View a markdown version of this page

Visualização de logs e métricas do AWS Network Firewall usando o Splunk - Recomendações da AWS
ResumoPré-requisitos e limitaçõesArquiteturaFerramentasÉpicosRecursos relacionados

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Visualização de logs e métricas do AWS Network Firewall usando o Splunk

Ivo Pinto, Amazon Web Services

Resumo

Muitas organizações usam o Splunk Enterprise como uma ferramenta centralizada de agregação e visualização para registros e métricas de diferentes fontes. Esse padrão ajuda você a configurar o Splunk para buscar registros e métricas do AWS Network Firewall do Amazon CloudWatch Logs usando o complemento Splunk para AWS. 

Para atingir esse objetivo, é necessário criar um perfil do AWS Identity and Access Management (IAM) com acesso somente para leitura. O complemento Splunk para AWS usa essa função para acessar. CloudWatch Você configura o complemento Splunk para AWS para buscar métricas e registros do. CloudWatch Por fim, você criará visualizações no Splunk usando os dados de logs e métricas recuperados.

Pré-requisitos e limitações

Pré-requisitos

  • Uma conta do Splunk

  • Uma instância do Splunk Enterprise, versão 8.2.2 ou versões posteriores 

  • Uma conta AWS ativa

  • Firewall de rede, configurado e configurado para enviar registros para o CloudWatch Logs

Limitações

  • O Splunk Enterprise deve ser implantado como um cluster de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) na Nuvem AWS.

  • A coleta de dados usando um perfil do IAM automaticamente descoberto para o Amazon EC2 não é compatível nas regiões da AWS localizadas na China.

Arquitetura

Arquitetura de registro em log do AWS Network Firewall e do Splunk

O diagrama ilustra o seguinte:

  1. O Network Firewall publica registros em CloudWatch Logs.

  2. O Splunk Enterprise recupera métricas e registros de. CloudWatch

Para preencher métricas e logs de exemplo nesta arquitetura, uma workload gera tráfego que passa pelo endpoint do Network Firewall para se conectar à internet. Isso é obtido pelo uso de tabelas de rotas. Embora esse padrão use uma única instância do Amazon EC2 como carga de trabalho, esse padrão pode ser aplicado a qualquer arquitetura, desde que o Network Firewall esteja configurado para enviar registros para Logs. CloudWatch

Essa arquitetura também usa uma instância do Splunk Enterprise em outra nuvem privada virtual (VPC). No entanto, a instância do Splunk pode estar em outro local, como na mesma VPC da carga de trabalho, desde que possa alcançar o. CloudWatch APIs

Ferramentas

Serviços da AWS

  • O Amazon CloudWatch Logs ajuda você a centralizar os registros de todos os seus sistemas, aplicativos e serviços da AWS para que você possa monitorá-los e arquivá-los com segurança.

  • O Amazon Elastic Compute Cloud (Amazon EC2) oferece capacidade computacional escalável na Nuvem AWS. Você poderá iniciar quantos servidores virtuais precisar e escalá-los na vertical rapidamente.

  • O AWS Network Firewall é um firewall de rede gerenciado e monitorado, além de um serviço de detecção e prevenção de intrusões VPCs na nuvem da AWS.

Outras ferramentas

  • O Splunk ajuda você a monitorar, visualizar e analisar dados de log.

Épicos

TarefaDescriptionHabilidades necessárias

Crie a política do IAM.

Siga as instruções em Como criar políticas usando o editor JSON para criar a política do IAM que concede acesso somente para leitura aos dados e métricas do CloudWatch Logs. CloudWatch Cole a política a seguir no editor de JSON.

{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}
Administrador da AWS

Crie um novo perfil do IAM.

Siga as instruções em Criação de uma função para delegar permissões a um serviço da AWS para criar a função do IAM que o complemento Splunk para AWS usa para acessar. CloudWatch Em Políticas de permissões, escolha a política que você criou anteriormente.

Administrador da AWS

Atribua o perfil do IAM às instâncias do EC2 presentes no cluster do Splunk.

  1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, escolha Instâncias.

  3. Selecione as instâncias do EC2 presentes no cluster do Splunk.

  4. Selecione Ações, Segurança e, em seguida, Modificar perfil do IAM.

  5. Selecione o perfil do IAM criado anteriormente e, na sequência, clique em Salvar.

Administrador da AWS
TarefaDescriptionHabilidades necessárias

Instale o complemento .

