSON / CEFVersleutelde koude opslag en ontkoppelde data-lakefeeds
SOARPalo Alto Cortex XSOARBidirectioneelREST API / webhooksJSONGeautomatiseerd IP-blokkeren, sessie-invalidatie, triage
SOARSplunk SOAR / ChronicleBidirectioneelREST API / webhooksJSONGeautomatiseerde playbooks voor dreigingsindamming
IaCHashiCorp TerraformInkomendProvider API (imperva/incapsula)HCL / JSON stateDeclaratieve provisionering van sites, regels en SSL-certificaten
CI/CDGitLab / GitHub ActionsInkomendREST API / OpenAPIJSON / YAMLSynchronisatie van positieve beveiliging en ontdekking van schaduw-API’s
WorkloadKubernetes / pod RASPIn-appRASP micro-sensorNative system callsNeutralisatie van zero-dayexploits in de runtime
ITSMServiceNowBidirectioneelServiceNow Table APIJSONGeautomatiseerde aanmaak van SIR-incidenten en CMDB-synchronisatie
ITSMJira Service ManagementUitgaandJira REST APIJSONOpvolging van scriptautorisaties voor PCI DSS-compliance
IdentityOkta / Entra IDInkomendSAML 2.0 / SCIMXML assertionsAdministratieve SSO en RBAC-rolmapping
PKIThales CipherTrustBidirectioneelNative registration tokenCrypto objectsLevenscyclusbeheer van databasesleutels en tokenisatie
PKIGlobalSign CAInkomendAutomated ACME / DNSX.509 certificatesUitgifte en vernieuwing van SSL/TLS-certificaten aan de rand
SASECato NetworksPeeringRemote port forwardingEncapsulated TCP/IPBeveiliging van private origin-bronnen zonder publieke IP’s
StreamingApache KafkaUitgaandKafka protocol / rsyslogJSON / audit logsDatabase-auditstreaming met hoge doorvoer naar analytics
BITableau / Power BIInkomendODBC / JDBCSQL tabularMeerjarige compliance-auditrapportering

Implementatie in vier fasen

  1. Fase 1Fundament identiteit en PKI
    • SAML 2.0 SSO-federatie
    • mTLS-originschild op twee niveaus
    • GlobalSign ACME SSL-opzet
    • Cryptografische PQC-voorbereiding
  2. Fase 2Telemetrie en SOC-activering
    • Pushpipelines naar objectopslag
    • SIEM-parsers (ASIM / CIM)
    • Uitgaande webhooks voor SOAR
    • Realtime ChatOps-alarmen
  3. Fase 3DevSecOps en beleid als code
    • Uitrol van de Terraform-provider
    • OpenAPI-schemasynchronisatie in CI/CD
    • RASP in-app-workloadsensoren
    • Automatische ontdekking van schaduw-API’s
  4. Fase 4Hybride DSF-data-uitbreiding
    • DSF Hub-kerninfrastructuur
    • Agentloze cloudgateways
    • Uitrol van hostagents on-premise
    • Kafka-streaming onder de seconde

Bron: Thales Cyber Security — Enterprise Security & Data Fabric Ecosystem. Leverancierscijfers zoals gepubliceerd. ALT-F1 is de Belgische partner voor Imperva: wij openen het account, stemmen de regels af en bouwen deze integraties met uw teams. Het originele document wordt bewaard in de siterepository (docs/imperva/).

Vraag hoe dit op uw organisatie past Web Application Security

Afkortingen die hier worden gebruikt: WAF, DDoS, API, DNS, CDN, SIEM, SOAR, TLS
WAF — Web Application Firewall
Een filter dat verzoeken naar uw website controleert en verdachte verzoeken tegenhoudt vóór de applicatie.
DDoS — Distributed Denial of Service
Een aanval die een website of dienst vanuit veel bronnen met verkeer overspoelt.
API — Application Programming Interface
Een afgesproken manier waarop een applicatie gegevens of acties bij een andere applicatie opvraagt.
DNS — Domain Name System
Verbindt een naam zoals alt-f1.be met het adres van de dienst die een bezoeker wil bereiken.
CDN — Content Delivery Network
Een netwerk dat kopieën van website-inhoud dichter bij bezoekers kan bewaren om ze sneller te leveren.
SIEM — Security Information and Event Management
Verzamelt beveiligingslogboeken uit verschillende systemen om ze te doorzoeken en gebeurtenissen te verbinden.
SOAR — Security Orchestration, Automation and Response
Verbindt beveiligingstools en automatiseert terugkerende stappen, zoals een dossier openen of een adres blokkeren.
TLS — Transport Layer Security
Versleutelt een verbinding tussen systemen, bijvoorbeeld tussen een browser en een website.

Alle afkortingen en hun uitleg →