Collecter les journaux Cloudflare WAF

Version de l'analyseur : 6.0

Compatible avec :

Google SecOps SIEM

Cet analyseur extrait les champs des journaux JSON du pare-feu d'application Web (WAF) Cloudflare, les transforme et les mappe au modèle de données unifié (UDM). Il gère différentes actions Cloudflare, enrichit les données avec des métadonnées et des informations réseau, puis structure la sortie au format UDM.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps.
• Accès privilégié à Google Cloud.
• Forfait Cloudflare Enterprise.
• Accès privilégié à Cloudflare. Pour en savoir plus, consultez Cloudflare.

Créer un bucket Google Cloud Cloud Storage

1. Connectez-vous à la console Google Cloud .

2. Accédez à la page Buckets Cloud Storage.

   Accéder à la page "Buckets"

3. Cliquez sur Créer.

4. Configurez le bucket :

   • Nom : saisissez un nom unique qui répond aux exigences de dénomination des buckets (par exemple, cloudflare-waf).
   • Choisissez où stocker vos données : sélectionnez un emplacement.
   • Choisissez une classe de stockage pour vos données : sélectionnez une classe de stockage par défaut pour le bucket ou bien classe automatique pour gérer automatiquement les classes de stockage.
   • Choisissez comment contrôler l'accès aux objets : sélectionnez ne pas appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.
   Remarque : Si la protection contre l'accès public est déjà appliquée par la règle d'administration de votre projet, la case à cocher Empêcher l'accès public est verrouillée.
   • Classe de stockage : choisissez en fonction de vos besoins (par exemple, Standard).

5. Cliquez sur Créer.

Remarque : Ne définissez pas de règle de conservation, car la dernière entrée de données peut devoir être écrasée en cas de délai avant expiration.

Accorder des autorisations de bucket à l'utilisateur IAM Cloudflare

1. Dans Google Cloud, accédez à Stockage > Navigateur > Bucket > Autorisations.
2. Ajoutez le compte [e-mail] avec les autorisations d'administrateur des objets de l'espace de stockage.

Créer un job Logpush pour les journaux WAF à l'aide de l'UI Cloudflare

1. Connectez-vous à Cloudflare.
2. Accédez à Analytics & Logs > Logpush.
3. Sélectionnez Create a Logpush job (Créer un job Logpush).
4. Dans Sélectionner une destination, choisissez Google Cloud Storage.
5. Saisissez les informations de destination suivantes :
   • Bucket : Google Cloud Nom du bucket de stockage
   • Chemin : emplacement du bucket dans le conteneur de stockage
   • Sélectionnez Organiser les journaux dans des sous-dossiers quotidiens.
6. Cliquez sur Continuer.

Remarque : Pour prouver que vous êtes bien le propriétaire, Cloudflare enverra un fichier à la destination que vous avez indiquée. Pour trouver le jeton, sélectionnez le bouton "Ouvrir" dans l'onglet Aperçu du fichier de validation de la propriété, puis collez-le dans le tableau de bord Cloudflare pour valider votre accès au bucket. Saisissez le jeton de propriété, puis sélectionnez "Continuer".

1. Sélectionnez l'ensemble de données Sécurité (WAF) à transférer vers l'espace de stockage.
2. Configurez le job Logpush :
   • Saisissez le nom du job.
   • Sous "Si les journaux correspondent", vous pouvez sélectionner les événements à inclure ou à supprimer de vos journaux. Pour en savoir plus, consultez Filtres. Cette option n'est pas disponible pour tous les ensembles de données.
   • Dans les champs Envoyer les éléments suivants, vous pouvez choisir de transférer tous les journaux vers votre destination de stockage ou de sélectionner ceux que vous souhaitez transférer.
3. Cliquez sur Envoyer.

Configurer des flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
2. Cliquez sur Ajouter un flux d'actualités.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Cloudflare WAF).
5. Sélectionnez Google Cloud Storage V2 comme Type de source.
6. Sélectionnez Cloudflare WAF comme Type de journal.
7. Cliquez sur Get Service Account (Obtenir un compte de service).
8. Cliquez sur Suivant.

9. Spécifiez les valeurs des paramètres d'entrée suivants :

   • URI du bucket de stockage : URL Cloud Storage.
   • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
   Remarque : Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service. * Âge maximal du fichier : inclut les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.

