Mengumpulkan log Edgio WAF

Versi Parser: 1.0

Didukung di:

Panduan ini menjelaskan cara menyerap log Edgio firewall aplikasi web (WAF) ke Google Security Operations menggunakan Google Cloud Storage. Layanan Real-Time Log Delivery (RTLD) Edgio dapat otomatis mengirimkan data log WAF yang dikompresi langsung ke bucket Cloud Storage, yang kemudian dapat diserap oleh Google SecOps untuk analisis dan pemantauan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps.
  • Akses istimewa ke Platform Google Cloud .
  • Akses istimewa ke Edgio Console.
  • Properti Edgio aktif dengan WAF yang diaktifkan.

Mengonfigurasi bucket Google Cloud Storage

  1. Login ke Google Cloud console.
  2. Buka Cloud Storage > Buckets.
  3. Klik Create.
  4. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama bucket yang unik (misalnya, edgio-waf-logs).
    • Location type: Pilih Region atau Multi-region berdasarkan kebutuhan Anda.
    • Location: Pilih lokasi yang paling dekat dengan deployment Edgio Anda.
    • Storage class: Pilih Standard.
    • Kontrol akses: Pilih Uniform.
    • Encryption: Pilih Google-owned and Google-managed encryption key.
  5. Klik Create.

Mengonfigurasi izin bucket untuk Edgio

  1. Di konsolGoogle Cloud , buka bucket yang baru dibuat.
  2. Klik Izin.
  3. Klik Grant Access.
  4. Di kolom New principals, tambahkan: real-time-log-delivery@durable-firefly-334516.iam.gserviceaccount.com
  5. Di daftar Select a role, pilih Storage Object Creator.
  6. Klik Simpan.

Mengonfigurasi Pengiriman Log Real-Time Edgio

  1. Login ke Edgio Console.
  2. Pilih ruang pribadi atau organisasi Anda.
  3. Pilih properti yang diperlukan.
  4. Dari panel kiri, pilih lingkungan yang diperlukan.
  5. Dari panel kiri, klik Realtime Log Delivery.
  6. Klik + New Log Delivery Profile.
  7. Pilih WAF sebagai jenis log.
  8. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Google SecOps WAF Logs).
    • Destination: Pilih Google Cloud Storage.
    • Bucket: Masukkan nama bucket GCS Anda (misalnya, edgio-waf-logs).
    • Prefix: Opsional. Masukkan awalan untuk organisasi log (misalnya, waf/).
    • Log Format: Pilih JSON (default).
    • Downsample the Logs: Jangan centang untuk pengiriman log lengkap.
  9. Di bagian Fields, pastikan semua kolom yang wajib diisi telah dipilih. Kolom utama mencakup:
    • account_number
    • action_type
    • client_city
    • client_country_code
    • client_ip
    • client_tls_ja3_md5
    • host
    • referer
    • rule_message
    • rule_tags
    • server_port
    • sub_events
    • sub_events_count
    • timestamp
    • URL
    • user_agent
    • uuid
    • waf_instance_name
    • waf_profile_name
    • waf_profile_type
  10. Klik Simpan.

Mengonfigurasi feed di Google SecOps untuk menyerap log Edgio WAF

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik Tambahkan baru.
  3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Edgio WAF Logs).
  4. Pilih Google Cloud Storage V2 sebagai Source type.
  5. Pilih Edgio WAF sebagai Log type.
  6. Klik Get Service Account.
  7. Salin email akun layanan yang ditampilkan.
  8. Klik Berikutnya.
  9. Tentukan nilai untuk parameter input berikut:
    • Storage Bucket URI: Masukkan URI bucket Cloud Storage Anda (format: gs://edgio-waf-logs/waf/).
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
    • Namespace aset: Namespace aset.
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
  10. Klik Berikutnya.
  11. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Memberikan izin ke akun layanan Google SecOps

  1. Kembali ke Google Cloud konsol.
  2. Buka bucket Cloud Storage Anda.
  3. Klik Izin.
  4. Klik Grant Access.
  5. Di kolom New principals, tempel email akun layanan yang Anda salin dari Google SecOps.
  6. Dalam daftar Select a role, pilih Storage Object Viewer.
  7. Jika Anda memilih opsi penghapusan dalam konfigurasi feed, berikan juga Storage Object Admin.
  8. Klik Simpan.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.