Seleziona le tue preferenze relative ai cookie

Utilizziamo cookie essenziali e strumenti simili necessari per fornire il nostro sito e i nostri servizi. Utilizziamo i cookie prestazionali per raccogliere statistiche anonime in modo da poter capire come i clienti utilizzano il nostro sito e apportare miglioramenti. I cookie essenziali non possono essere disattivati, ma puoi fare clic su \"Personalizza\" o \"Rifiuta\" per rifiutare i cookie prestazionali.

Se sei d'accordo, AWS e le terze parti approvate utilizzeranno i cookie anche per fornire utili funzionalità del sito, ricordare le tue preferenze e visualizzare contenuti pertinenti, inclusa la pubblicità pertinente. Per continuare senza accettare questi cookie, fai clic su \"Continua\" o \"Rifiuta\". Per effettuare scelte più dettagliate o saperne di più, fai clic su \"Personalizza\".

Preferenze
Contattaci
Feedback
AWS Documentation
Crea un Account AWS
Visualizza i log e le metriche di AWS Network Firewall utilizzando Splunk - Prontuario AWS
RiepilogoPrerequisiti e limitazioniArchitetturaStrumentiEpicheRisorse correlate

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Visualizza i log e le metriche di AWS Network Firewall utilizzando Splunk

PDF

Creato da Ivo Pinto

Riepilogo

Molte organizzazioni utilizzano Splunk Enterprise come strumento centralizzato di aggregazione e visualizzazione per log e metriche provenienti da diverse fonti. Questo modello ti aiuta a configurare Splunk per recuperare i log e i parametri del firewall di rete AWS da CloudWatch Amazon Logs utilizzando il componente aggiuntivo Splunk per AWS. 

A tal fine, crei un ruolo AWS Identity and Access Management (IAM) di sola lettura. Splunk Add-On for AWS utilizza questo ruolo per accedere. CloudWatch Puoi configurare il componente aggiuntivo Splunk per AWS da cui recuperare metriche e log. CloudWatch Infine, crei visualizzazioni in Splunk a partire dai dati e dalle metriche dei log recuperati.

Prerequisiti e limitazioni

Prerequisiti

Limitazioni

  • Splunk Enterprise deve essere distribuito come cluster di istanze Amazon Elastic Compute Cloud (Amazon EC2) nel cloud AWS.

  • La raccolta di dati utilizzando un ruolo IAM scoperto automaticamente per Amazon non EC2 è supportata nelle regioni AWS Cina.

Architettura

Architettura di registrazione AWS Network Firewall e Splunk

Il diagramma illustra quanto segue:

  1. Network Firewall pubblica i log in Logs. CloudWatch

  2. Splunk Enterprise recupera metriche e log da. CloudWatch

Per compilare metriche e log di esempio in questa architettura, un carico di lavoro genera traffico che attraversa l'endpoint Network Firewall per andare a Internet. Ciò si ottiene mediante l'uso di tabelle di routing. Sebbene questo modello utilizzi una singola EC2 istanza Amazon come carico di lavoro, può essere applicato a qualsiasi architettura purché Network Firewall sia configurato per inviare log a Logs. CloudWatch

Questa architettura utilizza anche un'istanza Splunk Enterprise in un altro cloud privato virtuale (VPC). Tuttavia, l'istanza Splunk può trovarsi in un'altra posizione, ad esempio nello stesso VPC del carico di lavoro, purché possa raggiungere il. CloudWatch APIs

Strumenti

Servizi AWS

Altri strumenti

  • Splunk ti aiuta a monitorare, visualizzare e analizzare i dati di registro.

Epiche

AttivitàDescrizioneCompetenze richieste

Creare la policy IAM.

Segui le istruzioni in Creazione di policy using the JSON editor per creare la policy IAM che garantisce l'accesso in sola lettura ai dati e alle metriche dei CloudWatch Logs. CloudWatch Incollare la seguente policy nell'editor JSON.

{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}
Amministratore AWS

Crea un nuovo ruolo IAM.

Segui le istruzioni in Creazione di un ruolo per delegare le autorizzazioni a un servizio AWS per creare il ruolo IAM a cui il componente aggiuntivo Splunk per AWS utilizza per accedere. CloudWatch Per le politiche di autorizzazione, scegli la politica che hai creato in precedenza.

Amministratore AWS

Assegna il ruolo IAM alle EC2 istanze nel cluster Splunk.

