記錄 Web ACL 流量資訊 - AWS WAF、AWS Firewall Manager 與 AWS Shield Advanced

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

記錄 Web ACL 流量資訊

注意

這是AWS WAF經典文檔。如果您在 2019 年 11 月 AWS WAF 之前建立 AWS WAF 資源 (例如規則和 Web ACL),而且並未將其移轉至最新版本,則應該只使用此版本。若要移轉資源,請參閱 將您的AWS WAF傳統資源遷移到 AWS WAF

如需的最新版本 AWS WAF,請參閱AWS WAF

您可以啟用日誌記錄取得您 Web ACL 分析流量的詳細資訊。記錄檔中包含的資訊包括 C AWS WAF lassic 從您的AWS資源接收要求的時間、有關請求的詳細資訊,以及每個要求相符之規則的動作。

開始請您先建立 Amazon Kinesis Data Firehose。您可以選擇存放日誌的目的地。然後,可以選擇要啟用記錄的 Web ACL。啟用記錄之後,AWS WAF 會透過 firehose 傳遞日誌到儲存目的地。

如需如何建立 Amazon Kinesis 資料防火管和檢閱儲存的日誌的相關資訊,請參閱什麼是 Amazon Kinesis Data Firehose? 若要瞭解 Kinesis Data Firehose 組態所需的許可,請參閱使用 Amazon Kinesis Data Firehose 控制存取

您必須擁有以下權限,才能順利啟用記錄:

  • iam:CreateServiceLinkedRole

  • firehose:ListDeliveryStreams

  • waf:PutLoggingConfiguration

如需服務連結角色和 iam:CreateServiceLinkedRole 許可的詳細資訊,請參閱使用的服務連結AWS WAF角色

啟用 Web ACL 記錄
  1. 使用以字首為「aws-waf-logs-」開頭的名稱建立 Amazon Kinesis 資料防火管。例如,aws-waf-logs-us-east-2-analytics使用 PUT 來源以及您正在操作的區域建立資料 firehose。如果您要擷取 Amazon 的日誌 CloudFront,請在美國東部 (維吉尼亞北部) 建立 Firehose。如需詳細資訊,請參閱建立 Amazon Kinesis Data Firehose 交付串流

    重要

    請勿選擇 Kinesis stream 做為您的來源。

    一個AWS WAF傳統記錄相當於一個 Kinesis Data Firehose 記錄。如果您通常每秒收到 10,000 個請求並啟用完整記錄,則 Kinesis Data Firehose 中應該有每秒 10,000 筆記錄設定。如果您未正確設定 Kinesis Data Firehose,AWS WAF傳統版將不會記錄所有記錄。如需詳細資訊,請參閱 Amazon Kinesis Data Firehose 配額

  2. 請登入AWS Management Console並開啟AWS WAF主控台,網址為 https://console.aws.amazon.com/wafv2/

    如果您在導覽窗格中看到 [切換到AWS WAF傳統],請選取它。

  3. 在導覽窗格中,選擇 Web ACL

  4. 選擇您要啟用記錄功能的 Web ACL 名稱。這會開啟右窗格中包含 Web ACL 詳細資訊的頁面。

  5. 記錄標籤中,選擇啟用記錄

  6. 選擇您在第一步驟建立的 Kinesis Data Firehose。您必須選擇以「aws-waf-logs-」開頭的防火喉。

  7. (選用) 如果您不想要特定欄位及其值包含在日誌中,請編寫這些欄位。選擇要編寫的欄位,然後選擇新增。重複其他需要編寫的欄位。在日誌中編寫的欄位顯示為 REDACTED。例如,如果您編寫 Cookie 欄位,在日誌的 Cookie 欄位則會為 REDACTED

  8. 選擇 Enable Logging (啟用記錄日誌)

    注意

    當您成功啟用記錄時,AWS WAF傳統會建立具有必要權限的服務連結角色,以便將日誌寫入 Amazon Kinesis Data Firehose。如需詳細資訊,請參閱 使用的服務連結AWS WAF角色

