このトピックでは、Cloud Firewall のログに関するよくある質問にお答えします。
ログ分析ストレージの削減方法
ログの保存期間の短縮、配信するログタイプの削減、OSS バケットへのログの転送、または保存済みログの消去によって、ログストレージの使用量を削減できます。
-
ログの保存期間の短縮
ログ分析を有効にすると、デフォルトのログ保存期間は 180 日になります。これほど長い保存期間が必要ない場合は、期間を短縮できます。詳細については、「ログの保存期間の変更」をご参照ください。
-
配信するログタイプの削減
Cloud Firewall は、デフォルトですべてのログタイプの配信を有効にします。ストレージを削減するには、必要なログタイプのみを配信してください。詳細については、「収集するログタイプの設定」をご参照ください。
-
OSS バケットへの定期的なログ転送
大量のログが生成され、すべてを保持する必要がある場合は、OSS バケットに転送することを推奨します。詳細については、「OSS データ転送タスクの作成 (新バージョン)」をご参照ください。
-
ログの消去
不要になった大量のテストログがある場合は、消去することを推奨します。詳細については、「ログストレージ容量の管理」をご参照ください。
ログをサードパーティシステムにエクスポートできますか？
はい。ログ分析機能を使用してログをエクスポートし、エクスポートしたログファイルをセキュリティオペレーションセンター (SOC) などのサードパーティシステムに取り込むことができます。
ログの量に応じてエクスポート方法を選択してください。
-
ログの量が少ない場合
ログ分析のダウンロード機能を使用してログをローカルに保存し、サードパーティシステムにアップロードできます。ログのダウンロード方法の詳細については、「ログのエクスポート」をご参照ください。
-
ログの量が多い場合
Simple Log Service (SLS) コンソールとコンシューマーグループを使用して、プログラムでログデータをサードパーティシステムにエクスポートできます。詳細については、「コンシューマーグループを使用したログの消費」をご参照ください。
残りのログストレージ容量の確認方法
ログストレージ容量は、ログ分析を有効にした後にのみ確認できます。有効にすると、Cloud Firewall コンソールで、使用済み容量と残りの容量を確認できます。詳細については、「ログストレージ容量の管理」をご参照ください。
Cloud Firewall コンソールの [ログ分析] ページの上部にあるプログレスバーに、使用済み容量、合計容量、および使用率が表示されます。また、[容量のアップグレード] または [消去] をクリックして容量を管理することもできます。
定期的な ICMP プローブのログが存在する理由
Cloud Firewall は、サービス品質を確保するためのヘルスチェックとして、定期的にインターネット制御通知プロトコル (ICMP) パケットを送信します。これらのヘルスチェックは攻撃ではなく、お客様のサービスに影響を与えることはありません。
Cloud Firewall コンソールにログインし、SLA モニタリングの送信元アドレスという名前のクラウドサービスアドレス帳で、これらの SLA プローブの送信元 IP アドレスを確認できます。詳細については、「アドレス帳」をご参照ください。
ログに「不明」なアプリケーションが表示される理由
Cloud Firewall がトラフィックフローのアプリケーションを識別できない場合、そのアプリケーションに「不明」というラベルを付けます。これにはいくつかの理由が考えられます：
-
セッションが 3 パケット未満で構成されており、完全に確立されていない。これはスキャントラフィックでよく見られます。
-
セッションが確立される前に、レイヤー 4 のアクセス制御ポリシーによってトラフィックがブロックされた。
-
侵入防止システム (IPS) または別のメカニズムによって接続がリセットされ、アプリケーション署名の照合が妨げられた。
-
トラフィックが暗号化されているか、非標準プロトコル、内部アプリケーション、またはディープパケットインスペクション (DPI) でサポートされていないプロトコルを使用している。
デフォルトでは、Cloud Firewall はサービスの停止を避けるために未識別のトラフィックを許可します。このトラフィックをブロックしたい場合は、関連するファイアウォールの厳格モードを有効にすることができます。詳細については、「アクセス制御エンジンモード」または「NAT ファイアウォールのアクセス制御エンジンモードの設定」をご参照ください。
リリース後のログデータの保持
データの保持は、インスタンスの課金方法によって異なります。データはサブスクリプションインスタンスでは保持されませんが、従量課金インスタンスでは保持されます。
