איסוף יומני WAF של Cloudflare

גרסת כלי הניתוח: 6.0

נתמך ב:

Google SecOps SIEM

הכלי הזה מנתח את היומנים בפורמט JSON של חומת האש (WAF) של אפליקציות אינטרנט ב-Cloudflare, משנה אותם וממפה אותם למודל הנתונים המאוחד (UDM). הוא מטפל בפעולות שונות של Cloudflare, מעשיר את הנתונים במטא-נתונים ובפרטי רשת לפני שהוא יוצר את הפלט בפורמט UDM.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• מופע של Google SecOps.
• גישה עם הרשאות ל- Google Cloud.
• מינוי Cloudflare Enterprise.
• גישה עם הרשאות ל-Cloudflare. פרטים נוספים זמינים במאמר בנושא Cloudflare.

יצירת Google Cloud קטגוריית אחסון

1. נכנסים למסוף Google Cloud .

2. נכנסים לדף Cloud Storage Buckets.

   כניסה לדף Buckets

3. לוחצים על יצירה.

4. מגדירים את הקטגוריה:

   • שם: מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות (לדוגמה, cloudflare-waf).
   • Choose where to store your data (בחירת המיקום לאחסון הנתונים): בוחרים מיקום.
   • Choose a storage class for your data: בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class).
   • בקטע Choose how to control access to objects, בוחרים באפשרות not כדי לא לאכוף public access prevention, ובוחרים באפשרות access control model לאובייקטים של הקטגוריה.
   הערה: אם מדיניות הארגון של הפרויקט כבר אוכפת מניעת גישה ציבורית, תיבת הסימון Prevent public access נעולה.
   • סוג אחסון (storage class): בוחרים לפי הצרכים (לדוגמה, Standard).

5. לוחצים על יצירה.

הערה: אל תגדירו מדיניות שמירת נתונים, כי יכול להיות שיהיה צורך לדרוס את רשומת הנתונים האחרונה במקרה של זמן קצוב לתפוגה.

הענקת הרשאות לקטגוריה למשתמש IAM ב-Cloudflare

1. ב- Google Cloud, עוברים אל אחסון > דפדפן > מאגר > הרשאות.
2. מוסיפים את החשבון [e-mail] עם הרשאת אדמין של אובייקט אחסון.

יצירת משימת Logpush ליומני WAF באמצעות ממשק המשתמש של Cloudflare

1. נכנסים ל-Cloudflare.
2. עוברים אל Analytics & Logs > Logpush.
3. לוחצים על יצירת עבודת Logpush.
4. בקטע בחירת יעד, בוחרים באפשרות Google Cloud אחסון.
5. מזינים את פרטי היעד הבאים:
   • Bucket: Google Cloud שם קטגוריית האחסון
   • Path: מיקום הקטגוריה במאגר האחסון
   • בוחרים באפשרות ארגון היומנים בתיקיות משנה יומיות.
6. לוחצים על Continue.

הערה: כדי להוכיח בעלות, Cloudflare ישלח קובץ ליעד שצוין. כדי למצוא את האסימון, לוחצים על הלחצן Open (פתיחה) בכרטיסייה Overview (סקירה כללית) של קובץ אתגר הבעלות, ואז מדביקים אותו בלוח הבקרה של Cloudflare כדי לאמת את הגישה לקטגוריה. מזינים את טוקן הבעלות ולוחצים על 'המשך'.

1. בוחרים את מערך הנתונים Security (WAF) כדי להעביר אותו לאחסון.
2. מגדירים את עבודת הדחיפה של היומן:
   • מזינים שם למשימה.
   • בקטע 'אם היומנים תואמים', אפשר לבחור את האירועים שרוצים לכלול או להסיר מהיומנים. מידע נוסף זמין במאמר בנושא מסננים. האפשרות הזו לא זמינה בכל קבוצות הנתונים.
   • בשדות Send the following (שליחת הפריטים הבאים), אפשר לבחור אם להעביר את כל היומנים ליעד האחסון או לבחור באופן סלקטיבי אילו יומנים רוצים להעביר.
3. לוחצים על שליחה.

הגדרת פידים

כדי להגדיר פיד:

1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה Feed name (שם הפיד), מזינים שם לפיד (לדוגמה, Cloudflare WAF Logs).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Cloudflare WAF בתור סוג היומן.
7. לוחצים על קבלת חשבון שירות.
8. לוחצים על הבא.

