AWS WAF のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して AWS ウェブ アプリケーション ファイアウォール（WAF）のログを収集する方法について説明します。パーサーは、未加工の JSON 形式のログを Google SecOps UDM に準拠した構造化形式に変換します。IP アドレス、URL、ユーザー エージェント、セキュリティ ルールの詳細などのフィールドを抽出し、対応する UDM フィールドにマッピングして、一貫した表現と分析を実現します。

始める前に

*次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• AWS への特権アクセス

Amazon S3 バケットを構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で使用するために、バケットの名前とリージョンを保存します。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成した [ユーザー] を選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] として [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. 省略可: 説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [CSV ファイルをダウンロード] をクリックして、[アクセスキー] と [シークレット アクセスキー] を保存し、後で使用できるようにします。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションで、[権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索して選択します。
18. [次へ] をクリックします。
19. [権限を追加] をクリックします。

WAF ウェブ ACL（アクセス制御リスト）を作成する

AWS WAF をまだ設定していない場合は、WAF ウェブ ACL（アクセス制御リスト）を作成する必要があります。既存のセットアップの場合は、次の手順に進んでください。

1. AWS コンソールで [AWS WAF & Shield] を検索して選択します。
2. [ウェブ ACL を作成] をクリックします。
3. 次の設定を指定します。
   • 名前: ACL に名前を付けます（例: my-waf-web-acl）。
   • リージョン: WAF を適用するリージョンを選択します。
   • CloudWatch メトリクス: 指標の収集を有効にして、アクティビティとトリガーされたルールを追跡します。
4. 作成したら、ロギングを有効にするウェブ ACL を選択します。

AWS WAF ロギングを構成する方法

1. AWS WAF コンソールで、ウェブ ACL の [ロギング] タブに移動します。
2. [ロギングを有効にする] をクリックします。
3. ログの宛先として [Amazon S3] を選択します。
4. ログの保存先として、以前に作成した S3 バケットを選択します。
5. 省略可: ログを整理するためのログ接頭辞（waf-logs/ など）を構成します。
6. [保存] をクリックします。

S3 バケットの権限を確認する

AWS WAF がログを書き込むための適切な権限が S3 バケットに付与されていることを確認します。

1. S3 コンソールに移動します。
2. ログを保存するバケットを選択します。

3. [権限] タブで、次のバケット ポリシーを追加して、AWS WAF がログを書き込めるようにします。

   {
     "Version": "2012-10-17",
     "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
               "Service": "wafv2.amazonaws.com"
           },
           "Action": "s3:PutObject",
           "Resource": "arn:aws:s3:::your-log-bucket-name/*"
         }
     ]
   }
   

1. [保存] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに複数のフィードを構成するには、複数のフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: AWS WAF ログ）。
5. [ソースタイプ] として [Amazon S3] を選択します。
6. [ログタイプ] として [AWS WAF] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • リージョン: Amazon S3 バケットが配置されているリージョン。
   • S3 URI: バケット URI。
     • s3://your-log-bucket-name/waf-logs/
       • 次のように置き換えます。
         • your-log-bucket-name: バケットの実際の名前。
   • URI is a: [ディレクトリ] または [サブディレクトリを含むディレクトリ] を選択します。
   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

   • アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

   • シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

   • アセットの名前空間: アセットの名前空間。

   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• リージョン: Amazon S3 バケットが配置されているリージョン。
• S3 URI: バケット URI。
  • s3://your-log-bucket-name/
    • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
• URI is a: バケット構造に応じて、[ディレクトリ] または [サブディレクトリを含むディレクトリ] を選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

• アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

• シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。