收集 Akamai WAF 記錄

剖析器版本：32.0

支援：

本文說明如何使用 Akamai CEF 連接器和 Bindplane，將 Akamai WAF 記錄檔擷取至 Google Security Operations。Akamai WAF 是雲端式網頁應用程式防火牆，可保護網頁應用程式和 API，防範 SQL 注入、跨網站指令碼攻擊 (XSS) 和 DDoS 攻擊等威脅。Akamai CEF 連接器會近乎即時地從 Akamai SIEM API 提取安全事件，並將這些事件從 JSON 轉換為通用事件格式 (CEF)，然後透過 Syslog 轉送至 Bindplane。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體。
  • Windows 2016 以上版本或 Linux 主機，且具備 Bindplane 代理程式安裝所需的 systemd。
  • Linux 伺服器 (建議使用 CentOS、RHEL 或 Ubuntu)，至少有 2 個 CPU 核心、6 GB RAM 和 2 GB 可用磁碟空間，用於 Akamai CEF 連接器。
  • CEF 連接器主機上已安裝 Java 8 (JRE 1.8) 以上版本。
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已依 Bindplane 代理程式規定開啟，且 Proxy 允許清單包含 *.cloudsecurity.akamaiapis.net 和 *.luna.akamaiapis.net。
  • Akamai 控制中心的特殊存取權。
  • Akamai 安全性設定，已啟用 App & API Protector、Kona Site Defender、Web Application Protector、Bot Manager 或 Account Protector。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
  12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分的客戶 ID。

在 Akamai Control Center 啟用 SIEM 整合

  1. 登入 Akamai Control Center。
  2. 依序前往「WEB & DATA CENTER SECURITY」>「Security Configuration」。
  3. 開啟安全性設定，以及要收集 SIEM 資料的適當版本。
  4. 按一下「進階設定」，然後展開「SIEM 整合資料收集」。
  5. 按一下「開啟」啟用 SIEM。
  6. 選擇要匯出資料的安全政策：
    • 所有安全性政策：針對違反安全性設定中任何安全性政策的事件，傳送 SIEM 資料。
    • 特定安全性政策：傳送一或多項特定安全性政策的資料。從下拉式選單中選取適當的政策。
  7. 複製「Web Security Configuration ID」欄位中的值。請儲存這個 ID，稍後會用到。

  8. 按一下「Activate」(啟用)，將安全性設定變更推送至正式環境網路。在「Network」(網路) 下方，依序點選「Production」(正式環境) 和「Activate」(啟用)。

設定使用者，以便在 Akamai 控制中心管理 SIEM

  1. 在 Akamai 控制中心，依序前往「ACCOUNT ADMIN」>「Identity & access」。
  2. 在「使用者和 API 用戶端」分頁中，找出要指派角色的使用者，或按一下「建立使用者」。
  3. 如要將 SIEM 角色指派給現有使用者：
    1. 開啟使用者帳戶，然後按一下「編輯角色」分頁標籤。
    2. 找出適當的群組，按一下「角色」下拉式選單，然後選取「管理 SIEM」角色。
    3. 按一下「提交」。

  4. 如要將 SIEM 角色指派給新使用者，請按照下列步驟操作：

    1. 點選「Create user」。
    2. 輸入使用者的基本資訊，然後向下捲動至「Assign Roles」部分。
    3. 找到適當的群組，按一下「角色」下拉式選單，然後選取「管理 SIEM」角色。
    4. 按一下 [儲存]。

在 Akamai Control Center 中佈建 SIEM API 憑證

  1. 請參閱 Akamai 說明文件的「Create authentication credentials」(建立驗證憑證) 頁面。
  2. 按照步驟為指派管理 SIEM 的使用者佈建 SIEM API。

  3. 複製並妥善儲存下列憑證：

    • 存取權杖
    • 用戶端憑證
    • 用戶端密鑰
    • 基準網址 (主機)

安裝 Akamai CEF 連接器

  1. 在 Linux 伺服器上，從 Akamai SIEM Integration Connector Packages GitHub 存放區下載最新的 CEF 連接器發行套件。
  2. 視需要將套件轉移至伺服器。
  3. 驗證下載檔案的 SHA256 雜湊值，確保檔案完整性。

  4. 解壓縮發布套件：

    unzip CEFConnector-<version>.zip

  5. 前往解壓縮的目錄：

    cd CEFConnector-<version>

  6. 建立開機指令碼的符號連結，以便安裝服務：

    sudo ln -s /path/to/CEFConnector-<version>/bin/AkamaiCEFConnector.sh /etc/init.d/AkamaiCEFConnector

設定 Akamai CEF 連接器

  1. 前往 CEF 連接器安裝目錄中的 config 目錄：

    cd /path/to/CEFConnector-<version>/config

  2. 使用文字編輯器開啟 CEFConnector.properties 檔案：

    sudo nano CEFConnector.properties

  3. 設定下列必要參數：

    # Pull rate from Akamai source (in seconds, positive integer)
connector.pull.interval=60

# Security Configuration IDs (semicolon-separated for multiple)
akamai.data.configs=<YOUR_SECURITY_CONFIG_ID>

# API Credentials
akamai.data.accesstoken=<YOUR_ACCESS_TOKEN>
akamai.data.clienttoken=<YOUR_CLIENT_TOKEN>
akamai.data.clientsecret=<YOUR_CLIENT_SECRET>
akamai.data.baseurl=<YOUR_BASE_URL>

