OCI WAFのログ分析 手順資料 Name 日本オラクル株式会社 テクノロジー・クラウド・エンジニアリング本部 セキュリティー＆マネジメント ソリューション部 2021年11月18日 

本資料は、「How to send OCI WAF Logs to OCI Logging Analytics and get Security Insights」を 動作検証し、和訳したものです。 本資料ではサポート・リクエストを作成してOCI WAFのログをObject Storageに自動的に転送するように設 定をします。Object StorageにWAFのログが格納されたら、Object Collection RuleによってObject Storageに格納されているログをOCI Logging Analyticsに転送することで、OCI Logging Analyticsを使 用してWAFのログを分析することができます。一度サポート・リクエストを作成すると、その後はWAFのログが自 動的にObject Storageに転送されるように構成されるため、都度APIやOCI CLIでログを出力するなどの手間 を省くことができます。 本資料の概要 Copyright © 2020, Oracle and/or its affiliates 2 

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 3 Copyright © 2020, Oracle and/or its affiliates ※各リソースへのアクセス、IAMポリシーの作成、ログ・ソース、ログ・パーサーの作 成などの操作が必要になるため、手順1~4は、テナンシレベルの管理者、もしくは 相当の権限を持つ管理者が操作を実行することを前提とします。 

本資料では、以下のリソースが既に作成・構成されていることを前提とします。 • Logging Analyticsを利用するユーザー • Logging Analyticsを利用するユーザーが属するIAMグループ • WAFのログを格納するためのOCI Object Storage • OCI WAFポリシー • Logging Analyticsサービスのログ・グループ • OCI CLI なお、WAFのログを格納するためのOCI Object Storageがあるコンパートメントは、Logging Analyticsを使用するコン パートメントと同じであることを想定しています。 前提条件 Copyright © 2020, Oracle and/or its affiliates 4 

2 手順概要 OCI WAFログをOCI Object Storageに転送 OCI Logging Analyticsの環境の準備 3 5 Logging Analyticsを使用するためのIAMポリシーの作成 OCI Object StorageからログをLogging Analyticsへ転送 5 Copyright © 2020, Oracle and/or its affiliates 4 1 リソース情報の収集 

必要となるリソースの情報一覧 ① Tenancy OCID ② Region Identifier ③ Logging Analyticsを利用するユーザーのAPI公開鍵とフィンガープリント ④ Logging Analyticsを利用するユーザーのOCID ⑤ Logging Analayticsを利用するユーザーの顧客秘密キーとアクセス・キー ⑥ IAMグループのOCIDとIAMグループ名 ⑦ WAFポリシーのOCID、CNAME、ドメイン ⑧ Object StorageのOCID、バケット名、ネームスペース ⑨ コンパートメントのOCIDとコンパートメント名 6 Copyright © 2020, Oracle and/or its affiliates 

①Tenancy OCID OCIコンソール右上の アイコン -> テナンシ -> テナンシ情報 7 Copyright © 2020, Oracle and/or its affiliates 

②Region Identifier OCI左上の🈪 -> 管理 -> リージョン管理 -> インフラストラクチャ・リージョン -> ホームリージョンのリージョン識別子 8 Copyright © 2020, Oracle and/or its affiliates 

③ユーザーのAPI公開鍵とフィンガープリント OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> APIキー -> APIキーの追加 9 Copyright © 2020, Oracle and/or its affiliates ダウンロードした秘密キーはセキュアな場所に保 存してください。API公開キーと、APIキーの追加 時に生成されるフィンガープリントは手順2で必要 になりますので、手元にメモしてください。 

④ユーザーのOCID OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> OCID 10 Copyright © 2020, Oracle and/or its affiliates 

➄ユーザーの顧客秘密キーとアクセス・キー OCIコンソール右上の アイコン -> ユーザー -> ユーザーの詳細 -> 顧客秘密キー -> 秘密キーの生成 11 Copyright © 2020, Oracle and/or its affiliates 作成した秘密キーのアクセス・キーは手順2で 必要になりますので、手元にメモしてください。 

⑥IAMグループのOCIDとIAMグループ名 OCIコンソール左上の🈪 -> ガバナンスと管理 -> アイデンティティ -> グループ -> グループ詳細 -> OCID&IAM グループ名 12 Copyright © 2020, Oracle and/or its affiliates 

⑦WAFポリシーのOCID、CNAME、ドメイン OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリ シー -> WAFポリシー詳細 13 Copyright © 2020, Oracle and/or its affiliates 

⑧Object StorageのOCID、バケット名、ネームスペース OCIコンソール左上の🈪 -> コア・インフラストラクチャ -> オブジェクト・ストレージ -> オブジェクト・ストレージ -> バケット の詳細 14 Copyright © 2020, Oracle and/or its affiliates 

