F5 Shape 로그 수집

다음에서 지원:

Google secops SIEM

참고: 이 기능은 Google Security Operations 서비스 특정 약관에 있는 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.

이 문서에서는 Google Cloud Storage V2를 사용하여 F5 Shape 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

F5 Distributed Cloud Bot Defense (이전 명칭: Shape Security)는 악성 봇을 식별하고 완화하여 자동화된 공격으로부터 애플리케이션을 보호합니다. Bot Defense는 JavaScript와 네이티브 모바일 SDK를 사용하여 클라이언트 브라우저와 모바일 기기에서 원격 분석을 수집하고 요청이 애플리케이션에 도달하기 전에 이 원격 분석을 검사합니다. 이 서비스는 보안 이벤트, 액세스 로그, 감사 로그 등 분석된 트래픽에 관한 세부정보를 확인할 수 있는 통합 대시보드와 보고 기능을 제공합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Cloud Storage API가 사용 설정된 GCP 프로젝트
• GCS 버킷을 만들고 관리할 수 있는 권한
• GCS 버킷의 IAM 정책을 관리할 수 있는 권한
• F5 Distributed Cloud Console에 대한 액세스 권한
• 멀티 클라우드 네트워크 연결 또는 공유 구성 서비스 액세스 권한이 있는 F5 Distributed Cloud 계정

Google Cloud Storage 버킷 만들기

1. Google Cloud Console로 이동합니다.
2. 프로젝트를 선택하거나 새 프로젝트를 만듭니다.
3. 탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
4. 버킷 만들기를 클릭합니다.

5. 다음 구성 세부정보를 제공합니다.

   설정	값
   버킷 이름 지정	전역적으로 고유한 이름 (예: f5-xc-logs)을 입력합니다.
   위치 유형	필요에 따라 선택합니다 (리전, 이중 리전, 멀티 리전).
   위치	위치를 선택합니다 (예: us-central1).
   스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
   액세스 제어	균일 (권장)
   보호 도구	선택사항: 객체 버전 관리 또는 보관 정책을 사용 설정합니다.

6. 만들기를 클릭합니다.

F5 Shape API 사용자 인증 정보 생성

F5 Distributed Cloud는 인증에 API 인증서 (mTLS) 또는 API 토큰을 사용합니다. 보안 강화를 위해 API 인증서를 사용하는 것이 좋습니다.

API 인증서 만들기

1. F5 Distributed Cloud Console에 로그인합니다.
2. 콘솔 홈페이지에서 관리를 선택합니다.
3. 왼쪽 탐색 메뉴에서 개인 관리 > 사용자 인증 정보로 이동합니다.
4. Add Credentials(사용자 인증 정보 추가)를 클릭합니다.
5. 메타데이터 섹션에 인증서 이름을 입력합니다 (예: secops-integration).
6. 사용자 인증 정보 유형 목록에서 API 인증서를 선택합니다.
7. 비밀번호를 입력하고 비밀번호 확인 필드에서 확인합니다.

8. 캘린더 목록에서 만료일을 선택합니다.

   참고: 허용되는 최대 만료일은 테넌트 관리자가 설정합니다 (최대 365일). 기본 만료일은 90일입니다.

9. 다운로드를 클릭하여 .p12 파일 형식으로 인증서를 생성하고 다운로드합니다.

10. 다운로드한 인증서 파일과 비밀번호를 나중에 사용할 수 있도록 안전하게 저장합니다.

F5 Distributed Cloud에서 GCP 클라우드 사용자 인증 정보 만들기

F5 Distributed Cloud는 Google Cloud 서비스 계정 사용자 인증 정보를 사용하여 GCS 버킷에 로그를 작성합니다.

