Slide 1

Slide 1 text

OCI WAFのログ分析 手順資料 Name 日本オラクル株式会社 テクノロジー・クラウド・エンジニアリング本部 セキュリティー&マネジメント ソリューション部 2021年11月18日

Slide 2

Slide 2 text

本資料は、「How to send OCI WAF Logs to OCI Logging Analytics and get Security Insights」を 動作検証し、和訳したものです。 本資料ではサポート・リクエストを作成してOCI WAFのログをObject Storageに自動的に転送するように設 定をします。Object StorageにWAFのログが格納されたら、Object Collection RuleによってObject Storageに格納されているログをOCI Logging Analyticsに転送することで、OCI Logging Analyticsを使 用してWAFのログを分析することができます。一度サポート・リクエストを作成すると、その後はWAFのログが自 動的にObject Storageに転送されるように構成されるため、都度APIやOCI CLIでログを出力するなどの手間 を省くことができます。 本資料の概要 Copyright © 2020, Oracle and/or its affiliates 2

Slide 3

Slide 3 text

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 3 Copyright © 2020, Oracle and/or its affiliates ※各リソースへのアクセス、IAMポリシーの作成、ログ・ソース、ログ・パーサーの作 成などの操作が必要になるため、手順1~4は、テナンシレベルの管理者、もしくは 相当の権限を持つ管理者が操作を実行することを前提とします。

Slide 4

Slide 4 text

本資料では、以下のリソースが既に作成・構成されていることを前提とします。 • Logging Analyticsを利用するユーザー • Logging Analyticsを利用するユーザーが属するIAMグループ • WAFのログを格納するためのOCI Object Storage • OCI WAFポリシー • Logging Analyticsサービスのログ・グループ • OCI CLI なお、WAFのログを格納するためのOCI Object Storageがあるコンパートメントは、Logging Analyticsを使用するコン パートメントと同じであることを想定しています。 前提条件 Copyright © 2020, Oracle and/or its affiliates 4

Slide 5

Slide 5 text

2 手順概要 OCI WAFログをOCI Object Storageに転送 OCI Logging Analyticsの環境の準備 3 5 Logging Analyticsを使用するためのIAMポリシーの作成 OCI Object StorageからログをLogging Analyticsへ転送 5 Copyright © 2020, Oracle and/or its affiliates 4 1 リソース情報の収集

Slide 6

Slide 6 text

必要となるリソースの情報一覧 ① Tenancy OCID ② Region Identifier ③ Logging Analyticsを利用するユーザーのAPI公開鍵とフィンガープリント ④ Logging Analyticsを利用するユーザーのOCID ⑤ Logging Analayticsを利用するユーザーの顧客秘密キーとアクセス・キー ⑥ IAMグループのOCIDとIAMグループ名 ⑦ WAFポリシーのOCID、CNAME、ドメイン ⑧ Object StorageのOCID、バケット名、ネームスペース ⑨ コンパートメントのOCIDとコンパートメント名 6 Copyright © 2020, Oracle and/or its affiliates

Slide 7

Slide 7 text

①Tenancy OCID OCIコンソール右上の アイコン -> テナンシ -> テナンシ情報 7 Copyright © 2020, Oracle and/or its affiliates

Slide 8

Slide 8 text

②Region Identifier OCI左上の🈪 -> 管理 -> リージョン管理 -> インフラストラクチャ・リージョン -> ホームリージョンのリージョン識別子 8 Copyright © 2020, Oracle and/or its affiliates

Slide 9

Slide 9 text

③ユーザーのAPI公開鍵とフィンガープリント OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> APIキー -> APIキーの追加 9 Copyright © 2020, Oracle and/or its affiliates ダウンロードした秘密キーはセキュアな場所に保 存してください。API公開キーと、APIキーの追加 時に生成されるフィンガープリントは手順2で必要 になりますので、手元にメモしてください。

Slide 10

Slide 10 text

④ユーザーのOCID OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> OCID 10 Copyright © 2020, Oracle and/or its affiliates

Slide 11

Slide 11 text

➄ユーザーの顧客秘密キーとアクセス・キー OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> 顧客秘密キー -> 秘密キーの生成 11 Copyright © 2020, Oracle and/or its affiliates 作成した秘密キーのアクセス・キーは手順2で 必要になりますので、手元にメモしてください。

Slide 12

Slide 12 text

⑥IAMグループのOCIDとIAMグループ名 OCIコンソール左上の🈪 -> ガバナンスと管理 -> アイデンティティ -> グループ -> グループ詳細 -> OCID&IAM グループ名 12 Copyright © 2020, Oracle and/or its affiliates

Slide 13

Slide 13 text

⑦WAFポリシーのOCID、CNAME、ドメイン OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリ シー -> WAFポリシー詳細 13 Copyright © 2020, Oracle and/or its affiliates

