Ti presentiamo una nuova esperienza di console per AWS WAF

Ora puoi utilizzare l'esperienza aggiornata per accedere alle AWS WAF funzionalità da qualsiasi punto della console. Per ulteriori dettagli, consulta Lavorare con la console.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Registri del flusso di attacco Shield Advanced

I log di flusso consentono di acquisire informazioni sul traffico diretto alle interfacce di rete nelle risorse protette Shield Advanced. I dati dei log di flusso vengono pubblicati su Amazon S3, Amazon CloudWatch Logs o Amazon Data Firehose, dove puoi recuperare e visualizzare i dati dopo aver abilitato i log di flusso.

Abilita la pubblicazione dei log di flusso su Amazon S3

Per pubblicare i log di flusso su Amazon S3, devi configurare le autorizzazioni IAM per le azioni di consegna dei log e per il servizio Shield.

Autorizzazioni IAM per la pubblicazione dei log di flusso

Un principale IAM, ad esempio un ruolo o un utente IAM, deve disporre di autorizzazioni sufficienti per pubblicare i log di flusso nel bucket Amazon S3. La policy IAM deve includere le seguenti autorizzazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadWriteAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:GetDelivery",
                "logs:GetDeliverySource",
                "logs:PutDeliveryDestination",
                "logs:GetDeliveryDestinationPolicy",
                "logs:DeleteDeliverySource",
                "logs:PutDeliveryDestinationPolicy",
                "logs:CreateDelivery",
                "logs:GetDeliveryDestination",
                "logs:PutDeliverySource",
                "logs:DeleteDeliveryDestination",
                "logs:DeleteDeliveryDestinationPolicy",
                "logs:DeleteDelivery",
                "logs:UpdateDeliveryConfiguration"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:accountID:delivery:*",
                "arn:aws:logs:us-east-1:accountID:delivery-source:*",
                "arn:aws:logs:us-east-1:accountID:delivery-destination:*"
            ]
        },
        {
            "Sid": "ListAccessForLogDeliveryActions",
            "Effect": "Allow",
            "Action": [
                "logs:DescribeDeliveryDestinations",
                "logs:DescribeDeliverySources",
                "logs:DescribeDeliveries",
                "logs:DescribeConfigurationTemplates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowUpdatesToResourcePolicyS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutBucketPolicy",
                "s3:GetBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::bucket-name"
        }
    ]
}

Nella politica precedente, sostituiscilo accountID con l'ID del tuo AWS account e bucket-name con il nome del tuo bucket Amazon S3.

Autorizzazioni specifiche del servizio Shield

Oltre alle autorizzazioni specifiche della destinazione, AWS Shield richiede un'autorizzazione esplicita per l'invio dei log dalle tue risorse. Ciò fornisce un ulteriore livello di sicurezza. Shield autorizza l'AllowVendedLogDeliveryForResourceazione per le risorse di protezione che vend logs:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ServiceLevelAccessForLogDelivery",
            "Effect": "Allow",
            "Action": [
                "shield:AllowVendedLogDeliveryForResource"
            ],
            "Resource": "arn:aws:shield::accountID:protection/*"
        }
    ]
}

Sostituiscilo accountID con l'ID del tuo account. AWS

Per abilitare la consegna dei log di flusso

La consegna di un log funzionante è composta da tre elementi. Utilizzare la procedura seguente per configurare ogni elemento utilizzando AWS CLI.

File di log di flusso

I log di flusso della tua protezione Shield vengono pubblicati su un bucket Amazon S3 a intervalli di 5 minuti durante un attacco. I file di registro vengono scritti ogni cinque minuti e ogni file di registro contiene i record di log di flusso per il traffico di indirizzi IP registrato nei cinque minuti precedenti.

Le dimensioni file massime per un file di log sono di 75 MB. Se il file di log raggiunge il limite di dimensione del file entro un periodo di 5 minuti, il log di flusso interrompe l'aggiunta dei record del log di flusso, lo pubblica nel bucket Amazon S3 e quindi crea un nuovo file di log.

I file di log sono compressi. Se apri i file utilizzando la console Amazon S3, Amazon S3 decomprime i record di log e li visualizza. Se scarichi i file di registro, devi decomprimerli per visualizzare i record.

Un singolo file di registro contiene voci interlacciate con più record. Per visualizzare tutti i file di registro relativi a una protezione, cerca le voci aggregate in base al nome della protezione, alla regione e all'ID del tuo account.

Sintassi dei record di log di flusso

Un record del log di flusso è una stringa separata da spazi con i seguenti campi.