Splunk を使用して AWS Network Firewall のログとメトリクスを表示する

フォーカスモード

Splunk を使用して AWS Network Firewall のログとメトリクスを表示する - AWS 規範ガイダンス

作成者: Ivo Pinto

概要

多くの組織は、さまざまなソースからのログとメトリクスを一元的に集約および可視化するツールとして Splunk Enterprise を使用しています。このパターンは、Splunk アドオン for AWS を使用して Amazon CloudWatch Logs から AWS Network Firewall ログとメトリクスを取得するように Splunk を設定するのに役立ちます。 Amazon CloudWatch

これを実現するには、読み取り専用の AWS Identity and Access Management (IAM) ロールを作成します。Splunk Add-On for AWS は、このロールを使用して CloudWatch にアクセスします。CloudWatch からメトリクスとログを取得するように Splunk Add-On for AWS を設定します。最後に、取得したログデータとメトリクスから Splunk で視覚化を作成します。

前提条件と制限

前提条件

Splunk アカウント
Splunk Enterprise インスタンス、バージョン 8.2.2 以降
アクティブな AWS アカウント
Network Firewall、CloudWatch Logs にログを送信するように設定および設定

制約事項

Splunk Enterprise は、AWS クラウド内の Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのクラスターとしてデプロイする必要があります。
Amazon EC2 で自動的に検出された IAM ロールを使用してデータを収集することは、AWS 中国リージョンではサポートされていません。

アーキテクチャ

この図表は、以下を示すものです：

Network Firewall は CloudWatch Logs にログを発行します。
Splunk Enterprise は CloudWatch からメトリクスとログを取得します。

このアーキテクチャのメトリクスとログの例を入力するために、ワークロードは Network Firewall エンドポイントを通過してインターネットに移動するトラフィックを生成します。これは、ルートテーブルの使用によって実現されます。このパターンではワークロードとして単一の Amazon EC2 インスタンスが使用されますが、Network Firewall が CloudWatch Logs にログを送信するように設定されている場合、このパターンは任意のアーキテクチャに適用できます。

このアーキテクチャでは、別の Virtual Private Cloud (VPC) の Splunk Enterprise インスタンスも使用します。ただし、Splunk インスタンスは、CloudWatch APIs に到達できる限り、ワークロードと同じ VPC など、別の場所に配置できます。

ツール

AWS サービス

「Amazon CloudWatch Logs」は、すべてのシステム、アプリケーション、 AWS からのログを一元化することを支援して、ログを監視して安全にアーカイブできるようにします。
「Amazon Elastic Compute Cloud (Amazon EC2)」は、AWS クラウドでスケーラブルなコンピューティング容量を提供します。必要な数の仮想サーバーを起動することができ、迅速にスケールアップまたはスケールダウンができます。
AWS Network Firewall は、ステートフルでマネージド型のネットワークファイアウォールならびに侵入検知および防止サービスです。

その他のツール

「Splunk」はログデータのモニタリング、視覚化、分析に役立ちます。

エピック

タスク説明必要なスキル

タスク	説明	必要なスキル
IAM ポリシーを作成します。	「JSON エディタを使用してポリシーを作成する」の手順に従って、CloudWatch Logs データおよび CloudWatch メトリクスへの読み取り専用アクセスを許可する IAM ポリシーを作成します。以下のポリシーを JSON エディタに貼り付けます。 `{ "Statement": [ { "Action": [ "cloudwatch:List", "cloudwatch:Get", "network-firewall:List", "logs:Describe", "logs:Get", "logs:List", "logs:StartQuery", "logs:StopQuery", "logs:TestMetricFilter", "logs:FilterLogEvents", "network-firewall:Describe" ], "Effect": "Allow", "Resource": "" } ], "Version": "2012-10-17" }`	AWS 管理者
新しい IAM ロールを作成します。	「AWS のサービスにアクセス許可を委任するロールの作成」の手順に従って、AWS 用 Splunk アドオンが CloudWatch へのアクセスに使用する IAM ロールを作成します。アクセス許可ポリシーで、前に作成したポリシーを選択します。	AWS 管理者
Splunk クラスターの EC2 インスタンスに IAM ロールを割り当てます。	Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。ナビゲーションペインで、[インスタンス] を選択します。 Splunk クラスター内の EC2 インスタンスを選択します。アクション、セキュリティを選択し、IAM ロールを変更します。前に作成した IAM ロールを選択し、保存を選択します。	AWS 管理者

IAM ポリシーを作成します。

「JSON エディタを使用してポリシーを作成する」の手順に従って、CloudWatch Logs データおよび CloudWatch メトリクスへの読み取り専用アクセスを許可する IAM ポリシーを作成します。以下のポリシーを JSON エディタに貼り付けます。