  1. Apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

  2. Nel pannello di navigazione, seleziona Instances (Istanze).

  3. Seleziona le EC2 istanze nel cluster Splunk.

  4. Scegli Azioni, Sicurezza, quindi Modifica il ruolo IAM.

  5. Seleziona il ruolo IAM creato in precedenza, quindi scegli Salva.

Amministratore AWS

Creazione di un ruolo IAM

AttivitàDescrizioneCompetenze richieste

Creare la policy IAM.

Segui le istruzioni in Creazione di policy using the JSON editor per creare la policy IAM che garantisce l'accesso in sola lettura ai dati e alle metriche dei CloudWatch Logs. CloudWatch Incollare la seguente policy nell'editor JSON.

{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}
Amministratore AWS

Crea un nuovo ruolo IAM.

Segui le istruzioni in Creazione di un ruolo per delegare le autorizzazioni a un servizio AWS per creare il ruolo IAM a cui il componente aggiuntivo Splunk per AWS utilizza per accedere. CloudWatch Per le politiche di autorizzazione, scegli la politica che hai creato in precedenza.

Amministratore AWS

Assegna il ruolo IAM alle EC2 istanze nel cluster Splunk.

  1. Apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

  2. Nel pannello di navigazione, seleziona Instances (Istanze).

  3. Seleziona le EC2 istanze nel cluster Splunk.

  4. Scegli Azioni, Sicurezza, quindi Modifica il ruolo IAM.

  5. Seleziona il ruolo IAM creato in precedenza, quindi scegli Salva.

Amministratore AWS
AttivitàDescrizioneCompetenze richieste

Installa il componente aggiuntivo.

  1. Nella dashboard di Splunk, accedi a Splunk Apps.

  2. Cerca il componente aggiuntivo Splunk per Amazon Web Services.

  3. Scegli Installa.

  4. Fornisci le tue credenziali Splunk.

Amministratore Splunk

Configura le credenziali AWS.

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegliere Configuration (Configurazione).

  3. Nella colonna Autodiscovered IAM Role, seleziona il ruolo IAM che hai creato in precedenza.

Per ulteriori informazioni, consulta Trova un ruolo IAM all'interno dell'istanza della piattaforma Splunk nella documentazione Splunk.

Amministratore Splunk

Installa il componente aggiuntivo Splunk per AWS

AttivitàDescrizioneCompetenze richieste

Installa il componente aggiuntivo.

  1. Nella dashboard di Splunk, accedi a Splunk Apps.

  2. Cerca il componente aggiuntivo Splunk per Amazon Web Services.

  3. Scegli Installa.

  4. Fornisci le tue credenziali Splunk.

Amministratore Splunk

Configura le credenziali AWS.

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegliere Configuration (Configurazione).

  3. Nella colonna Autodiscovered IAM Role, seleziona il ruolo IAM che hai creato in precedenza.

Per ulteriori informazioni, consulta Trova un ruolo IAM all'interno dell'istanza della piattaforma Splunk nella documentazione Splunk.

Amministratore Splunk
AttivitàDescrizioneCompetenze richieste

Configurare il recupero dei log del Network Firewall dai registri. CloudWatch

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegli Input.

  3. Scegli Crea nuovo input.

  4. Nell'elenco, scegli Tipo di dati personalizzato, quindi scegli CloudWatch Registri.

  5. Fornisci il nome, l'account AWS, la regione AWS e il gruppo di log per i log del Network Firewall.

  6. Seleziona Salva.

Per impostazione predefinita, Splunk recupera i dati di registro ogni 10 minuti. Questo è un parametro configurabile in Impostazioni avanzate. Per ulteriori informazioni, consulta Configurare un input di CloudWatch log utilizzando Splunk Web nella documentazione di Splunk.

Amministratore Splunk

Configura il recupero delle metriche del Network Firewall da. CloudWatch

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegli Input.

  3. Scegli Crea nuovo input.

  4. Nell'elenco, scegli CloudWatch.

  5. Fornisci il nome, l'account AWS e la regione AWS per i parametri del Network Firewall.

  6. Accanto a Metric Configuration, scegli Modifica in modalità avanzata.

  7. (Facoltativo) Eliminate tutti i namespace preconfigurati. 

  8. Scegli Aggiungi namespace, quindi denominalo AWS/. NetworkFirewall

  9. In Dimension Value, aggiungi quanto segue.

    [{"AvailabilityZone":[".*"],"Engine":[".*"],"FirewallName":[".*"]}]

  10. Per Metriche, scegli Tutto.

  11. Per Statistiche metriche, scegli Somma.

  12. Scegli OK.

  13. Seleziona Salva.

Per impostazione predefinita, Splunk recupera i dati metrici ogni 5 minuti. Questo è un parametro configurabile in Impostazioni avanzate. Per ulteriori informazioni, consulta Configurare un CloudWatch input utilizzando Splunk Web nella documentazione di Splunk.

