Coletar registros do AWS WAF

Neste documento, explicamos como coletar os registros do firewall de aplicativos da Web (WAF) da AWS configurando um feed do Google Security Operations. O analisador transforma registros brutos formatados em JSON em um formato estruturado de acordo com a UDM do Google SecOps. Ele extrai campos como endereços IP, URLs, user agents e detalhes de regras de segurança, mapeando-os para os campos correspondentes da UDM para representação e análise consistentes.

Antes de começar

*Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Acesso privilegiado à AWS

Configurar o bucket do Amazon S3

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
2. Salve o Nome e a Região do bucket para uso posterior.
3. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
4. Selecione o usuário criado.
5. Selecione a guia Credenciais de segurança.
6. Clique em Criar chave de acesso na seção Chaves de acesso.
7. Selecione Serviço de terceiros como o Caso de uso.
8. Clique em Próxima.
9. Opcional: adicione uma tag de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para uso posterior.
12. Clique em Concluído.
13. Selecione a guia Permissões.
14. Clique em Adicionar permissões na seção Políticas de permissões.
15. Selecione Adicionar permissões.
16. Selecione Anexar políticas diretamente.
17. Pesquise e selecione a política AmazonS3FullAccess.
18. Clique em Próxima.
19. Clique em Adicionar permissões

Criar uma ACL (lista de controle de acesso) da Web do WAF

Se você ainda não configurou o AWS WAF, crie uma ACL da Web do WAF (lista de controle de acesso). Para configurações atuais, pule para o próximo procedimento.

1. No console da AWS, pesquise e selecione AWS WAF & Shield.
2. Clique em Criar ACL da Web.
3. Forneça as seguintes configurações:
   • Nome: dê um nome à ACL (por exemplo, my-waf-web-acl).
   • Região: escolha a região em que você quer aplicar o WAF.
   • Métricas do CloudWatch: ative a coleta de métricas para monitorar a atividade e as regras acionadas.
4. Depois de criada, selecione a ACL da Web para ativar o registro em registros.

Como configurar o registro em log do AWS WAF

1. No console do AWS WAF, acesse a guia Logging da ACL da Web.
2. Clique em Ativar a geração de registros.
3. Selecione Amazon S3 como o destino dos seus registros.
4. Escolha o bucket do S3 criado anteriormente para armazenar os registros.
5. Opcional: configure um prefixo de registro para organizar os registros (por exemplo, waf-logs/).
6. Clique em Salvar.

Verificar as permissões do bucket do S3

Verifique se o bucket do S3 tem as permissões adequadas para o AWS WAF gravar registros.

1. Acesse o console do S3.
2. Selecione o bucket em que os registros serão armazenados.

3. Na guia Permissões, adicione a seguinte política de bucket para permitir que o AWS WAF grave registros:

   {
     "Version": "2012-10-17",
     "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
               "Service": "wafv2.amazonaws.com"
           },
           "Action": "s3:PutObject",
           "Resource": "arn:aws:s3:::your-log-bucket-name/*"
         }
     ]
   }
   

1. Clique em Salvar.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed do AWS WAF

1. Clique no pacote Amazon Cloud Platform.
2. Localize o tipo de registro AWS WAF.

3. Especifique os valores nos campos a seguir.

   • Tipo de origem: Amazon SQS V2
   • Nome da fila: o nome da fila do SQS de onde ler.
   • URI do S3: o URI do bucket.
     • s3://your-log-bucket-name/
       • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.

   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.

   • ID da chave de acesso à fila do SQS: uma chave de acesso à conta que é uma string alfanumérica de 20 caracteres.

   • Chave de acesso secreta da fila do SQS: uma chave de acesso da conta que é uma string alfanumérica de 40 caracteres.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Namespace do recurso: namespace associado ao feed.
   • Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

4. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.