# Offset-based mode (recommended for continuous collection)
akamai.data.timebased=false

# Maximum number of events per API call
akamai.data.limit=200000

# Proxy Configuration (leave blank if no proxy)
# connector.proxy.host=
# connector.proxy.port=

  4. 將下列預留位置替換為實際值：

    • <YOUR_SECURITY_CONFIG_ID>：您在「啟用 SIEM」一節中複製的 Web Security 設定 ID。如有多個設定，請以半形分號分隔 ID (例如 12345;67890)。
    • <YOUR_ACCESS_TOKEN>：Akamai API 憑證的存取權杖。
    • <YOUR_CLIENT_TOKEN>：Akamai API 憑證中的用戶端權杖。
    • <YOUR_CLIENT_SECRET>：Akamai API 憑證的用戶端密鑰。
    • <YOUR_BASE_URL>：Akamai API 憑證中的基本網址 (主機)，例如 akab-xxxxxxxxxxxxxxxx-xxxxxxxxxxxxxxxx.luna.akamaiapis.net。

  5. 儲存並關閉檔案。

設定 CEF 連接器記錄，將系統記錄轉送至 Bindplane

  1. 前往 CEF 連接器安裝目錄中的 config 目錄。

  2. 使用文字編輯器開啟 log4j2.xml 檔案：

    sudo nano /path/to/CEFConnector-<version>/config/log4j2.xml

  3. 在檔案頂端附近的「Properties」部分，將遠端 Syslog 伺服器參數設為指向 Bindplane 代理程式：

    <!-- Syslog Appender Configuration -->
<Syslog name="SyslogAppender" 
        host="<BINDPLANE_IP_ADDRESS>" 
        port="<BINDPLANE_PORT>" 
        protocol="<PROTOCOL>" 
        facility="LOCAL0"
        format="RFC 5424">
    <PatternLayout pattern="%m%n"/>
</Syslog>

  4. 請替換下列預留位置：

    • <BINDPLANE_IP_ADDRESS>：安裝 Bindplane 代理程式的伺服器 IP 位址 (例如 192.168.1.100)。
    • <BINDPLANE_PORT>：Bindplane 代理程式接聽的通訊埠號碼 (例如 UDP 為 514，TCP 為 601)。
    • 將 CEFProtocol 設為 UDP 或 TCP，與 Bindplane 接收器設定相符。

  5. 儲存並關閉檔案。

啟動 Akamai CEF 連接器

  1. 啟動 CEF 連接器服務：

    sudo /etc/init.d/AkamaiCEFConnector start

  2. 確認服務正在執行：

    sudo /etc/init.d/AkamaiCEFConnector status

  3. 監控記錄，確保連接器從 Akamai 提取事件並轉送：

    tail -f /path/to/CEFConnector-<version>/bin/logs/cefconnector.log

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟命令提示字元或 PowerShell。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in the Get ingestion authentication file section
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from the Get customer ID section
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AKAMAI_WAF'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • 視基礎架構需求更換連接埠和 IP 位址。
  • 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
  • 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
  • 將 <PLACEHOLDER_CUSTOMER_ID> 替換為實際的客戶 ID。
  • 將 /path/to/ingestion-authentication-file.json 更新為服務帳戶金鑰檔案 (選項 1) 的儲存路徑，該檔案位於「取得 Bindplane 代理程式的 Google SecOps 憑證」一節。

舊版 Ingestion API 匯出工具

  • 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in the Get ingestion authentication file section
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from the Get customer ID section
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AKAMAI_WAF'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務是否正在執行：

    sudo systemctl status observiq-otel-collector

  3. 查看記錄檔是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 查看記錄檔是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

UDM 對應表

記錄欄位 UDM 對應 邏輯
src (attackData.clientIP) principal.ip 提出要求的用戶端來源 IP 位址
c6a2 (ipv6src) principal.ip 如果 attackData.clientIP 採用 IPv6 格式，則為來源 IPv6 位址
dhost (httpMessage.host) target.hostname HTTP HOST 標頭中的主機名稱
dpt (httpMessage.port) target.port 傳入要求使用的通訊埠編號
requestMethod (httpMessage.method) network.http.method 傳入要求的 HTTP 方法 (GET、POST 等)
request (requestURL) target.url 根據 httpMessage 欄位計算出的完整網址
cs1 (attackData.rules) security_result.rule_id 這項要求觸發的規則 ID
cs2 (attackData.ruleMessages) security_result.rule_name 觸發規則的訊息
act (appliedAction) security_result.action 採取的動作 (快訊、拒絕、中止等)
severity security_result.severity 計算出的嚴重程度 (偵測為 5，緩解為 10)
cs5 (attackData.clientReputation) security_result.threat_name 用戶端信譽的用戶端 IP 分數
cs6 (attackData.apiId) security_result.detection_fields API Protection 的 API ID
start (httpMessage.start) metadata.event_timestamp Edge 伺服器啟動連線的時間 (Epoch 格式)
devicePayloadId (httpMessage.requestId) metadata.product_log_id 訊息的全域專屬 ID
flexString1 (attackData.configId) security_result.detection_fields 套用至這項要求的安全性設定 ID
flexString2 (attackData.policyId) security_result.detection_fields 套用至這項要求的防火牆政策 ID
AkamaiSiemJA4 (identity.ja4) network.tls.client.ja3 JA4 用戶端 TLS 指紋

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。