Amministratore Splunk

Configura l'accesso Splunk a CloudWatch

AttivitàDescrizioneCompetenze richieste

Configurare il recupero dei log del Network Firewall dai registri. CloudWatch

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegli Input.

  3. Scegli Crea nuovo input.

  4. Nell'elenco, scegli Tipo di dati personalizzato, quindi scegli CloudWatch Registri.

  5. Fornisci il nome, l'account AWS, la regione AWS e il gruppo di log per i log del Network Firewall.

  6. Seleziona Salva.

Per impostazione predefinita, Splunk recupera i dati di registro ogni 10 minuti. Questo è un parametro configurabile in Impostazioni avanzate. Per ulteriori informazioni, consulta Configurare un input di CloudWatch log utilizzando Splunk Web nella documentazione di Splunk.

Amministratore Splunk

Configura il recupero delle metriche del Network Firewall da. CloudWatch

  1. Nella dashboard Splunk, accedi al componente aggiuntivo Splunk per AWS.

  2. Scegli Input.

  3. Scegli Crea nuovo input.

  4. Nell'elenco, scegli CloudWatch.

  5. Fornisci il nome, l'account AWS e la regione AWS per i parametri del Network Firewall.

  6. Accanto a Metric Configuration, scegli Modifica in modalità avanzata.

  7. (Facoltativo) Eliminate tutti i namespace preconfigurati. 

  8. Scegli Aggiungi namespace, quindi denominalo AWS/. NetworkFirewall

  9. In Dimension Value, aggiungi quanto segue.

    [{"AvailabilityZone":[".*"],"Engine":[".*"],"FirewallName":[".*"]}]

  10. Per Metriche, scegli Tutto.

  11. Per Statistiche metriche, scegli Somma.

  12. Scegli OK.

  13. Seleziona Salva.

Per impostazione predefinita, Splunk recupera i dati metrici ogni 5 minuti. Questo è un parametro configurabile in Impostazioni avanzate. Per ulteriori informazioni, consulta Configurare un CloudWatch input utilizzando Splunk Web nella documentazione di Splunk.

Amministratore Splunk
AttivitàDescrizioneCompetenze richieste

Visualizza i principali indirizzi IP di origine.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatchlogs" | top event.src_ip

    Questa query visualizza una tabella degli indirizzi IP di origine con il maggior traffico, in ordine decrescente.

  3. Per una rappresentazione grafica, scegli Visualizzazione.

Amministratore Splunk

Visualizza le statistiche sui pacchetti.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatch"| timechart sum(Sum) by metric_name

    Questa query visualizza una tabella delle metriche DroppedPackets e ReceivedPackets al minuto. PassedPackets

  3. Per una rappresentazione grafica, scegliete Visualizzazione.

Amministratore Splunk

Visualizza le porte di origine più utilizzate.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatchlogs" | top event.dest_port

    Questa query visualizza una tabella delle porte di origine con il maggior traffico, in ordine decrescente.

  3. Per una rappresentazione grafica, scegli Visualizzazione.

Amministratore Splunk

Crea visualizzazioni Splunk utilizzando le query

AttivitàDescrizioneCompetenze richieste

Visualizza i principali indirizzi IP di origine.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatchlogs" | top event.src_ip

    Questa query visualizza una tabella degli indirizzi IP di origine con il maggior traffico, in ordine decrescente.

  3. Per una rappresentazione grafica, scegli Visualizzazione.

Amministratore Splunk

Visualizza le statistiche sui pacchetti.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatch"| timechart sum(Sum) by metric_name

    Questa query visualizza una tabella delle metriche DroppedPackets e ReceivedPackets al minuto. PassedPackets

  3. Per una rappresentazione grafica, scegliete Visualizzazione.

Amministratore Splunk

Visualizza le porte di origine più utilizzate.

  1. Nella dashboard di Splunk, accedi a Search & Reporting.

  2. Nella casella Inserisci la ricerca qui, inserisci quanto segue.

    sourcetype="aws:cloudwatchlogs" | top event.dest_port

    Questa query visualizza una tabella delle porte di origine con il maggior traffico, in ordine decrescente.

  3. Per una rappresentazione grafica, scegli Visualizzazione.

Amministratore Splunk

Risorse correlate

Documentazione AWS

Post sul blog di AWS

AWS Marketplace

Argomento successivo:

Altri modelli

Argomento precedente:

Precedente

Hai bisogno di aiuto?

PrivacyCondizioni del sitoPreferenze cookie
© 2025, Amazon Web Services, Inc. o società affiliate. Tutti i diritti riservati.