Splunk を使用して AWS Network Firewall のログとメトリクスを表示する - AWS 規範ガイダンス
概要前提条件と制限アーキテクチャツールエピック関連リソース

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Splunk を使用して AWS Network Firewall のログとメトリクスを表示する

作成者: Ivo Pinto

概要

多くの組織では、さまざまなソースからのログとメトリクスを一元的に集約および可視化するツールとして Splunk Enterprise を使用しています。このパターンは、 の Splunk アドオンを使用して Amazon CloudWatch Logs から AWS Network Firewall ログとメトリクスを取得するように Splunk を設定するのに役立ちますAWS。 

これを実現するには、読み取り専用の AWS Identity and Access Management (IAM) ロールを作成します。の Splunk アドオンAWSは、このロールを使用して にアクセスします CloudWatch。の Splunk アドオンを設定AWSして、メトリクスとログを取得します CloudWatch。最後に、取得したログデータとメトリクスから Splunk で視覚化を作成します。

前提条件と制限

前提条件

  • Splunk アカウント

  • Splunk Enterprise インスタンス、バージョン 8.2.2 以降 

  • アクティブなAWSアカウント

  • Network Firewall、 CloudWatch ログにログを送信するように設定および設定

制約事項

  • Splunk Enterprise は、 AWS クラウド内の Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのクラスターとしてデプロイする必要があります。

  • Amazon の自動検出IAMロールを使用したデータ収集EC2は、AWS中国リージョンではサポートされていません。

アーキテクチャ

AWS Network Firewall と Splunk のログ記録アーキテクチャ

この図表は、以下を示すものです：

  1. Network Firewall はログを CloudWatch Logs に発行します。

  2. Splunk Enterprise は、 からメトリクスとログを取得します CloudWatch。

このアーキテクチャのメトリクスとログの例を入力するために、ワークロードは Network Firewall エンドポイントを通過してインターネットに移動するトラフィックを生成します。これは、ルートテーブルを使用することで実現されます。このパターンではワークロードとして単一の Amazon EC2インスタンスを使用しますが、Network Firewall が CloudWatch Logs にログを送信するように設定されている場合、このパターンは任意のアーキテクチャに適用できます。

このアーキテクチャでは、別の仮想プライベートクラウド () の Splunk Enterprise インスタンスも使用しますVPC。ただし、Splunk インスタンスは、 に到達できる限り、ワークロードVPCと同じ など、別の場所に配置できます CloudWatch APIs。

ツール

AWS サービス

  • Amazon CloudWatch Logs は、すべてのシステム、アプリケーション、AWSサービスからのログを一元化するのに役立つため、ログをモニタリングして安全にアーカイブできます。

  • Amazon Elastic Compute Cloud (Amazon EC2） はAWS、 クラウドでスケーラブルなコンピューティング性能を提供します。必要な数の仮想サーバーを起動することができ、迅速にスケールアップまたはスケールダウンができます。

  • AWS Network Firewall は、 AWS クラウドVPCs内の 用のステートフルでマネージド型のネットワークファイアウォールおよび侵入検知および防止サービスです。

その他のツール

  • 「Splunk」 はログデータのモニタリング、視覚化、分析に役立ちます。

エピック

タスク説明必要なスキル

IAM ポリシーを作成します。

JSON 「エディタを使用してポリシーを作成する」の手順に従って、 CloudWatch ログのデータと CloudWatch メトリクスへの読み取り専用アクセスを許可するIAMポリシーを作成します。次のポリシーをJSONエディタに貼り付けます。

{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}
AWS 管理者

新しいIAMロールを作成します。

「 AWSのサービスにアクセス許可を委任するロールの作成」の手順に従って、 の Splunk アドオンがアクセスAWSに使用するIAMロールを作成します CloudWatch。アクセス許可ポリシーで、前に作成したポリシーを選択します。