9. מציינים ערכים לפרמטרים הבאים של הקלט:

   • ‫Storage Bucket URI: כתובת ה-URL של Cloud Storage.
   • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפה.
   הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, חשוב לוודא שהענקתם הרשאות מתאימות לחשבון השירות. * הגיל המקסימלי של הקובץ: כולל קבצים ששונו במהלך מספר הימים האחרון. ברירת המחדל היא 180 ימים.

10. לוחצים על הבא.

11. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
Action	security_result.action_details	הערך של Action מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
Action	security_result.action	הערך של השדה הזה נגזר מהשדה Action ביומן הגולמי. אם הערך של Action הוא allow, השדה UDM מוגדר ל-ALLOW. אם הערך של Action הוא challengeSolved,‏ jschallengeSolved,‏ managedchallengenoninteractivesolved או managedchallengeinteractivesolved, השדה UDM מוגדר לערך ALLOW_WITH_MODIFICATION. אם הערך של Action הוא drop,‏ block או connectionclose, הערך של השדה UDM מוגדר ל-BLOCK. אם הערך של Action הוא challengefailed או jschallengefailed, השדה UDM מוגדר ל-FAIL. אחרת, הערך הוא UNKNOWN_ACTION.
ClientASN	network.asn	הערך של ClientASN מיומן הגולמי משויך ישירות לשדה הזה ב-UDM אחרי שהוא מומר למחרוזת.
ClientASNDescription	additional.fields.key	המפתח מוגדר באופן סטטי ל-ClientASNDescription.
ClientASNDescription	additional.fields.value.string_value	הערך של ClientASNDescription מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientCountry	principal.location.country_or_region	הערך של ClientCountry מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientIP	principal.ip	הערך של ClientIP מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRefererHost	intermediary.hostname	הערך של ClientRefererHost מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRefererPath	network.http.referral_url	הערך של ClientRefererPath מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRequestHost	target.hostname	הערך של ClientRequestHost מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRequestMethod	network.http.method	הערך של ClientRequestMethod מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRequestPath	target.file.full_path	הערך של ClientRequestPath מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
ClientRequestProtocol	network.application_protocol	החלק של הפרוטוקול ב-ClientRequestProtocol (לדוגמה, 'HTTP' מתוך 'HTTP/1.1') מחולץ באמצעות grok, מומר לאותיות רישיות ומוקצה לשדה הזה ב-UDM.
ClientRequestUserAgent	network.http.user_agent	הערך של ClientRequestUserAgent מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
Datetime	metadata.event_timestamp	הערך של Datetime מיומן הגולמי מנותח כחותמת זמן RFC 3339 ומוקצה לשדה הזה ב-UDM.
EdgeColoCode	additional.fields.key	המפתח מוגדר באופן סטטי ל-EdgeColoCode.
EdgeColoCode	additional.fields.value.string_value	הערך של EdgeColoCode מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
EdgeResponseStatus	network.http.response_code	הערך של EdgeResponseStatus מיומן הגולמי משויך ישירות לשדה הזה ב-UDM ומומר למספר שלם.
Kind	metadata.product_event_type	הערך של Kind מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
Metadata.filter	target.resource.attribute.labels.value	הערך של Metadata.filter מיומן הגולמי משויך לשדה value של תווית בתוך target.resource.attribute.labels. הערך key של התווית הזו מוגדר באופן סטטי כ-Metadata filter.
Metadata.type	target.resource.attribute.labels.value	הערך של Metadata.type מיומן הגולמי משויך לשדה value של תווית בתוך target.resource.attribute.labels. הערך key של התווית הזו מוגדר באופן סטטי כ-'סוג מטא נתונים'. הערך של השדה הזה נגזר על סמך הנוכחות והערכים של ClientIP, ClientRequestHost ו-app_protocol. הלוגיקה הספציפית מופיעה בקוד של כלי הניתוח. מוגדר באופן סטטי ל-Cloudflare. מוגדר באופן סטטי ל-Cloudflare log Aggregator. מוגדר באופן סטטי ל-CLOUDFLARE_WAF.
RayID	metadata.product_log_id	הערך של RayID מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
RuleID	security_result.rule_id	הערך של RuleID מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
Source	security_result.rule_name	הערך של Source מיומן הגולמי משויך ישירות לשדה הזה ב-UDM.
timestamp	metadata.event_timestamp, events.timestamp	הערך של timestamp מיומן הגולמי משויך ישירות לשדות האלה של UDM.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.