➈コンパートメントのOCIDとコンパートメント名 OCIコンソール左上の🈪 ->ガバナンスと管理 -> アイデンティティ -> コンパートメント -> コンパートメント詳細 15 Copyright © 2020, Oracle and/or its affiliates 

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 16 Copyright © 2020, Oracle and/or its affiliates 

必要な操作 ① IAMポリシーの作成 ② サポート・リクエストの作成(OCI WAFコンソール/My Oracle Support) ※サポート・リクエストはOCIのWAFのコンソール、またはMy Oracle Supportから作成することができます。 17 Copyright © 2020, Oracle and/or its affiliates 

①IAMポリシーの作成 • Logging Analyticsを使用するユーザーにObject Storageへの操作権限を付与 Allow group to manage object-family in compartment 18 Copyright © 2020, Oracle and/or its affiliates 

②サポート・リクエストの作成(OCI WAFコンソールの場合) 19 Copyright © 2020, Oracle and/or its affiliates OCIコンソール左上の🈪 -> ガバナンスと管理 -> セキュリティ -> Webアプリケーション・ファイアウォール -> WAFポリ シー -> サポートリクエストの作成 

②サポート・リクエストの作成(OCI WAFコンソールの場合) • 「問題の説明」に以下の情報を記入 1. WAFのログをObject Storageに格納してほしいという主旨のメッ セージ 2. 参考となるサイトの URL(https://blogs.oracle.com/cloudsecurity/how-to- send-oci-waf-logs-to-oci-logging-analytics-and-get- security-insights-v3) 3. 手順1で収集した情報 • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 • 「サポートが必要ですが、緊急ではありません(標準)」に チェックし、作成 20 Copyright © 2020, Oracle and/or its affiliates 

②サポート・リクエストの作成(My Oracle Supportの場合) ・My Oracle Supportにログイン -> Service Requests -> Create Technical SR 21 Copyright © 2020, Oracle and/or its affiliates ・各フィールドに以下の情報を記入し、Nextをクリック Problem：「WAFのログをObject Storageに格納してほし い」という主旨のメッセージ Problem Description : 「WAFログの分析をOCI Logging Analyticsで行いたいため、Object Storageにロ グを格納してほしい」という主旨のメッセージ Service Type : “Oracle Cloud Infrastructure” を 選択 Service : 該当テナンシを選択 Problem Type: “22. Edge Services – Web Application Firewall(WAF) > Logs” を選択 Support Identifier : 該当テナンシのIdentifierを選択 Severity : “3 – Minor loss of service”を選択 

②サポート・リクエストの作成(My Oracle Supportの場合) • More Detailsのステップの各設問に以下情報を記入し、作成 1. 質問で聞かれているa~eの情報を記入 2. 手順1で収集したリソースの情報と、参考となるサイトのURL を記入 • 参考となるサイトのURL (https://blogs.oracle.com/cloudsecurity/how-to -send-oci-waf-logs-to-oci-logging-analytics-and- get-security-insights-v3) • Tenancy OCID • Region Idntifier • ユーザーのAPI公開鍵とフィンガープリント • ユーザーのOCID • ユーザーの顧客秘密キーとアクセス・キー • IAMグループのOCIDとIAMグループ名 • WAFポリシーのOCID、CNAME、ドメイン • Object StorageのOCID、バケット名、ネームスペース • コンパートメントのOCIDとコンパートメント名 3. その他は、Not Applicableを選択、もしくはN/Aを記入 22 Copyright © 2020, Oracle and/or its affiliates 

動作の確認 サポート・リクエストを作成して一週間程度待つと、OCI Object StorageにWAFのログが格納されます。 23 Copyright © 2020, Oracle and/or its affiliates 

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 24 Copyright © 2020, Oracle and/or its affiliates 

作成するIAMポリシー一覧 • Allow service loganalytics to read lofanalytics-features-family in tenancy • Allow group to manage all-resources in tenancy where any {request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_CREATE’, request.permission=‘LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_ENTITY_UPLOAD_LOGS’, request.permission=‘LOG_ANALYTICS_SOURCE_READ’, request.permission=‘BUCKET_UPDATE’, request.permission=‘LOG_ANALYTICS_OBJECT_COLLECTION_RULE_DELETE’} • Allow service loganalytics to read buckets in tenancy • Allow service loganalytics to read objects in tenancy • Allow service loganalytics to manage cloudevents-rules in tenancy • Allow service loganalytics to inspect compartments in tenancy • Allow service loganalytics to use tag-namespaces in tenancy where all {target.tag- namespace.name=/oracle-tags/} 25 Copyright © 2020, Oracle and/or its affiliates 

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 26 Copyright © 2020, Oracle and/or its affiliates 