AWS 管理者

IAM ロールを Splunk クラスターのEC2インスタンスに割り当てます。

  1. で Amazon EC2コンソールを開きますhttps://console.aws.amazon.com/ec2/。

  2. ナビゲーションペインで、[インスタンス] を選択します。

  3. Splunk クラスター内のEC2インスタンスを選択します。

  4. アクション、セキュリティ、IAMロールの変更を選択します。

  5. 前に作成したIAMロールを選択し、保存を選択します。

AWS 管理者
タスク説明必要なスキル

アドオンをインストールします。

  1. Splunk ダッシュボードで、Splunk アプリに移動します。

  2. Amazon Web Services の Splunk アドオンを検索します。

  3. [インストール] を選択します。

  4. Splunk 認証情報を入力します。

Splunk 管理者

AWS 認証情報を設定します。

  1. Splunk ダッシュボードで、 の Splunk アドオンAWSに移動します。

  2. [設定] を選択します。

  3. Autodiscovered IAM Role 列で、前に作成したIAMロールを選択します。

詳細については、Splunk ドキュメントの「Splunk プラットフォームインスタンス内で IAMロールを検索する」を参照してください。

Splunk 管理者
タスク説明必要なスキル

ログからの Network Firewall CloudWatch ログの取得を設定します。

  1. Splunk ダッシュボードで、 の Splunk アドオンAWSに移動します。

  2. 入力 を選択します。

  3. 新しい入力の作成を選択します。

  4. リストで、カスタムデータ型を選択し、CloudWatch ログを選択します。

  5. Network Firewall ログの名前、AWSアカウント、AWSリージョン、およびロググループを指定します。

  6. [Save] を選択します。

デフォルトでは、Splunk は 10 分ごとにログデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Configure a CloudWatch Logs input using Splunk Web」を参照してください。

Splunk 管理者

Network Firewall メトリクスの取得を設定します CloudWatch。

  1. Splunk ダッシュボードで、 の Splunk アドオンAWSに移動します。

  2. 入力 を選択します。

  3. 新しい入力の作成を選択します。

  4. リストで、 を選択しますCloudWatch。

  5. Network Firewall メトリクスの名前、AWSアカウント、およびAWSリージョンを指定します。

  6. メトリクス設定 の横にある詳細モードで編集 を選択します。

  7. （オプション) 事前設定された名前空間をすべて削除します。 

  8. 名前空間の追加を選択し、AWS/NetworkFirewall という名前を付けます。

  9. ディメンション値に以下を追加します。

    [{"AvailabilityZone":[".*"],"Engine":[".*"],"FirewallName":[".*"]}]

  10. メトリクス で、すべて を選択します。

  11. メトリクス統計 で、合計 を選択します。

  12. [OK] を選択します。

  13. [Save] を選択します。

デフォルトでは、Splunk は 5 分ごとにメトリクスデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Configure a CloudWatch input using Splunk Web」を参照してください。

Splunk 管理者
タスク説明必要なスキル

上位のソース IP アドレスを表示します。

  1. Splunk ダッシュボードで、検索とレポートに移動します。

  2. ここに検索を入力するボックスに、次のように入力します。

    sourcetype="aws:cloudwatchlogs" | top event.src_ip

    このクエリは、トラフィックが最も多い送信元 IP アドレスのテーブルを降順で表示します。

  3. グラフィカル表現の場合は、視覚化を選択します。

Splunk 管理者

パケット統計を表示します。

  1. Splunk ダッシュボードで、検索とレポートに移動します。

  2. ここに検索を入力するボックスに、次のように入力します。

    sourcetype="aws:cloudwatch"| timechart sum(Sum) by metric_name

    このクエリは、1 分ReceivedPacketsあたりのメトリクス DroppedPackets、PassedPackets、および のテーブルを表示します。

  3. グラフィカル表現の場合は、視覚化を選択します。

Splunk 管理者

最も使用されているソースポートを表示します。

  1. Splunk ダッシュボードで、検索とレポートに移動します。

  2. ここに検索を入力するボックスに、次のように入力します。

    sourcetype="aws:cloudwatchlogs" | top event.dest_port

    このクエリは、トラフィックが最も多いソースポートのテーブルを降順で表示します。

  3. グラフィカル表現の場合は、視覚化を選択します。

Splunk 管理者

関連リソース

「AWS ドキュメント」

AWS ブログ記事

AWS Marketplace