{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWS 管理者

新しい IAM ロールを作成します。

「AWS のサービスにアクセス許可を委任するロールの作成」の手順に従って、AWS 用 Splunk アドオンが CloudWatch へのアクセスに使用する IAM ロールを作成します。アクセス許可ポリシーで、前に作成したポリシーを選択します。

AWS 管理者

Splunk クラスターの EC2 インスタンスに IAM ロールを割り当てます。

Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。
ナビゲーションペインで、[インスタンス] を選択します。
Splunk クラスター内の EC2 インスタンスを選択します。
アクション、セキュリティを選択し、IAM ロールを変更します。
前に作成した IAM ロールを選択し、保存を選択します。

AWS 管理者

IAM ロールを作成する

タスク説明必要なスキル

タスク	説明	必要なスキル
IAM ポリシーを作成します。	「JSON エディタを使用してポリシーを作成する」の手順に従って、CloudWatch Logs データおよび CloudWatch メトリクスへの読み取り専用アクセスを許可する IAM ポリシーを作成します。以下のポリシーを JSON エディタに貼り付けます。 `{ "Statement": [ { "Action": [ "cloudwatch:List", "cloudwatch:Get", "network-firewall:List", "logs:Describe", "logs:Get", "logs:List", "logs:StartQuery", "logs:StopQuery", "logs:TestMetricFilter", "logs:FilterLogEvents", "network-firewall:Describe" ], "Effect": "Allow", "Resource": "" } ], "Version": "2012-10-17" }`	AWS 管理者
新しい IAM ロールを作成します。	「AWS のサービスにアクセス許可を委任するロールの作成」の手順に従って、AWS 用 Splunk アドオンが CloudWatch へのアクセスに使用する IAM ロールを作成します。アクセス許可ポリシーで、前に作成したポリシーを選択します。	AWS 管理者
Splunk クラスターの EC2 インスタンスに IAM ロールを割り当てます。	Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。ナビゲーションペインで、[インスタンス] を選択します。 Splunk クラスター内の EC2 インスタンスを選択します。アクション、セキュリティを選択し、IAM ロールを変更します。前に作成した IAM ロールを選択し、保存を選択します。	AWS 管理者

IAM ポリシーを作成します。


{
    "Statement": [
        {
            "Action": [
                "cloudwatch:List*",
                "cloudwatch:Get*",
                "network-firewall:List*",
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "network-firewall:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWS 管理者

新しい IAM ロールを作成します。

AWS 管理者

Splunk クラスターの EC2 インスタンスに IAM ロールを割り当てます。

Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。
ナビゲーションペインで、[インスタンス] を選択します。
Splunk クラスター内の EC2 インスタンスを選択します。
アクション、セキュリティを選択し、IAM ロールを変更します。
前に作成した IAM ロールを選択し、保存を選択します。

AWS 管理者

タスク	説明	必要なスキル
アドオンをインストールします。	Splunk ダッシュボードで、Splunk Apps に移動します。 Amazon Web Services の Splunk アドオンを検索します。 [インストール] を選択します。 Splunk 認証情報を入力します。	Splunk 管理者
AWS 認証情報を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。 [設定] を選択します。 Autodiscovered IAM Role 列で、前に作成した IAM ロールを選択します。詳細については、Splunk ドキュメントの「Splunk プラットフォームインスタンス内で IAM ロールを検索する」を参照してください。	Splunk 管理者

AWS 用の Splunk アドオンをインストールする

タスク	説明	必要なスキル
アドオンをインストールします。	Splunk ダッシュボードで、Splunk Apps に移動します。 Amazon Web Services の Splunk アドオンを検索します。 [インストール] を選択します。 Splunk 認証情報を入力します。	Splunk 管理者
AWS 認証情報を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。 [設定] を選択します。 Autodiscovered IAM Role 列で、前に作成した IAM ロールを選択します。詳細については、Splunk ドキュメントの「Splunk プラットフォームインスタンス内で IAM ロールを検索する」を参照してください。	Splunk 管理者

