Mengumpulkan log AWS WAF

Dokumen ini menjelaskan cara mengumpulkan log AWS Web Application Firewall (WAF) dengan menyiapkan feed Google Security Operations. Parser mengubah log berformat JSON mentah menjadi format terstruktur yang sesuai dengan UDM Google SecOps. Proses ini mengekstrak kolom seperti alamat IP, URL, agen pengguna, dan detail aturan keamanan, lalu memetakannya ke kolom UDM yang sesuai untuk representasi dan analisis yang konsisten.

Sebelum memulai

*Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS

Mengonfigurasi bucket Amazon S3

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Nama dan Region bucket untuk digunakan nanti.
3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih Pengguna yang dibuat.
5. Pilih tab Kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
12. Klik Selesai.
13. Pilih tab Izin.
14. Klik Tambahkan izin di bagian Kebijakan izin.
15. Pilih Tambahkan izin.
16. Pilih Lampirkan kebijakan secara langsung.
17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
18. Klik Berikutnya.
19. Klik Add permissions.

Membuat ACL web WAF (Daftar Kontrol Akses)

Jika belum menyiapkan AWS WAF, Anda harus membuat ACL web WAF (Daftar Kontrol Akses). Untuk penyiapan yang sudah ada, Anda dapat langsung melanjutkan ke prosedur berikutnya.

1. Di Konsol AWS, telusuri dan pilih AWS WAF & Shield.
2. Klik Create web ACL.
3. Berikan setelan berikut:
   • Nama: Beri nama ACL (misalnya, my-waf-web-acl).
   • Region: Pilih region tempat Anda ingin menerapkan WAF.
   • Metrik CloudWatch: Aktifkan pengumpulan metrik untuk melacak aktivitas dan aturan yang dipicu.
4. Setelah dibuat, pilih ACL web yang ingin Anda aktifkan pencatatannya.

Cara mengonfigurasi Logging AWS WAF

1. Di AWS WAF Console, buka tab Logging di ACL web Anda.
2. Klik Aktifkan Logging.
3. Pilih Amazon S3 sebagai tujuan untuk log Anda.
4. Pilih bucket S3 yang dibuat sebelumnya untuk menyimpan log.
5. Opsional: konfigurasikan awalan log untuk mengatur log (misalnya, waf-logs/).
6. Klik Simpan.

Memverifikasi Izin untuk Bucket S3

Pastikan bucket S3 memiliki izin yang tepat agar AWS WAF dapat menulis log.

1. Buka Konsol S3.
2. Pilih bucket tempat log akan disimpan.

3. Di tab Permissions, tambahkan Kebijakan Bucket berikut untuk mengizinkan AWS WAF menulis log:

   {
     "Version": "2012-10-17",
     "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
               "Service": "wafv2.amazonaws.com"
           },
           "Action": "s3:PutObject",
           "Resource": "arn:aws:s3:::your-log-bucket-name/*"
         }
     ]
   }
   

1. Klik Simpan.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

• Setelan SIEM > Feed > Tambahkan Baru
• Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed AWS WAF

1. Klik paket Amazon Cloud Platform.
2. Cari jenis log AWS WAF.

3. Tentukan nilai di kolom berikut.

   • Jenis Sumber: Amazon SQS V2
   • Nama Antrean: Nama antrean SQS yang akan dibaca
   • URI S3: URI bucket.
     • s3://your-log-bucket-name/
       • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.

   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.

   • ID Kunci Akses Antrean SQS: Kunci akses akun yang berupa string alfanumerik 20 karakter.

   • Kunci Akses Rahasia Antrean SQS: Kunci akses akun yang berupa string alfanumerik 40 karakter.

   Opsi lanjutan

   • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

4. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.