  1. No painel do Splunk, acesse Splunk Apps.

  2. Pesquise por Splunk Add-on para Amazon Web Services.

  3. Escolha Instalar.

  4. Informe suas credenciais do Splunk.

Administrador do Splunk

Configure as credenciais da AWS.

  1. No painel do Splunk, acesse Splunk Add-on para AWS.

  2. Escolher configuração.

  3. Na coluna Perfil do IAM descoberto automaticamente, selecione o perfil do IAM que você criou anteriormente.

Para obter mais informações, consulte Find an IAM role within your Splunk platform instance na documentação do Splunk.

Administrador do Splunk
TarefaDescriptionHabilidades necessárias

Configure a recuperação dos registros do Firewall de Rede a partir dos CloudWatch Registros.

  1. No painel do Splunk, acesse Splunk Add-on para AWS.

  2. Escolha Entrada.

  3. Selecione Criar nova entrada.

  4. Na lista, escolha Tipo de dados personalizado e, em seguida, escolha CloudWatch Registros.

  5. Informe o Nome, a Conta da AWS, a Região da AWS e o Grupo de logs para os logs do Network Firewall.

  6. Escolha Salvar.

Por padrão, o Splunk busca os dados de logs a cada dez minutos. Esse é um parâmetro configurável em Configurações avançadas. Para obter mais informações, consulte Configurar uma entrada de CloudWatch registros usando o Splunk Web na documentação do Splunk.

Administrador do Splunk

Configure a recuperação das métricas do Network Firewall de CloudWatch.

  1. No painel do Splunk, acesse Splunk Add-on para AWS.

  2. Escolha Entrada.

  3. Selecione Criar nova entrada.

  4. Na lista, escolha CloudWatch.

  5. Informe o Nome, a Conta da AWS e a Região da AWS para as métricas do Network Firewall.

  6. Ao lado de Configuração métrica, escolha Editar no modo avançado.

  7. (Opcional) Exclua todos os namespaces configurados previamente. 

  8. Escolha Adicionar namespace e, em seguida, nomeie-o como AWS/. NetworkFirewall

  9. Em Valor da dimensão, adicione o valor apresentado a seguir.

    [{"AvailabilityZone":[".*"],"Engine":[".*"],"FirewallName":[".*"]}]

  10. Em Métricas, escolha Todas.

  11. Em Estatísticas de métricas, selecione Soma.

  12. Escolha OK.

  13. Escolha Salvar.

Por padrão, o Splunk busca os dados de métricas a cada cinco minutos. Esse é um parâmetro configurável em Configurações avançadas. Para obter mais informações, consulte Configurar uma CloudWatch entrada usando o Splunk Web na documentação do Splunk.

Administrador do Splunk
TarefaDescriptionHabilidades necessárias

Visualize os principais endereços IP de origem.

  1. No painel do Splunk, acesse Search & Reporting.

  2. Na caixa digite a pesquisa aqui, insira as informações apresentadas a seguir.

    sourcetype="aws:cloudwatchlogs" | top event.src_ip

    Essa consulta exibe uma tabela com os endereços IP de origem que geraram mais tráfego, em ordem decrescente.

  3. Para obter uma representação gráfica, escolha Visualização.

Administrador do Splunk

Visualize as estatísticas de pacotes.

  1. No painel do Splunk, acesse Search & Reporting.

  2. Na caixa digite a pesquisa aqui, insira as informações apresentadas a seguir.

    sourcetype="aws:cloudwatch"| timechart sum(Sum) by metric_name

    Esta consulta exibe uma tabela com as métricas DroppedPackets, PassedPackets e ReceivedPackets por minuto.

  3. Para obter uma representação gráfica, escolha Visualização.

Administrador do Splunk

Visualize as portas de origem mais usadas.

  1. No painel do Splunk, acesse Search & Reporting.

  2. Na caixa digite a pesquisa aqui, insira as informações apresentadas a seguir.

    sourcetype="aws:cloudwatchlogs" | top event.dest_port

    Essa consulta exibe uma tabela com as portas de origem que geraram mais tráfego, em ordem decrescente.

  3. Para obter uma representação gráfica, escolha Visualização.

Administrador do Splunk

Recursos relacionados

Documentação da AWS

Publicações do blog da AWS

AWS Marketplace