WAF のログストレージが容量に達すると、新しいログの記録が停止し、セキュリティイベントの検出漏れや監査証跡の不完全さにつながります。このトピックでは、ログストレージ満杯の問題を解決するための4つのメソッドと、それぞれの使用タイミングについて説明します。
考えられる影響
ログストレージが満杯になると、次の問題が発生します。
ログ損失: 新しいログを記録できなくなり、セキュリティイベントデータが永久に失われます。
脅威の見落とし: WAF ログに依存するセキュリティ分析サービスが、攻撃を時間内に検出して対応できなくなる可能性があります。
コンプライアンス違反: 監査のためにログ保持を義務付けている業界では、ログが不完全な場合、規制上の問題に直面する可能性があります。
メソッドの選択
状況に合ったメソッドを選択するには、次の表を使用します。
| メソッド | 内容 | 最適な状況 |
|---|---|---|
| ログストレージ容量のアップグレード | 総容量を増加させます | 即時対応；ビジネス要件：ログの完全なカバー率 |
| 保護対象ごとのログフィールドの削減 | 重要度の低いオブジェクトに対して、フィールドまたはログタイプを減らして記録します | 重要なカバー率を失うことなく、詳細な制御が必要な場合 |
| ログ保存期間の短縮 | ログの保持期間を短縮します | 保持要件よりも古いログを安全に削除できる場合 |
| ログインデックスフィールドを削減する | 未使用の検索インデックスを削除してインデックススペースを解放します | インデックススペースは、ログデータストレージとともにストレージ使用量に影響します |
ストレージのアップグレードは、完全なログカバー率を維持できる唯一のメソッドです。他の3つのメソッドは、スペースを節約するためにカバー率または保持期間を犠牲にします。適用する前に、コンプライアンス要件を確認してください。
ログストレージ容量のアップグレード
Pro、Enterprise、Ultimate エディションのサブスクリプションインスタンスのみが、ログストレージ容量の表示とアップグレードをサポートしています。従量課金インスタンスは、実際の使用量に基づいて課金され、Simple Log Service によって決済されるため、容量制限はなく、個別のログ容量構成は必要ありません。
ログインして、Web Application Firewall 3.0 コンソールを開きます。左側のナビゲーションバーで、[検知と対応] > [Log Service] を選択し、右上隅の [ストレージのアップグレード] をクリックします。
より大きい[ログストレージ容量]の仕様を選択し、購入を完了します。
保護対象ごとのログフィールドの削減
LogShipper は、個々の保護対象レベルで詳細なフィールドとログタイプの構成をサポートしています。特定の保護対象に適用される設定は、デフォルトのフィールド設定よりも優先されます。
重要度の低い保護対象については、ログを攻撃関連のフィールドとタイプのみに制限します。重要なオブジェクトについては、包括的な監査をサポートするために、完全なフィールドカバー率を維持します。
「Web Application Firewall 3.0 コンソール」にログインします。左側のナビゲーションバーで、[検知と対応] > [Log Service] を選択し、右上隅の [ログ設定] > [配信設定] をクリックします。
「[配信設定]」タブで、対象の保護対象の「[Simple Log Service への配信フィールド]」列の「[フィールド設定]」をクリックし、以下のパラメーターを設定します：
ストレージ使用量を削減するには、[ブロックログ] のみを選択し、[通常リクエストログ] のサンプリング比率を低く設定するか、非重大オブジェクトに対しては完全に無効化します。ビジネスで包括的な監査が必要な場合は、すべてのログタイプを 100 % のサンプリング比率で有効化します。
パラメーター 説明 必須フィールド WAF ログに常に含まれます。編集できません。完全なリストについては、「必須ログフィールド」をご参照ください。 オプションフィールド 含めるフィールドを手動で選択します。有効なフィールドのみが記録されます。オプションフィールドを多く有効にすると、ストレージ使用量が増加します。完全なリストについては、「オプションログフィールド」をご参照ください。 ログタイプ 1つ以上のログタイプを選択し、それぞれにサンプリング比率 (1%～100%) を設定します。サンプリング比率は、収集および保存される生成されたログエントリの割合を制御します。利用可能なログタイプ: [ブロックログ] (ブロック、JS検証、スライダー検証、動的トークン保護などのセキュリティポリシーをトリガーしたためにオリジンサーバーに到達できないリクエスト)、[検出ログ] (観測ルールのみをトリガーするリクエスト)、および [通常リクエストログ] (JS検証、スライダー検証、動的トークン検証を含むすべてのチェックをパスするリクエスト)。 [OK] をクリックします。[操作が成功しました] メッセージが表示されたら、選択した保護対象に対して構成が有効になります。
ログ保存期間の短縮
Web Application Firewall 3.0 コンソールにログインします。Web Application Firewall 3.0 コンソール の左側のナビゲーションバーで、[検知と対応] > [Log Service] を選択し、右上隅の [保存期間] をクリックして、Simple Log Service コンソール を開きます。
「Logstore 属性」パネルで、右上隅の[変更]をクリックし、データ保持期間を短縮して、[保存]をクリックします。
重要- 保持期間を短縮する前に、新しい設定が規制およびコンプライアンス要件に準拠していることを確認してください。保持期間が不十分だと、コンプライアンス違反につながる可能性があります。 - 保持期間が設定された日数に達すると、その期間を超過したログは自動的に削除されます。たとえば、保持期間を30日から7日に短縮すると、重要なデータを失うことなく、かなりのストレージスペースを節約できます。
ログのインデックスフィールドを削減する
インデックスは Simple Log Service で高速なログ検索と分析を可能にしますが、追加のストレージスペースを消費します。未使用のインデックスを削除すると、保存されているログコンテンツ自体に影響を与えることなく、インデックススペース使用量を削減できます。
このメソッドはインデックススペースのみを削減し、ログデータが使用するストレージスペースは削減しません。ログデータストレージを削減するには、代わりに保護対象ごとのログフィールドの削減またはログ保存期間の短縮を使用してください。
Simple Log Service コンソールにログインします。[プロジェクト] リストで、名前が
wafngで始まる対象のプロジェクトをクリックします。
左側のナビゲーションバーで、[ログストレージ]
アイコンをクリックし、次に、[Logstore] リストで対象の Logstore をクリックします。
クエリと分析ページで、[インデックス属性] > [属性] を選択します。
「検索および分析」パネルで、[自動更新] スイッチを無効化します。現在の Logstore が専用クラウドプロダクト Logstore または内部 Logstore の場合、[自動更新] スイッチはデフォルトで有効化されており、[フィールド検索] エリアは無効化されます。
警告Simple Log Service でカスタムレポートまたはアラートを構成している場合、WAF プロダクト Logstore からインデックスを削除すると、これらのレポートとアラートが破損する可能性があります。
[フィールド検索] エリアで、不要なフィールドインデックスを削除し、[OK] をクリックします。
