OCI WAFのログ分析

OCI WAFのログ分析手順資料 Name 日本オラクル株式会社テクノロジー・クラウド・エンジニアリング本部セキュリティー＆マネジメントソリューション部 2021年11月18日

本資料は、「How to send OCI WAF Logs to OCI Logging Analytics
and get Security Insights」を動作検証し、和訳したものです。本資料ではサポート・リクエストを作成してOCI WAFのログをObject Storageに自動的に転送するように設定をします。Object StorageにWAFのログが格納されたら、Object Collection RuleによってObject Storageに格納されているログをOCI Logging Analyticsに転送することで、OCI Logging Analyticsを使用してWAFのログを分析することができます。一度サポート・リクエストを作成すると、その後はWAFのログが自動的にObject Storageに転送されるように構成されるため、都度APIやOCI CLIでログを出力するなどの手間を省くことができます。本資料の概要 Copyright © 2020, Oracle and/or its affiliates 2

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging
Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 3 Copyright © 2020, Oracle and/or its affiliates ※各リソースへのアクセス、IAMポリシーの作成、ログ・ソース、ログ・パーサーの作成などの操作が必要になるため、手順1~4は、テナンシレベルの管理者、もしくは相当の権限を持つ管理者が操作を実行することを前提とします。

本資料では、以下のリソースが既に作成・構成されていることを前提とします。 • Logging Analyticsを利用するユーザー • Logging Analyticsを利用するユーザーが属するIAMグループ • WAFのログを格納するためのOCI Object
Storage • OCI WAFポリシー • Logging Analyticsサービスのログ・グループ • OCI CLI なお、WAFのログを格納するためのOCI Object Storageがあるコンパートメントは、Logging Analyticsを使用するコンパートメントと同じであることを想定しています。前提条件 Copyright © 2020, Oracle and/or its affiliates 4

2 手順概要 OCI WAFログをOCI Object Storageに転送 OCI Logging Analyticsの環境の準備 3
5 Logging Analyticsを使用するためのIAMポリシーの作成 OCI Object StorageからログをLogging Analyticsへ転送 5 Copyright © 2020, Oracle and/or its affiliates 4 1 リソース情報の収集

必要となるリソースの情報一覧 ① Tenancy OCID ② Region Identifier ③ Logging Analyticsを利用するユーザーのAPI公開鍵とフィンガープリント
④ Logging Analyticsを利用するユーザーのOCID ⑤ Logging Analayticsを利用するユーザーの顧客秘密キーとアクセス・キー ⑥ IAMグループのOCIDとIAMグループ名 ⑦ WAFポリシーのOCID、CNAME、ドメイン ⑧ Object StorageのOCID、バケット名、ネームスペース ⑨ コンパートメントのOCIDとコンパートメント名 6 Copyright © 2020, Oracle and/or its affiliates

①Tenancy OCID OCIコンソール右上のアイコン -> テナンシ -> テナンシ情報 7 Copyright
© 2020, Oracle and/or its affiliates

②Region Identifier OCI左上の🈪 -> 管理 -> リージョン管理 -> インフラストラクチャ・リージョン ->
ホームリージョンのリージョン識別子 8 Copyright © 2020, Oracle and/or its affiliates

③ユーザーのAPI公開鍵とフィンガープリント OCIコンソール右上のアイコン -> ユーザー -> ユーザーの詳細 -> APIキー ->
APIキーの追加 9 Copyright © 2020, Oracle and/or its affiliates ダウンロードした秘密キーはセキュアな場所に保存してください。API公開キーと、APIキーの追加時に生成されるフィンガープリントは手順2で必要になりますので、手元にメモしてください。

④ユーザーのOCID OCIコンソール右上のアイコン -> ユーザー -> ユーザーの詳細 -> OCID 10
Copyright © 2020, Oracle and/or its affiliates

➄ユーザーの顧客秘密キーとアクセス・キー OCIコンソール右上のアイコン -> ユーザー -> ユーザーの詳細 -> 顧客秘密キー ->
秘密キーの生成 11 Copyright © 2020, Oracle and/or its affiliates 作成した秘密キーのアクセス・キーは手順2で必要になりますので、手元にメモしてください。

