Collecter les journaux AWS WAF

Ce document explique comment collecter les journaux AWS Web Application Firewall (WAF) en configurant un flux Google Security Operations. L'analyseur transforme les journaux bruts au format JSON en un format structuré conforme à l'UDM Google SecOps. Il extrait des champs tels que les adresses IP, les URL, les user-agents et les détails des règles de sécurité, et les mappe aux champs UDM correspondants pour une représentation et une analyse cohérentes.

Avant de commencer

*Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• Accès privilégié à AWS

Configurer le bucket Amazon S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour une utilisation ultérieure.
3. Créez un utilisateur en suivant ce guide : Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif : ajoutez une balise de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Créer une LCA (liste de contrôle d'accès) WAF Web

Si vous n'avez pas encore configuré AWS WAF, vous devrez créer une LCA (liste de contrôle d'accès) WAF pour le Web. Si vous disposez déjà d'une configuration, vous pouvez passer à la procédure suivante.

1. Dans la console AWS, recherchez et sélectionnez AWS WAF & Shield.
2. Cliquez sur Create web ACL (Créer une ACL Web).
3. Définissez les paramètres suivants :
   • Nom : donnez un nom à la LCA (par exemple, my-waf-web-acl).
   • Région : choisissez la région dans laquelle vous souhaitez appliquer le WAF.
   • Métriques CloudWatch : activez la collecte de métriques pour suivre l'activité et les règles déclenchées.
4. Une fois la liste de contrôle d'accès Web créée, sélectionnez celle pour laquelle vous souhaitez activer la journalisation.

Configurer la journalisation AWS WAF

1. Dans la console AWS WAF, accédez à l'onglet Logging (Journalisation) de votre ACL Web.
2. Cliquez sur Activer la journalisation.
3. Sélectionnez Amazon S3 comme destination pour vos journaux.
4. Choisissez le bucket S3 créé précédemment pour stocker les journaux.
5. Facultatif : configurez un préfixe de journal pour organiser les journaux (par exemple, waf-logs/).
6. Cliquez sur Enregistrer.

Vérifier les autorisations pour le bucket S3

Assurez-vous que le bucket S3 dispose des autorisations appropriées pour qu'AWS WAF puisse y écrire des journaux.

1. Accédez à la console S3.
2. Sélectionnez le bucket dans lequel les journaux seront stockés.

3. Dans l'onglet Autorisations, ajoutez la stratégie de bucket suivante pour permettre à AWS WAF d'écrire des journaux :

   {
     "Version": "2012-10-17",
     "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
               "Service": "wafv2.amazonaws.com"
           },
           "Action": "s3:PutObject",
           "Resource": "arn:aws:s3:::your-log-bucket-name/*"
         }
     ]
   }
   

1. Cliquez sur Enregistrer.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux > Ajouter un flux
• Plate-forme de contenu> Packs de contenu> Premiers pas

Configurer le flux AWS WAF

1. Cliquez sur le pack Amazon Cloud Platform.
2. Recherchez le type de journal AWS WAF.

3. Spécifiez les valeurs des champs suivants.

   • Type de source : Amazon SQS V2
   • Nom de la file d'attente : nom de la file d'attente SQS à partir de laquelle lire les données
   • URI S3 : URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.

   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

   • Âge maximal des fichiers : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.

   • ID de clé d'accès à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 20 caractères.

   • Clé d'accès secrète à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 40 caractères.

   Options avancées

   • Nom du flux : valeur préremplie qui identifie le flux.
   • Espace de noms de l'élément : espace de noms associé au flux.
   • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

4. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.