Cloud Firewall:ログ管理

前提条件

アセットが接続済みであること。詳細については、「アクセス管理」をご参照ください。

ログ配信の有効化

1. Agentic NDR コンソールにログインします。

2. 左側メニューで、[Logs] を選択します。

3. [Log Delivery]：Log Analysis ページの右上隅にある Delivery Settings をクリックします。Alert Logs と Protocol Log の両方をオンにします。

4. ログ配信ルールの設定：Log Analysis ページの右上隅にある Log Settings をクリックします。以下の操作が可能です。

   • ログストレージリージョンの変更

   • ログの保存期間の変更

   • ログストレージ容量の拡張

   具体的な操作と注意事項については、「Modify Log Storage Configurations」をご参照ください。

フィルター規則と配信フィールドの設定

1. [Log Analysis] ページの右上隅にある [Log Settings] をクリックします。

2. [Custom Filter Rules] タブと [Custom Delivery Fields] タブで設定を構成します。

   • カスタムフィルター規則

     • フィルター規則の作成

       1. [Custom Filter Rules] タブで、[Create Rule] をクリックします。

       2. [Protocol Log Filter Rule] パネルで [Filter Logic] と [Stream Information] を設定し、[OK] をクリックします。

          重要

          複数のログフィルター規則がある場合：

          1. 許可リストまたは拒否リスト内の複数の規則は、OR ロジックで結合されます。

          2. 拒否リストの規則は、許可リストの規則を上書きします。競合が発生した場合は、拒否リストの規則が適用されます。

     • フィルター規則の編集

       1. 対象のフィルター規則の [Actions] 列で、[Edit] をクリックします。

       2. [Protocol Log Filter Rule] パネルでフィルター規則を修正し、[OK] をクリックします。

     • フィルター規則の削除

       1. 対象のフィルター規則の [Actions] 列で、[Delete] をクリックします。

       2. 警告メッセージを確認し、[OK] をクリックします。

          重要

          削除されたログフィルター規則は完全に削除され、一致するログのフィルタリングを停止します。

   • カスタム配信フィールド

     [Custom Delivery Fields] タブで、配信するフィールドを選択し、[OK] をクリックします。

ログクエリ

1. 左側メニューで、[Logs] を選択します。

   デフォルトでは、ログ分析ページを開くと、自動的にクエリが実行されて結果が表示されます。

2. 検索ボックスに、検索文と分析文を入力します。

   • 検索文は、ログデータの検索とフィルタリングに使用されます。期間、リクエストタイプ、キーワードなどの条件を使用して、特定のデータを検索できます。検索文は単独で使用できます。構文の詳細については、「クエリ構文と機能」をご参照ください。

   • 分析文は、ログデータのフィルタリング、変換、カウント、集計に使用されます。たとえば、ある期間のデータの平均値を計算したり、前年比および前月比の結果を取得したりできます。分析文は、 search statement|analytic statement の形式で検索文と組み合わせて使用する必要があります。構文の詳細については、「集計関数」をご参照ください。

   • 検索ボックスの右側にある アイコンをクリックすると、インタラクティブなクエリおよび分析モードに切り替わります。データエクスプローラーを使用して、SQL を記述することなく、検索文と分析文を迅速に構築できます。詳細については、「高性能・高精度なクエリ・分析 (Dedicated SQL)」をご参照ください。

   ステートメント

   ログ分析ステートメントは、検索文とオプションの分析文で構成され、縦棒 (|) で区切られます。

   search statement | analytic statement

   一般的な検索文

   このセクションでは、Cloud Firewall ログの一般的な検索文と例を示します。

   トラフィック量検索文

   • インターネットから内部アセット 1.2.*.* へのアクセスに関するネットワークレコードをクエリし、インバウンドトラフィックの合計サイズとパケットの合計数を計算します。

     log_type:internet_log and direction:"in" and dst_ip:1.2.*.* | select sum(in_packet_bytes) as flow, sum(in_packet_count) as packet