Google Cloud 서비스 계정 만들기

1. GCP 콘솔에서 IAM 및 관리자 > 서비스 계정으로 이동합니다.
2. 서비스 계정 만들기를 클릭합니다.
3. 다음 구성 세부정보를 제공합니다.
   • 서비스 계정 이름: f5-xc-log-writer (또는 원하는 이름)을 입력합니다.
   • 서비스 계정 설명: Service account for F5 Distributed Cloud to write logs to GCS을 입력합니다.
4. 만들고 계속하기를 클릭합니다.
5. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 다음 단계를 따르세요.
   1. 역할 선택을 클릭합니다.
   2. 스토리지 객체 관리자를 검색하여 선택합니다.
6. 계속을 클릭합니다.
7. 완료를 클릭합니다.

GCS 버킷에 IAM 권한 부여

1. Cloud Storage> 버킷으로 이동합니다.
2. 버킷 이름 (예: f5-xc-logs)을 클릭합니다.
3. 권한 탭으로 이동합니다.
4. 액세스 권한 부여를 클릭합니다.
5. 다음 구성 세부정보를 제공합니다.
   • 주 구성원 추가: 서비스 계정 이메일 (예: f5-xc-log-writer@PROJECT_ID.iam.gserviceaccount.com)을 입력합니다.
   • 역할 할당: 스토리지 객체 관리자를 선택합니다.
6. 저장을 클릭합니다.

서비스 계정 키 만들기

1. GCP 콘솔에서 IAM 및 관리자 > 서비스 계정으로 이동합니다.
2. 서비스 계정 (예: f5-xc-log-writer)을 찾아 클릭합니다.
3. 키 탭으로 이동합니다.
4. 키 추가 > 새 키 만들기를 클릭합니다.
5. 키 유형으로 JSON을 선택합니다.
6. 만들기를 클릭합니다.
7. JSON 키 파일이 자동으로 다운로드됩니다. 이 파일을 안전하게 저장합니다.

F5 Distributed Cloud에 Google Cloud Cloud 사용자 인증 정보 추가

1. F5 Distributed Cloud Console의 홈페이지에서 Multi-Cloud Network Connect 또는 Shared Configuration을 선택합니다.
2. 왼쪽 탐색 메뉴에서 관리 > 사이트 관리 > 클라우드 사용자 인증 정보로 이동합니다.
3. Add Cloud Credentials(클라우드 사용자 인증 정보 추가)를 클릭합니다.
4. 메타데이터 섹션에 이름을 입력합니다 (예: gcp-secops-logs).
5. 클라우드 사용자 인증 정보 유형 목록에서 GCP 사용자 인증 정보를 선택합니다.
6. GCP 사용자 인증 정보 섹션에서 구성을 클릭합니다.
7. 서비스 계정 키 섹션에서 다음을 수행합니다.
   1. Secret Type 목록에서 Blindfolded Secret을 선택합니다.
   2. 작업 목록에서 새 보안 비밀 블라인드를 선택합니다.
   3. 정책 유형 목록에서 내장을 선택합니다.
   4. Secret to Blindfold 필드에 다운로드한 JSON 키 파일의 전체 내용을 붙여넣습니다.
8. 적용을 클릭합니다.
9. 저장 후 종료를 클릭합니다.

GCS용 전역 로그 수신기 구성

F5 Distributed Cloud Global Log Receiver는 5분마다 NDJSON 형식 (줄바꿈으로 구분된 JSON)으로 GCS에 로그를 스트리밍합니다.

전역 로그 수신기 만들기

1. F5 Distributed Cloud Console의 홈페이지에서 Multi-Cloud Network Connect 또는 Shared Configuration을 선택합니다.
   • Multi-Cloud Network Connect: 관리 > 로그 관리 > 전역 로그 수신기로 이동합니다.
   • 공유 구성: 관리 > 전역 로그 수신기로 이동합니다.
2. Add Global Log Receiver(전역 로그 수신기 추가)를 클릭합니다.
3. 메타데이터 섹션에 이름을 입력합니다 (예: secops-gcs-receiver).
4. 원하는 경우 라벨과 설명을 추가합니다.

5. 로그 유형 목록에서 수집할 로그 유형을 선택합니다.