タスク	説明	必要なスキル
CloudWatch Logs からの Network Firewall ログの取得を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。入力を選択します。 Create New Input を選択します。リストで、カスタムデータ型を選択し、CloudWatch Logs を選択します。 Network Firewall ログの名前、AWS アカウント、AWS リージョン、およびロググループを指定します。 [Save] を選択します。デフォルトでは、Splunk は 10 分ごとにログデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Splunk Web を使用して CloudWatch Logs 入力を設定する」を参照してください。	Splunk 管理者
CloudWatch からの Network Firewall メトリクスの取得を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。入力を選択します。新しい入力の作成を選択します。リストで、CloudWatch を選択します。 Network Firewall メトリクスの名前、AWS アカウント、および AWS リージョンを指定します。メトリクス設定の横にある詳細モードで編集を選択します。（オプション) 事前設定された名前空間をすべて削除します。名前空間の追加を選択し、AWS/NetworkFirewall という名前を付けます。ディメンション値に以下を追加します。 `[{"AvailabilityZone":["."],"Engine":["."],"FirewallName":["."]}]` メトリクス* で、すべてを選択します。メトリクス統計で、合計を選択します。 [OK] を選択します。 [Save] を選択します。デフォルトでは、Splunk は 5 分ごとにメトリクスデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Splunk Web を使用して CloudWatch 入力を設定する」を参照してください。	Splunk 管理者

CloudWatch への Splunk アクセスを設定する

タスク	説明	必要なスキル
CloudWatch Logs からの Network Firewall ログの取得を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。入力を選択します。 Create New Input を選択します。リストで、カスタムデータ型を選択し、CloudWatch Logs を選択します。 Network Firewall ログの名前、AWS アカウント、AWS リージョン、およびロググループを指定します。 [Save] を選択します。デフォルトでは、Splunk は 10 分ごとにログデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Splunk Web を使用して CloudWatch Logs 入力を設定する」を参照してください。	Splunk 管理者
CloudWatch からの Network Firewall メトリクスの取得を設定します。	Splunk ダッシュボードで、Splunk Add-on for AWS に移動します。入力を選択します。新しい入力の作成を選択します。リストで、CloudWatch を選択します。 Network Firewall メトリクスの名前、AWS アカウント、および AWS リージョンを指定します。メトリクス設定の横にある詳細モードで編集を選択します。（オプション) 事前設定された名前空間をすべて削除します。名前空間の追加を選択し、AWS/NetworkFirewall という名前を付けます。ディメンション値に以下を追加します。 `[{"AvailabilityZone":["."],"Engine":["."],"FirewallName":["."]}]` メトリクス* で、すべてを選択します。メトリクス統計で、合計を選択します。 [OK] を選択します。 [Save] を選択します。デフォルトでは、Splunk は 5 分ごとにメトリクスデータを取得します。これは、詳細設定で設定可能なパラメータです。詳細については、Splunk ドキュメントの「Splunk Web を使用して CloudWatch 入力を設定する」を参照してください。	Splunk 管理者

タスク	説明	必要なスキル
上位のソース IP アドレスを表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatchlogs" \| top event.src_ip` このクエリは、トラフィックが最も多い送信元 IP アドレスのテーブルを降順に表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者
パケット統計を表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatch"\| timechart sum(Sum) by metric_name` このクエリは、1 分`ReceivedPackets`あたりのメトリクス `DroppedPackets`、`PassedPackets`、およびのテーブルを表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者
最も使用されているソースポートを表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatchlogs" \| top event.dest_port` このクエリは、トラフィックが最も多いソースポートのテーブルを降順で表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者

クエリを使用して Splunk ビジュアライゼーションを作成する

タスク	説明	必要なスキル
上位のソース IP アドレスを表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatchlogs" \| top event.src_ip` このクエリは、トラフィックが最も多い送信元 IP アドレスのテーブルを降順に表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者
パケット統計を表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatch"\| timechart sum(Sum) by metric_name` このクエリは、1 分`ReceivedPackets`あたりのメトリクス `DroppedPackets`、`PassedPackets`、およびのテーブルを表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者
最も使用されているソースポートを表示します。	Splunk ダッシュボードで、検索とレポートに移動します。ここに検索を入力するボックスに、次のように入力します。 `sourcetype="aws:cloudwatchlogs" \| top event.dest_port` このクエリは、トラフィックが最も多いソースポートのテーブルを降順で表示します。グラフィカル表現の場合は、視覚化を選択します。	Splunk 管理者

Cookie の設定を選択する

Cookie の設定をカスタマイズする

Essential

Performance

Functional

Advertising

Cookie の設定を保存できません

Splunk を使用して AWS Network Firewall のログとメトリクスを表示する

概要

前提条件と制限

アーキテクチャ

ツール

エピック

IAM ロールを作成する

AWS 用の Splunk アドオンをインストールする

CloudWatch への Splunk アクセスを設定する

クエリを使用して Splunk ビジュアライゼーションを作成する

関連リソース

次のトピック

前のトピック:

ヘルプが必要ですか?

このページの内容

このページは役に立ちましたか?

AWS Network Firewall と Splunk のログ記録アーキテクチャ