Cloud Firewall インスタンスをリリースすると、アクセスの制御ポリシー、攻撃保護ポリシー、トラフィック分析ポリシー構成などの構成データは 15 日間保持されます。 サブスクリプションインスタンスをご利用で、ログ分析データを保持する必要がある場合は、インスタンスをリリースする前に、ローカルマシンまたはサードパーティシステムにログをエクスポートする必要があります。 詳細については、「ログのエクスポート」をご参照ください。
ログ監査レコードをエクスポートできますか？
ログ監査レコードを直接エクスポートすることはできません。ただし、クエリ文を使用して Log Analysis ページから基になる生ログを検索し、エクスポートすることは可能です。
たとえば、過去 24 時間の HTTPS アプリケーションのインバウンドのインターネットファイアウォールのトラフィックログをエクスポートするには、次の手順に従います：
-
Cloud Firewall コンソールにログインします。
-
左側のナビゲーションウィンドウで、 を選択します。
-
Log Analysis タブで、検索ボックスにクエリ文を入力し、時間範囲を [1 日] に設定します。詳細については、「ログのクエリと分析」をご参照ください。
クエリ文は次のとおりです：
log_type:internet_log and direction:"in" and app_name:"HTTPS" -
クエリ結果をエクスポートします。詳細については、「ログのエクスポート」をご参照ください。
ログ内のブロックされた攻撃のカウント方法
クエリ文を rule_result:drop に設定し、時間範囲を指定します。クエリ結果の [ログ量] は、Cloud Firewall によってブロックされた攻撃の総数を示します。詳細については、「ログのクエリと分析」をご参照ください。
クエリ時間の差異などの要因により、ログクエリから取得した保護された攻撃の総数は、概要 ページの 保護回数合計 と一致しない場合があります。概要 ページの 保護回数合計 が正式な値となります。
サービス間でログ数が異なる理由
この不一致は、これらのサービスが異なるネットワークレイヤーでトラフィックを記録するため、想定内の動作です。Cloud Firewall はレイヤー 4 (トランスポート層) でトラフィックを記録し、インバウンドとアウトバウンドのトラフィックを記録します。Anti-DDoS Proxy と WAF はレイヤー 7 (アプリケーション層) でトラフィックを記録し、HTTP リクエストを記録します。
レイヤー 4 のログは個々の TCP または UDP 接続とパケットに焦点を当てますが、レイヤー 7 のログは完全な HTTP リクエストとレスポンスに焦点を当てます。単一の HTTP リクエストは複数の TCP パケットに分割される場合があり、その結果、複数のレイヤー 4 ログエントリが生成されますが、レイヤー 7 ログエントリは 1 つだけです。
さらに、パケットの再送、ネットワーク遅延、フラグメンテーション、HTTP Keep-Alive などのアプリケーション層プロトコルといった要因により、レイヤー 4 のロギングはより詳細になります。これらの異なるレイヤーからのログを比較または分析する際には、それらの固有の違いを考慮することが重要です。
アップグレード後の持続的接続に関するログの欠落
アップグレードやスケーリングなどの Cloud Firewall エンジンのメンテナンスは、お客様のサービスに影響を与えないように設計されています。ただし、これらのイベント中に、一部の既存の持続的接続のログレポートが中断され、ログエントリが欠落する場合があります。
影響を受ける可能性のあるトラフィックを特定するには、[ログ分析] ページで 1 分の時間範囲を指定し、フィルター new_conn=0 を使用して既存の接続のログをクエリします。これらの接続のロギングは不完全である可能性があります。接続が再確立されると、ロギングは正常に再開されます。
ログ分析を有効にする方法の詳細については、「ログ分析の有効化」をご参照ください。
サービスリンクロールのログのクエリ方法
-
ActionTrailコンソールにログインします。
-
左側のナビゲーションウィンドウで、 を選択します。
-
上部のナビゲーションバーで、イベントが発生したリージョンを選択します。
-
フィルターのドロップダウンリストから [操作者] を選択し、その値を
aliyunserviceroleforcloudfwに設定し、時間範囲を指定してから、
検索アイコンをクリックして関連イベントをクエリします。 -
目的のイベントを見つけ、[操作] 列の [詳細の表示] をクリックして、その詳細とコードを表示します。詳細については、「イベントのクエリ」をご参照ください。