   • 요청 로그: 부하 분산기의 HTTP 액세스 로그
   • 보안 이벤트: Bot Defense 및 WAF 보안 이벤트
   • 감사 로그: 구성 및 관리 감사 로그
   • DNS 요청 로그: DNS 쿼리 로그
   참고: 여러 로그 유형을 선택할 수 있습니다. Bot Defense의 경우 로그 요청 및 보안 이벤트를 선택합니다.

6. 로그 메시지 선택 목록에서 다음을 실행합니다.

   • 멀티 클라우드 네트워크 연결 서비스를 사용하는 경우 현재 네임스페이스에서 로그 선택 (시스템 네임스페이스)을 선택합니다.
   • 공유 구성 서비스를 사용하는 경우 다음 중 하나를 선택합니다.
     • 현재 네임스페이스의 로그 선택: 공유 네임스페이스의 로그만 전송합니다.
     • 모든 네임스페이스에서 로그 선택: 모든 네임스페이스에서 로그를 전송합니다.
     • 특정 네임스페이스의 로그 선택: 특정 네임스페이스 이름을 입력하고 항목 추가를 클릭하여 더 추가합니다.

7. 수신기 구성 목록에서 GCP 버킷을 선택합니다.

8. GCP 버킷 섹션에서 다음 구성을 제공합니다.

   • GCP 버킷 이름: GCS 버킷 이름 (예: f5-xc-logs)을 입력합니다.
   • GCP 클라우드 사용자 인증 정보: 목록에서 생성한 클라우드 사용자 인증 정보를 선택합니다 (예: gcp-secops-logs).

고급 설정 구성(선택사항)

1. 고급 필드 표시 전환 버튼을 클릭합니다.

2. 일괄 옵션 섹션에서 다음을 구성합니다 (선택사항).

   • 일괄 제한 시간 옵션: 제한 시간(초)을 선택하고 값을 입력합니다(기본값: 300초).
   • 일괄 최대 이벤트: 최대 이벤트를 선택하고 32~2000 사이의 값을 입력합니다 (선택사항).
   • Batch Bytes(일괄 처리 바이트): Max Bytes(최대 바이트)를 선택하고 4096~1048576 사이의 값을 입력합니다(기본값: 10485760바이트 / 10MB).
   참고: 로그는 5분마다 또는 배치 크기 한도에 도달할 때마다 둘 중 먼저 발생하는 시점에 작성됩니다.

구성 완료 및 테스트

1. 저장 후 종료를 클릭하여 전역 로그 수신기를 만듭니다.
2. 전역 로그 수신기 목록에서 수신기를 찾습니다 (예: secops-gcs-receiver).
3. 작업 열에서 점 3개 ...를 클릭하고 연결 테스트를 선택합니다.

4. 테스트가 완료될 때까지 기다립니다. 성공 메시지는 연결이 작동함을 나타냅니다.

   참고: F5 Distributed Cloud는 HTTP 응답 코드 429, 500 이상 (501 제외)의 연결 실패 시 최대 20회 재시도합니다.

5. 로그가 GCS에 기록되고 있는지 확인합니다.

   1. GCP 콘솔에서 Cloud Storage> 버킷으로 이동합니다.
   2. 버킷 이름 (예: f5-xc-logs)을 클릭합니다.
   3. 5~10분 이내에 다음 구조로 폴더가 생성됩니다.
      • 일별 폴더: YYYY-MM-DD/
      • 시간별 하위 폴더: YYYY-MM-DD/HH/
      • 로그 파일: YYYY-MM-DD/HH/logs_YYYYMMDDHHMMSS.ndjson.gz
   참고: 로그 파일은 gzip으로 압축되고 NDJSON 형식 (한 줄에 하나의 JSON 객체)으로 작성됩니다.

방화벽 허용 목록 구성

F5 Distributed Cloud에서는 로그 전송을 위해 방화벽에서 특정 IP 범위가 허용되어야 합니다.

방화벽의 허용 목록에 다음 IP 주소 범위를 추가합니다.