   • NAT ファイアウォールのトラフィックをクエリし、結果をソース IP、宛先 IP、宛先ポートの各フィールドでグループ化し、インバウンドおよびアウトバウンドトラフィックの合計サイズでランク付けされた上位 10 件の結果を分析します。

     log_type:nat_firewall_log | select src_ip, dst_ip, dst_port, sum(in_packet_bytes) as in_bytes, sum(out_packet_bytes) as out_bytes, sum(total_packet_bytes) as total_bytes group by src_ip, dst_ip, dst_port order by total_bytes desc limit 10

   アクセス制御ステートメント

   • アクセス制御ポリシーに一致する、インターネットから内部アセットへのアクセスのトラフィックログをクエリします。

     log_type:internet_log and direction:"in" and not acl_rule_id:00000000-0000-0000-0000-000000000000

     条件 not acl_rule_id... は、アクセス制御ポリシーに一致するログをフィルタリングします。acl_rule_id が 00000000-0000-0000-0000-000000000000 であることは、ポリシーに一致しなかったことを示します。

   • アクセス制御ポリシーによってブロックされた、内部アセットからインターネットへのアクセスのトラフィックログをクエリします。次に、上位 10 件の宛先 IP アドレスと宛先ポートの分布を分析します。

     log_type:internet_log and direction:out and not acl_rule_id:00000000-0000-0000-0000-000000000000 and rule_result:drop | select dst_ip, dst_port, count(*) as cnt group by dst_ip, dst_port order by cnt desc limit 10

   • このクエリは、内部アセットからインターネットへのアクセスで、宛先ポートが 443、パケット数が 3 を超え (TCP 3 ウェイハンドシェイクが完了したことを示す)、ドメイン情報が検出されなかったトラフィックログを検索します。結果は、宛先 IP セグメントとアプリケーションでグループ化され、上位 10 件のソース IP、宛先 IP、およびアプリケーションを特定します。

     log_type:internet_log and direction:out and dst_port:443 and total_packet_count>3 and domain:""| select array_agg(distinct src_ip) as srcip, array_agg(distinct dst_ip) as dstip, slice(split(dst_ip,'.' ,4),1,3) as dstip_c, app_name, COUNT(1) as cnt GROUP by dstip_c,app_name order by cnt desc limit 10

   攻撃防止ステートメント

   • 攻撃防止ポリシーに一致する、インターネットから内部アセットへのアクセスのトラフィックログをクエリします。

     log_type:internet_log and direction:"in" and not ips_rule_id:00000000-0000-0000-0000-000000000000

     条件 not ips_rule_id... は、攻撃防止ポリシーに一致するログをフィルタリングします。ips_rule_id が 00000000-0000-0000-0000-000000000000 であることは、ポリシーに一致しなかったことを示します。

   • 攻撃防止ポリシーに一致する、内部アセットからインターネットへのアクセスのトラフィックログをクエリし、IP アドレス、ポート、アプリケーション、ドメイン、IPS ポリシーの結果などの情報を表示します。

     log_type:internet_log and direction:out and not ips_rule_id:00000000-0000-0000-0000-000000000000 | select src_ip, dst_ip, dst_port,app_name, domain,ips_rule_id, ips_rule_name, rule_result

3. [Search & Analyze] をクリックして、クエリと分析の結果を表示します。詳細については、「クエリと分析結果の表示」をご参照ください。

クエリ結果の分析

ログのクエリと分析の結果は、ヒストグラムや生ログなどのモジュールで表示できます。

関連ドキュメント

• ログフィールドの詳細な説明については、「ログフィールド」をご参照ください。

• クエリと分析の結果をローカルコンピューターにエクスポートして保存できます。詳細については、「ログのエクスポート」をご参照ください。

• 長期間の保存が必要な大量のログがある場合は、定期的にログを OSS バケットに転送して、保存および分析できます。詳細については、「OSS データ転送ジョブの作成 (新規)」をご参照ください。