ハイブリッドクラウド WAF デプロイメントでは、セキュリティ検出ログがオンプレミスで生成され、一元的なモニタリングスタックにフローさせる必要があります。このドキュメントでは、WAF を設定してこれらのログを syslog サーバーまたは Kafka クラスターに配信する方法と、保護対象ごとに配信設定を管理する方法について説明します。
前提条件
開始する前に、以下を確認してください。
ハイブリッドクラウドモードが有効で、Simple Log Service (SLS) for WAF がアクティブ化されている Enterprise Edition または Ultimate Edition を実行しているサブスクリプション WAF インスタンス
保護対象として追加されたドメイン名 (ドメインがハイブリッドクラウド - SDK 統合モードを介して統合されている場合に必要)。詳細については、「保護対象と保護対象グループの設定」をご参照ください。
ハイブリッドクラウド WAF イメージが最新バージョンにアップグレード済み
配信設定の作成
配信設定は、ターゲットプラットフォームと接続設定を定義します。複数の設定を作成し、同じ設定を異なる保護対象に適用して、一元的なログ管理を行うことができます。
WAF 3.0 コンソールにログインします。 上部のナビゲーションバーで、リソースグループとリージョンを選択します。 [中国本土] または [中国本土以外] を選択できます。
左側のナビゲーションウィンドウで、[検知と対応] > [Log Service] を選択します。右上隅で、[ログ設定] をクリックします。
「[デフォルトフィールド設定]」タブで、配信用のデフォルトフィールド設定を構成します。ログ内のすべてのフィールドが配信されます。ログフィールドの完全な一覧については、「ログフィールド」をご参照ください。
[配信設定] タブをクリックします。
右上隅で、[配信構成] をクリックします。[配信構成] パネルが開きます。最初の構成を作成するには、[外部配信の構成] をクリックします。
ターゲットプラットフォームの種類を選択し、そのプラットフォームのパラメーターを入力し、［OK］をクリックします。
配信設定がハイブリッドクラウド保護対象に適用され、外部配信が有効になっている場合、その設定を直接削除することはできません。まず保護対象の外部配信を無効にしてから、設定を削除してください。
Syslog パラメーター
| パラメーター | 説明 |
|---|---|
| 設定項目 | 配信設定の名前。1～100 文字である必要があります。使用できる文字は、英字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) です。名前は作成後に変更できません。 |
| サーバー IP アドレス/ポート | ログを受信する syslog サーバーの IP アドレスとポート。 |
| RFC | syslog プロトコルを定義する Request for Comments (RFC) 標準。 |
| プロトコル | トランスポート層プロトコル。有効な値: TCP および UDP。 |
Kafka パラメーター
| パラメーター | 説明 |
|---|---|
| 設定項目 | 配信設定の名前。1～100 文字である必要があります。使用できる文字は、英字、数字、ピリオド (.)、アンダースコア (_)、ハイフン (-) です。名前は作成後に変更できません。 |
| Topic ID/名前 | ログを受信する Kafka Topic の ID または名前。 |
| ドメイン名 | ログを配信するドメイン名。ドメイン名が到達可能であることを確認してください。 |
| プロトコル | 接続のセキュリティプロトコル。オプション: PLAINTEXT (暗号化または認証なし)、SASL_PLAINTEXT (認証のみ、暗号化なし)、または SASL_SSL (暗号化と認証)。 |
| 圧縮タイプ | 配信されるログの圧縮形式。有効な値: none、gzip、zstd、lz4、および snappy。 |
| カスタム CA | 接続用のカスタム認証局 (CA) 証明書。 |
保護対象の配信の有効化または無効化
配信設定を作成したら、特定の保護対象に適用します。
[配信設定] ページで、管理したい保護対象を見つけます。
[外部配信ステータス] 列の
アイコンをクリックして、そのオブジェクトの配信を有効にします。配信が機能していることを確認するには、syslog または Kafka プラットフォームにログインし、ログがリアルタイムで到着していることを確認します。
配信を無効化するには、[配信設定] ページに戻り、保護対象の [外部配信のステータス] 列のスイッチをオフにします。
外部配信を有効にした後、新しいログのみが配信されます。履歴ログはバックフィルされません。
バッチ操作: 複数の保護対象の配信を一度に有効または無効にするには、リストでそれらを選択し、リスト下の [バッチ管理] をクリックしてから、[外部配信を有効化] または [外部配信を無効化] を選択します。1 回のバッチ操作では、選択されたすべてのオブジェクトに同じ配信構成が適用されます。
配信設定の変更: 保護対象を別の配信設定に切り替えるには、そのオブジェクトの外部配信を無効にしてから、再度有効にして新しい設定を選択します。
配信用のログフィールドの設定
デフォルトフィールド (すべての保護対象): [デフォルトフィールド設定] タブで、すべての配信タスクに適用されるフィールド設定を構成します。詳細については、「配信するログフィールドの設定」をご参照ください。
カスタムフィールド (保護対象ごと): [外部配信フィールド] 列で、特定の保護対象の [フィールド設定] をクリックし、デフォルトのフィールド設定をオーバーライドします。 フィールドの説明については、「ログフィールド」をご参照ください。