• 193.16.236.64/29
• 185.160.8.152/29

참고: 이러한 IP 범위는 F5 Distributed Cloud Regional Edge (RE) 사이트가 외부 시스템에 로그를 전송하는 데 사용됩니다.

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 GCS 버킷에서 데이터를 읽습니다. 이 서비스 계정에 버킷에 대한 액세스 권한을 부여해야 합니다.

서비스 계정 이메일 가져오기

1. SIEM 설정> 피드로 이동합니다.
2. 새 피드 추가를 클릭합니다.
3. 단일 피드 구성을 클릭합니다.
4. 피드 이름 필드에 피드 이름을 입력합니다(예: F5 Distributed Cloud Bot Defense).
5. 소스 유형으로 Google Cloud Storage V2를 선택합니다.
6. 로그 유형으로 F5_SHAPE를 선택합니다.

7. 서비스 계정 가져오기를 클릭합니다. 고유한 서비스 계정 이메일이 표시됩니다(예:

   [e-mail]
   

8. 다음 단계에서 사용할 이메일 주소를 복사합니다.

   참고: 각 Google SecOps 인스턴스에는 고유한 서비스 계정이 있습니다. 다른 문서나 예시의 서비스 계정을 사용하지 마세요.

9. 다음을 클릭합니다.

10. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URL: 다음 접두사 경로를 사용하여 GCS 버킷 URI를 입력합니다.

      gs://f5-xc-logs/
      

      • f5-xc-logs을 실제 GCS 버킷 이름으로 바꿉니다.
      • 전역 로그 수신기에 특정 접두사를 구성한 경우 경로에 포함합니다 (예: gs://f5-xc-logs/bot-defense/).
    참고: URI 끝에 항상 후행 슬래시 (/)를 포함하세요.

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
      • 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.

      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.

        참고: 삭제 옵션을 선택하는 경우 서비스 계정에는 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할이 있어야 합니다. 이에 따라 IAM 권한을 업데이트합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다 (기본값은 180일).

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

11. 다음을 클릭합니다.

12. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

1. Cloud Storage> 버킷으로 이동합니다.
2. 버킷 이름 (예: f5-xc-logs)을 클릭합니다.
3. 권한 탭으로 이동합니다.
4. 액세스 권한 부여를 클릭합니다.
5. 다음 구성 세부정보를 제공합니다.
   • 주 구성원 추가: Google SecOps 서비스 계정 이메일 붙여넣기
   • 역할 할당: 스토리지 객체 뷰어 선택
6. 저장을 클릭합니다.