⑥IAMグループのOCIDとIAMグループ名 OCIコンソール左上の🈪 -> ガバナンスと管理 -> アイデンティティ -> グループ -> グループ詳細
-> OCID&IAM グループ名 12 Copyright © 2020, Oracle and/or its affiliates

⑦WAFポリシーのOCID、CNAME、ドメイン OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリ
シー -> WAFポリシー詳細 13 Copyright © 2020, Oracle and/or its affiliates

⑧Object StorageのOCID、バケット名、ネームスペース OCIコンソール左上の🈪 -> コア・インフラストラクチャ -> オブジェクト・ストレージ -> オブジェクト・ストレージ ->
バケットの詳細 14 Copyright © 2020, Oracle and/or its affiliates

➈コンパートメントのOCIDとコンパートメント名 OCIコンソール左上の🈪 ->ガバナンスと管理 -> アイデンティティ -> コンパートメント -> コンパートメント詳細 15

必要な操作 ① IAMポリシーの作成 ② サポート・リクエストの作成(OCI WAFコンソール/My Oracle Support) ※サポート・リクエストはOCIのWAFのコンソール、またはMy Oracle
Supportから作成することができます。 17 Copyright © 2020, Oracle and/or its affiliates

①IAMポリシーの作成 • Logging Analyticsを使用するユーザーにObject Storageへの操作権限を付与 Allow group <group_name_from_p.12> to manage
object-family in compartment <compartment_name_from_p.15> 18 Copyright © 2020, Oracle and/or its affiliates

②サポート・リクエストの作成(OCI WAFコンソールの場合) 19 Copyright © 2020, Oracle and/or its affiliates
OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリシー -> サポートリクエストの作成

②サポート・リクエストの作成(OCI WAFコンソールの場合) • 「問題の説明」に以下の情報を記入 1. WAFのログをObject Storageに格納してほしいという主旨のメッセージ 2. 参考となるサイトの
URL(https://blogs.oracle.com/cloudsecurity/how-to- send-oci-waf-logs-to-oci-logging-analytics-and-get- security-insights-v3) 3. 手順1で収集した情報 • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 • 「サポートが必要ですが、緊急ではありません(標準)」にチェックし、作成 20 Copyright © 2020, Oracle and/or its affiliates

②サポート・リクエストの作成(My Oracle Supportの場合) ・My Oracle Supportにログイン -> Service Requests ->
Create Technical SR 21 Copyright © 2020, Oracle and/or its affiliates ・各フィールドに以下の情報を記入し、Nextをクリック Problem：「WAFのログをObject Storageに格納してほしい」という主旨のメッセージ Problem Description : 「WAFログの分析をOCI Logging Analyticsで行いたいため、Object Storageにログを格納してほしい」という主旨のメッセージ Service Type : “Oracle Cloud Infrastructure” を選択 Service : 該当テナンシを選択 Problem Type: “22. Edge Services – Web Application Firewall(WAF) > Logs” を選択 Support Identifier : 該当テナンシのIdentifierを選択 Severity : “3 – Minor loss of service”を選択

②サポート・リクエストの作成(My Oracle Supportの場合) • More Detailsのステップの各設問に以下情報を記入し、作成 1. 質問で聞かれているa~eの情報を記入 2. 手順1で収集したリソースの情報と、参考となるサイトのURL
を記入 • 参考となるサイトのURL (https://blogs.oracle.com/cloudsecurity/how-to -send-oci-waf-logs-to-oci-logging-analytics-and- get-security-insights-v3) • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 3. その他は、Not Applicableを選択、もしくはN/Aを記入 22 Copyright © 2020, Oracle and/or its affiliates

動作の確認サポート・リクエストを作成して一週間程度待つと、OCI Object StorageにWAFのログが格納されます。 23 Copyright © 2020, Oracle and/or
its affiliates

