Wir stellen vor: ein neues Konsolenerlebnis für AWS WAF

Sie können das aktualisierte Erlebnis jetzt verwenden, um überall in der Konsole auf AWS WAF Funktionen zuzugreifen. Weitere Informationen finden Sie unter Arbeiten mit der Konsole.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Shield Advanced-Angriffsflussprotokolle

Mithilfe von Flussprotokollen können Sie Informationen über den Datenverkehr erfassen, der zu Netzwerkschnittstellen in Ihren geschützten Shield Advanced-Ressourcen fließt. Flow-Protokolldaten werden in Amazon S3, Amazon CloudWatch Logs oder Amazon Data Firehose veröffentlicht, wo Sie Ihre Daten abrufen und anzeigen können, nachdem Sie Flow-Logs aktiviert haben.

Veröffentlichung von Flow-Protokollen auf Amazon S3 aktivieren

Um Flow-Logs auf Amazon S3 zu veröffentlichen, müssen Sie IAM-Berechtigungen für die Protokollzustellungsaktionen und für den Shield-Service konfigurieren.

IAM-Berechtigungen für die Veröffentlichung von Flow-Protokollen

Ein IAM-Prinzipal, z. B. eine IAM-Rolle oder ein IAM-Benutzer, muss über ausreichende Berechtigungen verfügen, um Flow-Logs im Amazon S3 S3-Bucket zu veröffentlichen. Die IAM-Richtlinie muss die folgenden Berechtigungen beinhalten:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadWriteAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:GetDelivery",
                "logs:GetDeliverySource",
                "logs:PutDeliveryDestination",
                "logs:GetDeliveryDestinationPolicy",
                "logs:DeleteDeliverySource",
                "logs:PutDeliveryDestinationPolicy",
                "logs:CreateDelivery",
                "logs:GetDeliveryDestination",
                "logs:PutDeliverySource",
                "logs:DeleteDeliveryDestination",
                "logs:DeleteDeliveryDestinationPolicy",
                "logs:DeleteDelivery",
                "logs:UpdateDeliveryConfiguration"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:accountID:delivery:*",
                "arn:aws:logs:us-east-1:accountID:delivery-source:*",
                "arn:aws:logs:us-east-1:accountID:delivery-destination:*"
            ]
        },
        {
            "Sid": "ListAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:DescribeDeliveryDestinations",
                "logs:DescribeDeliverySources",
                "logs:DescribeDeliveries",
                "logs:DescribeConfigurationTemplates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowUpdatesToResourcePolicyS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutBucketPolicy",
                "s3:GetBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::bucket-name"
        }
    ]
}

Ersetzen Sie dies in der vorherigen Richtlinie accountID durch Ihre AWS Konto-ID und bucket-name durch den Namen Ihres Amazon S3 S3-Buckets.

Dienstspezifische Shield-Berechtigungen

Zusätzlich zu den zielspezifischen Berechtigungen ist AWS Shield eine ausdrückliche Genehmigung erforderlich, damit Sie Protokolle von Ihren Ressourcen aus senden können. Dies bietet eine zusätzliche Sicherheitsebene. Shield autorisiert die AllowVendedLogDeliveryForResource Aktion für Schutzressourcen, die Protokolle verkaufen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ServiceLevelAccessForLogDelivery",
            "Effect": "Allow",
            "Action": [
                "shield:AllowVendedLogDeliveryForResource"
            ],
            "Resource": "arn:aws:shield::accountID:protection/*"
        }
    ]
}

Ersetze es accountID durch deine AWS Konto-ID.

Um die Übermittlung von Flow-Protokollen zu aktivieren

Eine funktionierende Protokollzustellung besteht aus drei Elementen. Gehen Sie wie folgt vor, um jedes Element mithilfe von zu konfigurieren AWS CLI.

Flow-Protokolldateien

Flow-Logs von Ihrem Shield-Schutz werden während eines Angriffs alle 5 Minuten in einem Amazon S3 S3-Bucket veröffentlicht. Protokolldateien werden alle fünf Minuten geschrieben, und jede Protokolldatei enthält Flow-Protokolldatensätze für den IP-Adressverkehr, der in den letzten fünf Minuten aufgezeichnet wurde.

Die maximale Dateigröße für eine Protokolldatei beträgt 75 MB. Wenn die Protokolldatei innerhalb von 5 Minuten die Dateigrößenbeschränkung erreicht, beendet das Flow-Protokoll das Hinzufügen von Flow-Protokolldatensätzen, veröffentlicht sie im Amazon S3 S3-Bucket und erstellt dann eine neue Protokolldatei.

Protokolldateien sind komprimiert. Wenn Sie die Dateien über die Amazon-S3-Konsole öffnen, dekomprimiert Amazon S3 die Protokollsätze und zeigt sie an. Wenn Sie die Protokolldateien herunterladen, müssen Sie sie dekomprimieren, um die Datensätze anzuzeigen.

Eine einzelne Protokolldatei enthält verschachtelte Einträge mit mehreren Datensätzen. Um alle Protokolldateien für einen Schutz zu sehen, suchen Sie nach Einträgen, die nach dem Schutznamen, der Region und Ihrer Konto-ID zusammengefasst sind.

Syntax der Flow-Protokolldatensätze

Ein Flow-Log-Datensatz ist eine durch Leerzeichen getrennte Zeichenfolge mit den folgenden Feldern.