참고: '전송된 파일 삭제' 또는 '전송된 파일 및 빈 디렉터리 삭제' 삭제 옵션을 사용하려면 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할을 부여하세요.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
msg.requestHeaders.Proxy-Client-IP, msg.requestHeaders.WF-Forwarded-For, msg.requestHeaders.X-Forwarded-For, msg.requestHeaders.wl-proxy-client-ip, msg.hashedUserAgent, msg.transactionId, msg.hashedUsername, msg.dcgShapeFailedOn, ShapeShifterId, eventType, eventId, latRequest, latResponse, latTotal, latRspWait, count, latEccWait	additional.fields	다양한 필드에서 생성된 라벨에서 병합됨
intermediary	intermediary	비어 있지 않은 경우 값이 직접 복사됨
설명	metadata.description	값이 직접 복사됨
target, has_principal_machine	metadata.event_type	target이 ''이 아닌 경우 NETWORK_HTTP로 설정되고, has_principal_machine이 true인 경우 STATUS_UPDATE로 설정되고, 그 밖의 경우에는 GENERIC_EVENT로 설정됩니다.
앱	network.application_protocol	값이 대문자로 변환됨
requestMethod, msg.method	network.http.method	비어 있지 않으면 requestMethod의 값, 그렇지 않으면 msg.method
requestClientApplication, msg.requestHeaders.User-Agent	network.http.parsed_user_agent	비어 있지 않은 경우 requestClientApplication의 값, 그렇지 않은 경우 msg.requestHeaders.User-Agent(파싱된 사용자 에이전트로 변환됨)
requestContext, msg.requestHeaders.Referer	network.http.referral_url	비어 있지 않은 경우 requestContext의 값, 그렇지 않은 경우 msg.requestHeaders.Referer
msg.sseResponseCode, prCode	network.http.response_code	비어 있지 않은 경우 msg.sseResponseCode의 값, 비어 있는 경우 prCode를 정수로 변환
requestClientApplication, msg.requestHeaders.User-Agent	network.http.user_agent	비어 있지 않은 경우 requestClientApplication의 값, 그렇지 않은 경우 msg.requestHeaders.User-Agent
requestHeader.x-shape-src-virtual	observer.ip	값이 직접 복사됨
principal	principal	값이 직접 복사됨
msg.host	principal.asset.hostname	값이 직접 복사됨
src, msg.src, msg.trueClientIP, requestHeader.X-Forwarded-For	principal.asset.ip	비어 있지 않으면 src의 값, 그렇지 않으면 msg.src, 그렇지 않으면 msg.trueClientIP, 그렇지 않으면 src와 같지 않은 경우 X-Forwarded-For의 첫 번째 IP
msg.host	principal.hostname	값이 직접 복사됨
src, msg.src, msg.trueClientIP, requestHeader.X-Forwarded-For	principal.ip	비어 있지 않으면 src의 값, 그렇지 않으면 msg.src, 그렇지 않으면 msg.trueClientIP, 그렇지 않으면 src와 같지 않은 경우 X-Forwarded-For의 첫 번째 IP
msg.requestHeaders	principal.resource.attribute.labels	msg.requestHeaders의 키-값 쌍에서 병합됨
msg.uri	principal.url	값이 직접 복사됨
security_result	security_result	값이 직접 복사됨
deviceExternalId	security_result.about.asset_id	값이 직접 복사됨
flowLabel, agentLabel, requestHeader.Content-Length, requestHeader.Content-Type, requestHeader.Accept, requestHeader.Accept-Encoding, browserType, accountInfo, requestHeader.Via, asn, tid, ctag, requestHeader.Cache-Control, transactionResult	security_result.about.labels	다양한 필드에서 생성된 라벨에서 병합됨
act, msg.transactionResult	security_result.action	act가 PASS와 일치하고 isAttack인 경우 ALLOW로 설정하고, 그렇지 않으면 UNKNOWN_ACTION으로 설정합니다. 또는 msg.transactionResult가 Success인 경우 ALLOW로 설정하고 Failure인 경우 BLOCK으로 설정합니다.
act, msg.transactionResult	security_result.action_details	비어 있지 않은 경우 act의 값, 그렇지 않은 경우 msg.transactionResult
줄이는 것을	security_result.severity	오류, error, warning인 경우 HIGH로 설정하고, critical과 일치하는 경우 CRITICAL로 설정하고, notice인 경우 MEDIUM으로 설정하고, information, info, INFO인 경우 LOW로 설정합니다.
줄이는 것을	security_result.severity_details	값이 직접 복사됨
attackCause	security_result.threat_name	값이 직접 복사됨
target	target	값이 직접 복사됨
appName	target.application	값이 직접 복사됨
dst, msg.dst	target.asset.ip	비어 있지 않으면 dst의 값, 그렇지 않으면 msg.dst
dhost	target.hostname	값이 직접 복사됨
dst, msg.dst	target.ip	비어 있지 않으면 dst의 값, 그렇지 않으면 msg.dst
countryName	target.location.country_or_region	값이 직접 복사됨
dpt	target.port	정수로 변환됨
msg.responseHeaders	target.resource.attribute.labels	msg.responseHeaders의 키-값 쌍에서 병합됨
요청	target.url	값이 직접 복사됨
requestHeader.X-Forwarded-For	intermediary.ip	X-Forwarded-For 배열의 후속 IP로 설정
	metadata.product_name	'모양'으로 설정
	metadata.vendor_name	'F5'로 설정

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.