Slide 14

Slide 14 text

⑧Object StorageのOCID、バケット名、ネームスペース OCIコンソール左上の🈪 -> コア・インフラストラクチャ -> オブジェクト・ストレージ -> オブジェクト・ストレージ -> バケット の詳細 14 Copyright © 2020, Oracle and/or its affiliates

Slide 15

Slide 15 text

➈コンパートメントのOCIDとコンパートメント名 OCIコンソール左上の🈪 ->ガバナンスと管理 -> アイデンティティ -> コンパートメント -> コンパートメント詳細 15 Copyright © 2020, Oracle and/or its affiliates

Slide 16

Slide 16 text

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 16 Copyright © 2020, Oracle and/or its affiliates

Slide 17

Slide 17 text

必要な操作 ① IAMポリシーの作成 ② サポート・リクエストの作成(OCI WAFコンソール/My Oracle Support) ※サポート・リクエストはOCIのWAFのコンソール、またはMy Oracle Supportから作成することができます。 17 Copyright © 2020, Oracle and/or its affiliates

Slide 18

Slide 18 text

①IAMポリシーの作成 • Logging Analyticsを使用するユーザーにObject Storageへの操作権限を付与 Allow group to manage object-family in compartment 18 Copyright © 2020, Oracle and/or its affiliates

Slide 19

Slide 19 text

②サポート・リクエストの作成(OCI WAFコンソールの場合) 19 Copyright © 2020, Oracle and/or its affiliates OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリ シー -> サポートリクエストの作成

Slide 20

Slide 20 text

②サポート・リクエストの作成(OCI WAFコンソールの場合) • 「問題の説明」に以下の情報を記入 1. WAFのログをObject Storageに格納してほしいという主旨のメッ セージ 2. 参考となるサイトの URL(https://blogs.oracle.com/cloudsecurity/how-to- send-oci-waf-logs-to-oci-logging-analytics-and-get- security-insights-v3) 3. 手順1で収集した情報 • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 • 「サポートが必要ですが、緊急ではありません(標準)」に チェックし、作成 20 Copyright © 2020, Oracle and/or its affiliates

Slide 21

Slide 21 text

②サポート・リクエストの作成(My Oracle Supportの場合) ・My Oracle Supportにログイン -> Service Requests -> Create Technical SR 21 Copyright © 2020, Oracle and/or its affiliates ・各フィールドに以下の情報を記入し、Nextをクリック Problem:「WAFのログをObject Storageに格納してほし い」という主旨のメッセージ Problem Description : 「WAFログの分析をOCI Logging Analyticsで行いたいため、Object Storageにロ グを格納してほしい」という主旨のメッセージ Service Type : “Oracle Cloud Infrastructure” を 選択 Service : 該当テナンシを選択 Problem Type: “22. Edge Services – Web Application Firewall(WAF) > Logs” を選択 Support Identifier : 該当テナンシのIdentifierを選択 Severity : “3 – Minor loss of service”を選択

Slide 22

Slide 22 text

②サポート・リクエストの作成(My Oracle Supportの場合) • More Detailsのステップの各設問に以下情報を記入し、作成 1. 質問で聞かれているa~eの情報を記入 2. 手順1で収集したリソースの情報と、参考となるサイトのURL を記入 • 参考となるサイトのURL (https://blogs.oracle.com/cloudsecurity/how-to -send-oci-waf-logs-to-oci-logging-analytics-and- get-security-insights-v3) • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 3. その他は、Not Applicableを選択、もしくはN/Aを記入 22 Copyright © 2020, Oracle and/or its affiliates

Slide 23

Slide 23 text

動作の確認 サポート・リクエストを作成して一週間程度待つと、OCI Object StorageにWAFのログが格納されます。 23 Copyright © 2020, Oracle and/or its affiliates

Slide 24

Slide 24 text

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 24 Copyright © 2020, Oracle and/or its affiliates

Slide 25

Slide 25 text

作成するIAMポリシー一覧 • Allow service loganalytics to read lofanalytics-features-family in tenancy • Allow group to manage all-resources in tenancy where any {request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_CREATE’, request.permission=‘LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_ENTITY_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_SOURCE_READ’, request.permission=‘BUCKET_UPDATE’, request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_DELETE’} • Allow service loganalytics to read buckets in tenancy • Allow service loganalytics to read objects in tenancy • Allow service loganalytics to manage cloudevents-rules in tenancy • Allow service loganalytics to inspect compartments in tenancy • Allow service loganalytics to use tag-namespaces in tenancy where all {target.tag- namespace.name=/oracle-tags/} 25 Copyright © 2020, Oracle and/or its affiliates

Slide 26

Slide 26 text

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 26 Copyright © 2020, Oracle and/or its affiliates