10. Cliquez sur Suivant.

11. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
Action	security_result.action_details	La valeur de Action du journal brut est directement attribuée à ce champ UDM.
Action	security_result.action	La valeur de ce champ est dérivée du champ Action dans le journal brut. Si Action est défini sur "allow", le champ UDM est défini sur ALLOW. Si Action est "challengeSolved", "jschallengeSolved", "managedchallengenoninteractivesolved" ou "managedchallengeinteractivesolved", le champ UDM est défini sur ALLOW_WITH_MODIFICATION. Si Action est défini sur "drop", "block" ou "connectionclose", le champ UDM est défini sur BLOCK. Si Action est défini sur "challengefailed" ou "jschallengefailed", le champ UDM est défini sur FAIL. Sinon, elle est définie sur UNKNOWN_ACTION.
ClientASN	network.asn	La valeur de ClientASN du journal brut est directement attribuée à ce champ UDM après sa conversion en chaîne.
ClientASNDescription	additional.fields.key	La clé est définie de manière statique sur "ClientASNDescription".
ClientASNDescription	additional.fields.value.string_value	La valeur de ClientASNDescription du journal brut est directement attribuée à ce champ UDM.
ClientCountry	principal.location.country_or_region	La valeur de ClientCountry du journal brut est directement attribuée à ce champ UDM.
ClientIP	principal.ip	La valeur de ClientIP du journal brut est directement attribuée à ce champ UDM.
ClientRefererHost	intermediary.hostname	La valeur de ClientRefererHost du journal brut est directement attribuée à ce champ UDM.
ClientRefererPath	network.http.referral_url	La valeur de ClientRefererPath du journal brut est directement attribuée à ce champ UDM.
ClientRequestHost	target.hostname	La valeur de ClientRequestHost du journal brut est directement attribuée à ce champ UDM.
ClientRequestMethod	network.http.method	La valeur de ClientRequestMethod du journal brut est directement attribuée à ce champ UDM.
ClientRequestPath	target.file.full_path	La valeur de ClientRequestPath du journal brut est directement attribuée à ce champ UDM.
ClientRequestProtocol	network.application_protocol	La partie protocole de ClientRequestProtocol (par exemple, "HTTP" de "HTTP/1.1") est extraite à l'aide de grok, convertie en majuscules et attribuée à ce champ UDM.
ClientRequestUserAgent	network.http.user_agent	La valeur de ClientRequestUserAgent du journal brut est directement attribuée à ce champ UDM.
Datetime	metadata.event_timestamp	La valeur de Datetime du journal brut est analysée en tant que code temporel RFC 3339 et attribuée à ce champ UDM.
EdgeColoCode	additional.fields.key	La clé est définie de manière statique sur "EdgeColoCode".
EdgeColoCode	additional.fields.value.string_value	La valeur de EdgeColoCode du journal brut est directement attribuée à ce champ UDM.
EdgeResponseStatus	network.http.response_code	La valeur de EdgeResponseStatus du journal brut est directement attribuée à ce champ UDM et convertie en entier.
Kind	metadata.product_event_type	La valeur de Kind du journal brut est directement attribuée à ce champ UDM.
Metadata.filter	target.resource.attribute.labels.value	La valeur de Metadata.filter du journal brut est attribuée au champ value d'une étiquette dans target.resource.attribute.labels. Le key de ce libellé est défini de manière statique sur "Filtre de métadonnées".
Metadata.type	target.resource.attribute.labels.value	La valeur de Metadata.type du journal brut est attribuée au champ value d'une étiquette dans target.resource.attribute.labels. La valeur key de ce libellé est définie de manière statique sur "Type de métadonnées". La valeur de ce champ est calculée en fonction de la présence et des valeurs de ClientIP, ClientRequestHost et app_protocol. Consultez le code de l'analyseur pour connaître la logique spécifique. Défini de manière statique sur "Cloudflare". Défini de manière statique sur "Cloudflare log Aggregator". Valeur statique définie sur "CLOUDFLARE_WAF".
RayID	metadata.product_log_id	La valeur de RayID du journal brut est directement attribuée à ce champ UDM.
RuleID	security_result.rule_id	La valeur de RuleID du journal brut est directement attribuée à ce champ UDM.
Source	security_result.rule_name	La valeur de Source du journal brut est directement attribuée à ce champ UDM.
timestamp	metadata.event_timestamp, events.timestamp	La valeur de timestamp du journal brut est directement attribuée à ces champs UDM.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.