必要な操作 ① 構成コンテンツファイルのダウンロード ② 構成コンテンツファイルをLogging Analyticsにインポート (※構成コンテンツファイルをインポートするユーザーは、テナンシレベルでloganalytics-features-familyのuse権限を 持っている必要があります。) 27 Copyright © 2020, Oracle and/or its affiliates 

①構成コンテンツファイルのダウンロード • ログ・ソース、ログ・パーサーを作成するための構成コンテンツファイルを以下URLからダウンロード https://blogs.oracle.com/content/published/api/v1.1/assets/CONT05B0EF1B440241CBA74E 73543C5D2644/Medium?cb=_cache_ae51&format=jpg&channelToken=32b6159b1a584abfbf 8cc69776aefcb0 28 Copyright © 2020, Oracle and/or its affiliates 

②構成コンテンツファイルをLogging Analyticsにインポート OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> 構成コンテンツのインポート 29 Copyright © 2020, Oracle and/or its affiliates ダウンロードしたlog_source.zipファイ ルを選択し、インポート 

動作の確認① OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> ソース 30 Copyright © 2020, Oracle and/or its affiliates “WAF”で検索し、WAF_LOGSという ソースが追加されていることを確認 

動作の確認② OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> パーサー 31 Copyright © 2020, Oracle and/or its affiliates “WAF”で検索し、waf_cachinglog とwaf_lualogが追加されていることを 確認 

手順概要 1 リソース情報の収集 2 OCI WAFログをOCI Object Storageに転送 3 Logging Analyticsを使用するためのIAMポリシーの作成 4 OCI Logging Analyticsの環境の準備 5 OCI Object StorageからログをLogging Analyticsへ転送 32 Copyright © 2020, Oracle and/or its affiliates 

必要な操作 ① Object Collection Ruleの作成 (※OCI CLIコマンドを使用します。OCI CLIのインストール・構成方法については本資料のP.37にドキュメントのリンクが記載されていま す。) 33 Copyright © 2020, Oracle and/or its affiliates 

①Object Collection Ruleの作成 • OCI CLIがインストール・構成されているインスタンスにログインし、以下のコマンドを実行します。コマンドの詳細、その 他オプションは本資料のReferenceページに記載のリンクからご確認ください。 $oci log-analytics object-collection-rule create –-name <ルール名> --compartment-id < コンパートメントのOCID(p.15)> --os-namespace <バケットのネームスペース(p.14)> --os-bucket-name < バケット名(p.14)> --log-group-id <ログ・グループのOCID(p.39)> --log-source-name WAF_LOGS -- namespace-name --collection-type HISTORIC_LIVE –-poll-since BEGINNING 34 Copyright © 2020, Oracle and/or its affiliates ログ・グループのOCID、およびLogging Analayticsのネームスペースの確認方法は本資 料の巻末に補足として記載しています。 

動作の確認① • 以下のようなResponse Bodyが返ってきます。 { "data": { "char-encoding": null, "collection-type": "HISTORIC_LIVE", "compartment-id": "ocid1.compartment.oc1 "is-enabled": true, "lifecycle-details": null, "lifecycle-state": "ACTIVE”, “name”: “waflogupload”, …………………… …………………… “os-bucket-name”: “WAFLog_bucket”, “os-namespace”: “orasejapan”, “overrides”: null, “poll-since”: “1970-01-01T00:00:00.000Z”, “poll-till”: null, “time-created”: “2021-03-10T06:37:30.686000+00:00”, “time-updated”: “2021-03-10T06:37:30.686000+00:00” }, “etag”: “1f78f2672c639f754f29b60b824b759c1299b6724f35046fc908541a55da56e9” } 35 Copyright © 2020, Oracle and/or its affiliates 

動作の確認② OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> ログ・エクスプローラ 36 Copyright © 2020, Oracle and/or its affiliates WAF_LOGSというログソースが、ログ・ エクスプローラーから確認できるようにな ります。 

Reference ・OCI CLIインストール方法 https://docs.oracle.com/ja-jp/iaas/Content/API/SDKDocs/cliinstall.htm ・OCI CLIコマンド https://docs.oracle.com/en-us/iaas/tools/oci-cli/2.14.3/oci_cli_docs/cmdref/log- analytics/object-collection-rule/create.html 37 Copyright © 2020, Oracle and/or its affiliates 

Copyright © 2020, Oracle and/or its affiliates 38 補足 Object Collection Rule作成時のリソース情報の収集 

ログ・グループのOCID OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> ログ・グループ -> ログ・グループ詳細 39 Copyright © 2020, Oracle and/or its affiliates 

Logging Analyticsサービスのネームスペース OCIコンソール左上の🈪 ->モニタリングと診断 -> ログ・分析 -> 管理 -> サービス詳細 40 Copyright © 2020, Oracle and/or its affiliates 

41 Copyright © 2020, Oracle and/or its affiliates