停用 Web ACL 記錄
  1. 在導覽窗格中,選擇 Web ACL

  2. 選擇您要停用記錄的 Web ACL 名稱。這會開啟右窗格中包含 Web ACL 詳細資訊的頁面。

  3. 記錄標籤中,選擇停用記錄

  4. 在對話方塊中,選擇停用記錄

範例日誌
{ "timestamp":1533689070589, "formatVersion":1, "webaclId":"385cb038-3a6f-4f2f-ac64-09ab912af590", "terminatingRuleId":"Default_Action", "terminatingRuleType":"REGULAR", "action":"ALLOW", "httpSourceName":"CF", "httpSourceId":"i-123", "ruleGroupList":[ { "ruleGroupId":"41f4eb08-4e1b-2985-92b5-e8abf434fad3", "terminatingRule":null, "nonTerminatingMatchingRules":[ {"action" : "COUNT", "ruleId" : "4659b169-2083-4a91-bbd4-08851a9aaf74"} ], "excludedRules": [ {"exclusionType" : "EXCLUDED_AS_COUNT", "ruleId" : "5432a230-0113-5b83-bbb2-89375c5bfa98"} ] } ], "rateBasedRuleList":[ { "rateBasedRuleId":"7c968ef6-32ec-4fee-96cc-51198e412e7f", "limitKey":"IP", "maxRateAllowed":100 }, { "rateBasedRuleId":"462b169-2083-4a93-bbd4-08851a9aaf30", "limitKey":"IP", "maxRateAllowed":100 } ], "nonTerminatingMatchingRules":[ {"action" : "COUNT", "ruleId" : "4659b181-2011-4a91-bbd4-08851a9aaf52"} ], "httpRequest":{ "clientIp":"192.10.23.23", "country":"US", "headers":[ { "name":"Host", "value":"127.0.0.1:1989" }, { "name":"User-Agent", "value":"curl/7.51.2" }, { "name":"Accept", "value":"*/*" } ], "uri":"REDACTED", "args":"usernam=abc", "httpVersion":"HTTP/1.1", "httpMethod":"GET", "requestId":"cloud front Request id" } }

以下是這些日誌中所列項目的說明:

timestamp

時間戳記,以毫秒為單位。

formatVersion

日誌的格式版本。

webaclId

Web ACL 的 GUID。

terminatingRuleId

終止請求的規則 ID。如果無法終止請求,則值為 Default_Action

terminatingRuleType

終止請求的規則類型。可能的值:RATE_BASED、REGULAR 及 GROUP。

動作

動作。終止規則可能的值:ALLOW 及 BLOCK。COUNT 並非終止規則的有效值。

terminatingRuleMatch詳情

符合請求之終止規則的詳細資訊。終止規則對 Web 請求具有結束檢查程序的動作。終止規則可能的動作是「允許」和「封鎖」。這只會為 SQL Injection 和跨網站指令碼 (XSS) 符合規則陳述式填入。與所有檢查多個項目的規則陳述式一樣,AWS WAF 會在第一個符合項目上套用動作,並停止檢查 Web 請求。具有終止動作的 Web 請求除了包含記錄中報告的威脅之外,還可能包含其他威脅。

httpSourceName

請求的來源。可能的值:CF (如果來源是亞馬遜 CloudFront)、APIGW (如果來源是 Amazon API 閘道) 和 ALB (如果來源是 Application Load Balancer)。

httpSourceId

來源 ID。此欄位顯示相關聯 Amazon CloudFront 分發的識別碼、API Gateway 的 REST API,或 Application Load Balancer 的名稱。

ruleGroupList

處理此請求的規則群組名單。前述程式碼範例僅有一個規則群組。

ruleGroupId

規則群組的 ID。若規則封鎖請求,則 ruleGroupID 的 ID 將與 terminatingRuleId 的 ID 相同。

terminatingRule

在規則群組中終止請求的規則。若此不是 null 值,則也包含 ruleid (ruleid)action (動作)。在這種情況下,動作一律是 BLOCK。

nonTerminatingMatching規則

規則群組中符合請求的規則名單。這些一律是 COUNT 規則 (符合的非終止規則)。

動作 (nonTerminatingMatching規則群組)

這一律是 COUNT (符合的非終止規則)。

ruleId (nonTerminatingMatching規則群組)

在規則群組符合請求的規則 ID 為非終止的。也就是 COUNT (計數) 規則。

excludedRules

規則群組中已排除的規則清單。這些規則的動作設定為 COUNT。

exclusionType (excludedRules 群組)

此類型表示已排除的規則均具備動作 COUNT。

ruleId (excludedRules 群組)

在規則群組中被排除的規則 ID。

rateBasedRule清單

處理請求的以速率為基礎的規則名單。

rateBasedRule識別碼

處理請求的速率規則 ID。若此項目已終止請求,則 rateBasedRuleId 的 ID 將與 terminatingRuleId 的 ID 相同。

limitKey

AWS WAF 用於判斷請求欄位是否為單一來源,因此可能受速率監控。可能的值:IP。

maxRateAllowed

五分鐘內允許的請求數量上限,此值與 limitKey 指定之欄位中的值相同。若請求數超過 maxRateAllowed,而且也滿足規則中指定的其他述詞,AWS WAF 會觸發針對此規則指定的動作。

httpRequest

請求的中繼資料。

clientIp

傳送請求的用戶端 IP 地址。

國家/地區

請求來源的國家/地區。如果AWS WAF無法確定原產國,則會將此欄位設定為-

標頭

標題清單。

uri

URI 請求。前述程式碼範例說明此欄位經修訂後可能的值。

args

查詢字串。

httpVersion

HTTP 版本。

httpMethod

請求的 HTTP 方法。

requestId

請求的 ID。