Presentamos una nueva experiencia de consola para AWS WAF

Ahora puede usar la experiencia actualizada para acceder a las AWS WAF funciones desde cualquier parte de la consola. Para obtener más información, consulte Trabajar con la consola.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Registros de flujo de ataques de Shield Advanced

Los registros de flujo le permiten capturar información sobre el tráfico que va a las interfaces de red de sus recursos protegidos de Shield Advanced. Los datos del registro de flujo se publican en Amazon S3, Amazon CloudWatch Logs o Amazon Data Firehose, donde puede recuperar y ver los datos una vez que haya activado los registros de flujo.

Habilitación de publicación de registros de flujo en Amazon S3

Para publicar registros de flujo en Amazon S3, debe configurar los permisos de IAM para las acciones de entrega de registros y para el servicio Shield.

Permisos de IAM para publicar registros de flujo

Una entidad principal de IAM, como un rol o un usuario de IAM, debe tener permisos suficientes para publicar registros de flujo en el bucket de Amazon S3. La política de IAM debe incluir los permisos siguientes:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadWriteAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:GetDelivery",
                "logs:GetDeliverySource",
                "logs:PutDeliveryDestination",
                "logs:GetDeliveryDestinationPolicy",
                "logs:DeleteDeliverySource",
                "logs:PutDeliveryDestinationPolicy",
                "logs:CreateDelivery",
                "logs:GetDeliveryDestination",
                "logs:PutDeliverySource",
                "logs:DeleteDeliveryDestination",
                "logs:DeleteDeliveryDestinationPolicy",
                "logs:DeleteDelivery",
                "logs:UpdateDeliveryConfiguration"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:accountID:delivery:*",
                "arn:aws:logs:us-east-1:accountID:delivery-source:*",
                "arn:aws:logs:us-east-1:accountID:delivery-destination:*"
            ]
        },
        {
            "Sid": "ListAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:DescribeDeliveryDestinations",
                "logs:DescribeDeliverySources",
                "logs:DescribeDeliveries",
                "logs:DescribeConfigurationTemplates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowUpdatesToResourcePolicyS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutBucketPolicy",
                "s3:GetBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::bucket-name"
        }
    ]
}

En la política anterior, accountID sustitúyalo por tu ID de AWS cuenta y bucket-name por el nombre de tu bucket de Amazon S3.

Shield permisos específicos del servicio

Además de los permisos específicos del destino, AWS Shield requiere una autorización explícita para poder enviar registros desde sus recursos. Esto proporciona un nivel de seguridad adicional. Shield autoriza la AllowVendedLogDeliveryForResource acción para los recursos de protección que venden registros:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ServiceLevelAccessForLogDelivery",
            "Effect": "Allow",
            "Action": [
                "shield:AllowVendedLogDeliveryForResource"
            ],
            "Resource": "arn:aws:shield::accountID:protection/*"
        }
    ]
}

accountIDSustitúyala por tu ID de AWS cuenta.

Para habilitar la entrega del registro de flujo

La entrega de un registro funcional consta de tres elementos. Utilice el siguiente procedimiento para configurar cada elemento mediante el AWS CLI.

Archivos de registro de flujo

Los registros de flujo de su protección Shield se publican en un bucket de Amazon S3 a intervalos de 5 minutos durante un ataque. Los archivos de registro se escriben cada cinco minutos y cada archivo de registro contiene registros de flujo del tráfico de direcciones IP registrado en los cinco minutos anteriores.

El tamaño de archivo máximo de un archivo log es de 75 MB. Si el archivo de registro alcanza el límite de tamaño de archivo en el periodo de cinco minutos, el archivo de flujo deja de agregar entradas de registros de flujo a este archivo, publica el archivo en el bucket de Amazon S3 y después crea un nuevo archivo de registro.

Los archivos de registro están comprimidos. Si abre los archivos de registro con la consola de Amazon S3, se descomprimen y se muestran las entradas de registro. Si descarga los archivos de registro, debe descomprimirlos para verlos.

Un único archivo de registro contiene entradas intercaladas con varios registros. Para ver todos los archivos de registro de una protección, busque las entradas agrupadas por el nombre de la protección, la región y el ID de su cuenta.

Sintaxis de las entradas de registro de flujo

Un registro de flujo es una cadena separada por espacios con los siguientes campos.