Slide 27

Slide 27 text

必要な操作 ① 構成コンテンツファイルのダウンロード ② 構成コンテンツファイルをLogging Analyticsにインポート (※構成コンテンツファイルをインポートするユーザーは、テナンシレベルでloganalytics-features-familyのuse権限を 持っている必要があります。) 27 Copyright © 2020, Oracle and/or its affiliates

Slide 28

Slide 28 text

①構成コンテンツファイルのダウンロード • ログ・ソース、ログ・パーサーを作成するための構成コンテンツファイルを以下URLからダウンロード https://blogs.oracle.com/content/published/api/v1.1/assets/CONT05B0EF1B440241CBA74E 73543C5D2644/Medium?cb=_cache_ae51&format=jpg&channelToken=32b6159b1a584abfbf 8cc69776aefcb0 28 Copyright © 2020, Oracle and/or its affiliates

Slide 29

Slide 29 text

②構成コンテンツファイルをLogging Analyticsにインポート OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> 構成コンテンツのインポート 29 Copyright © 2020, Oracle and/or its affiliates ダウンロードしたlog_source.zipファイ ルを選択し、インポート

Slide 30

Slide 30 text

動作の確認① OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> ソース 30 Copyright © 2020, Oracle and/or its affiliates “WAF”で検索し、WAF_LOGSという ソースが追加されていることを確認

Slide 31

Slide 31 text

動作の確認② OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> パーサー 31 Copyright © 2020, Oracle and/or its affiliates “WAF”で検索し、waf_cachinglog とwaf_lualogが追加されていることを 確認

Slide 32

Slide 32 text

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 32 Copyright © 2020, Oracle and/or its affiliates

Slide 33

Slide 33 text

必要な操作 ① Object Collection Ruleの作成 (※OCI CLIコマンドを使用します。OCI CLIのインストール・構成方法については本資料のP.37にドキュメントのリンクが記載されていま す。) 33 Copyright © 2020, Oracle and/or its affiliates

Slide 34

Slide 34 text

①Object Collection Ruleの作成 • OCI CLIがインストール・構成されているインスタンスにログインし、以下のコマンドを実行します。コマンドの詳細、その 他オプションは本資料のReferenceページに記載のリンクからご確認ください。 $oci log-analytics object-collection-rule create –-name <ルール名> --compartment-id < コンパートメントのOCID(p.15)> --os-namespace <バケットのネームスペース(p.14)> --os-bucket-name < バケット名(p.14)> --log-group-id <ログ・グループのOCID(p.39)> --log-source-name WAF_LOGS -- namespace-name --collection-type HISTORIC_LIVE –-poll-since BEGINNING 34 Copyright © 2020, Oracle and/or its affiliates ログ・グループのOCID、およびLogging Analayticsのネームスペースの確認方法は本資 料の巻末に補足として記載しています。

Slide 35

Slide 35 text

動作の確認① • 以下のようなResponse Bodyが返ってきます。 { "data": { "char-encoding": null, "collection-type": "HISTORIC_LIVE", "compartment-id": "ocid1.compartment.oc1 "is-enabled": true, "lifecycle-details": null, "lifecycle-state": "ACTIVE”, “name”: “waflogupload”, …………………… …………………… “os-bucket-name”: “WAFLog_bucket”, “os-namespace”: “orasejapan”, “overrides”: null, “poll-since”: “1970-01-01T00:00:00.000Z”, “poll-till”: null, “time-created”: “2021-03-10T06:37:30.686000+00:00”, “time-updated”: “2021-03-10T06:37:30.686000+00:00” }, “etag”: “1f78f2672c639f754f29b60b824b759c1299b6724f35046fc908541a55da56e9” } 35 Copyright © 2020, Oracle and/or its affiliates

Slide 36

Slide 36 text

動作の確認② OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> ログ・エクスプローラ 36 Copyright © 2020, Oracle and/or its affiliates WAF_LOGSというログソースが、ログ・ エクスプローラーから確認できるようにな ります。

Slide 37

Slide 37 text

Reference ・OCI CLIインストール方法 https://docs.oracle.com/ja-jp/iaas/Content/API/SDKDocs/cliinstall.htm ・OCI CLIコマンド https://docs.oracle.com/en-us/iaas/tools/oci-cli/2.14.3/oci_cli_docs/cmdref/log- analytics/object-collection-rule/create.html 37 Copyright © 2020, Oracle and/or its affiliates

Slide 38

Slide 38 text

Copyright © 2020, Oracle and/or its affiliates 38 補足 Object Collection Rule作成時のリソース情報の収集

Slide 39

Slide 39 text

ログ・グループのOCID OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> ログ・グループ -> ログ・グループ詳細 39 Copyright © 2020, Oracle and/or its affiliates

Slide 40

Slide 40 text

Logging Analyticsサービスのネームスペース OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> サービス詳細 40 Copyright © 2020, Oracle and/or its affiliates

Slide 41

Slide 41 text

41 Copyright © 2020, Oracle and/or its affiliates