作成するIAMポリシー一覧 • Allow service loganalytics to read lofanalytics-features-family in tenancy
• Allow group <group_name_from _p.12> to manage all-resources in tenancy where any {request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_CREATE’, request.permission=‘LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_ENTITY_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_SOURCE_READ’, request.permission=‘BUCKET_UPDATE’, request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_DELETE’} • Allow service loganalytics to read buckets in tenancy • Allow service loganalytics to read objects in tenancy • Allow service loganalytics to manage cloudevents-rules in tenancy • Allow service loganalytics to inspect compartments in tenancy • Allow service loganalytics to use tag-namespaces in tenancy where all {target.tag- namespace.name=/oracle-tags/} 25 Copyright © 2020, Oracle and/or its affiliates

必要な操作 ① 構成コンテンツファイルのダウンロード ② 構成コンテンツファイルをLogging Analyticsにインポート (※構成コンテンツファイルをインポートするユーザーは、テナンシレベルでloganalytics-features-familyのuse権限を持っている必要があります。) 27 Copyright

①構成コンテンツファイルのダウンロード • ログ・ソース、ログ・パーサーを作成するための構成コンテンツファイルを以下URLからダウンロード https://blogs.oracle.com/content/published/api/v1.1/assets/CONT05B0EF1B440241CBA74E 73543C5D2644/Medium?cb=_cache_ae51&format=jpg&channelToken=32b6159b1a584abfbf 8cc69776aefcb0 28 Copyright © 2020,
Oracle and/or its affiliates

必要な操作 ① Object Collection Ruleの作成 (※OCI CLIコマンドを使用します。OCI CLIのインストール・構成方法については本資料のP.37にドキュメントのリンクが記載されています。) 33

①Object Collection Ruleの作成 • OCI CLIがインストール・構成されているインスタンスにログインし、以下のコマンドを実行します。コマンドの詳細、その他オプションは本資料のReferenceページに記載のリンクからご確認ください。 $oci log-analytics object-collection-rule
create –-name <ルール名> --compartment-id < コンパートメントのOCID(p.15)> --os-namespace <バケットのネームスペース(p.14)> --os-bucket-name < バケット名(p.14)> --log-group-id <ログ・グループのOCID(p.39)> --log-source-name WAF_LOGS -- namespace-name <Logging Analyticsサービスのネームスペース(p.40)> --collection-type HISTORIC_LIVE –-poll-since BEGINNING 34 Copyright © 2020, Oracle and/or its affiliates ログ・グループのOCID、およびLogging Analayticsのネームスペースの確認方法は本資料の巻末に補足として記載しています。

動作の確認① • 以下のようなResponse Bodyが返ってきます。 { "data": { "char-encoding": null, "collection-type":
"HISTORIC_LIVE", "compartment-id": "ocid1.compartment.oc1 "is-enabled": true, "lifecycle-details": null, "lifecycle-state": "ACTIVE”, “name”: “waflogupload”, …………………… …………………… “os-bucket-name”: “WAFLog_bucket”, “os-namespace”: “orasejapan”, “overrides”: null, “poll-since”: “1970-01-01T00:00:00.000Z”, “poll-till”: null, “time-created”: “2021-03-10T06:37:30.686000+00:00”, “time-updated”: “2021-03-10T06:37:30.686000+00:00” }, “etag”: “1f78f2672c639f754f29b60b824b759c1299b6724f35046fc908541a55da56e9” } 35 Copyright © 2020, Oracle and/or its affiliates

動作の確認② OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> ログ・エクスプローラ 36 Copyright ©
2020, Oracle and/or its affiliates WAF_LOGSというログソースが、ログ・エクスプローラーから確認できるようになります。

Reference ・OCI CLIインストール方法 https://docs.oracle.com/ja-jp/iaas/Content/API/SDKDocs/cliinstall.htm ・OCI CLIコマンド https://docs.oracle.com/en-us/iaas/tools/oci-cli/2.14.3/oci_cli_docs/cmdref/loganalytics/object-collection-rule/create.html 37 Copyright

OCI WAFのログ分析

OCI WAFのログ分析

oracle4engineer PRO

More Decks by oracle4engineer

Other Decks in Technology

Featured

Transcript

oracle4engineer
PRO