收集 Cloudflare Page Shield 記錄

剖析器版本：1.0

本文說明如何使用 Amazon S3，將 Cloudflare Page Shield 記錄檔擷取至 Google Security Operations。

Page Shield 可協助管理網站訪客載入的資源，包括指令碼、連線和 Cookie，並在資源變更或被視為惡意時觸發快訊通知。

事前準備

• Google SecOps 執行個體
• 已啟用 Page Shield 的 Cloudflare 帳戶
• Cloudflare 資訊主頁的特殊存取權
• AWS (S3、IAM) 的特殊存取權

這個選項會使用 Cloudflare Logpush 將 Page Shield 事件匯出至 Amazon S3，然後由 Google SecOps 擷取。

啟用 Page Shield

1. 登入 Cloudflare 資訊主頁。
2. 選取帳戶和網域。
3. 依序前往「安全性」>「Page Shield」。
4. 按一下「啟用網頁防護」。

建立 Amazon S3 儲存貯體

1. 開啟 Amazon S3 控制台。
2. 點選「建立 bucket」。
3. 請提供下列設定詳細資料：
   • Bucket 名稱：輸入 bucket 的有意義名稱 (例如 cloudflare-pageshield-logs)。
   • 區域：選取偏好的 AWS 區域 (例如 us-east-1)。
4. 點選「建立」。
5. 請記下 bucket 名稱和區域，以供日後參考。

建立具有 S3 存取權的 IAM 使用者

1. 開啟 IAM console。
2. 依序點選「使用者」>「新增使用者」。
3. 輸入使用者名稱 (例如 chronicle-s3-user)。
4. 選取「程式輔助存取權」。
5. 點選 [Next: Permissions] (下一步：權限)。
6. 選擇「直接附加現有政策」。
7. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
8. 按一下「下一步：代碼」。
9. 按一下 [下一步：檢閱]。
10. 點選「Create user」。
11. 按一下「下載 .csv 檔案」，儲存「存取金鑰 ID」和「私密存取金鑰」。

為 Cloudflare 設定 S3 bucket 政策

1. 在 Amazon S3 控制台中選取儲存空間。
2. 依序點選「Permissions」> Bucket policy。
3. 按一下 [編輯]。

4. 貼上下列政策，並將 <BUCKET_NAME> 替換為 bucket 名稱：

   {
     "Id": "Policy1506627184792",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Stmt1506627150918",
         "Action": ["s3:PutObject"],
         "Effect": "Allow",
         "Resource": "arn:aws:s3:::<BUCKET_NAME>/*",
         "Principal": {
           "AWS": ["arn:aws:iam::391854517948:user/cloudflare-logpush"]
         }
       }
     ]
   }
   

5. 按一下 [儲存變更]。

建立 Cloudflare Logpush 工作

1. 登入 Cloudflare 資訊主頁。
2. 選取帳戶和網域。
3. 依序前往「Analytics & Logs」>「Logs」。
4. 按一下「建立 Logpush 工作」。
5. 在「選取目的地」中，選擇「Amazon S3」。
6. 輸入下列目的地資訊：
   • Bucket 名稱：輸入 S3 bucket 名稱 (例如 cloudflare-pageshield-logs)。
   • 儲存空間區域：選取與 S3 儲存空間相符的區域。
   • bucket 路徑 (選用)：輸入路徑前置字串 (例如 pageshield/)。
7. 按一下「繼續」。
8. 為證明擁有權，Cloudflare 會將檔案傳送到指定目的地。如要尋找權杖，請選取擁有權驗證檔案「總覽」分頁中的「開啟」按鈕，然後將權杖貼到 Cloudflare 資訊主頁，驗證您對 bucket 的存取權。輸入擁有權權杖，然後選取「繼續」。
9. 在「選取資料集」中，選擇「Page Shield 事件」。
10. 點選「下一步」。
11. 設定記錄檔推送作業：
    • 工作名稱：輸入描述性名稱 (例如 pageshield-to-s3)。
    • 如果記錄檔相符：留空即可納入所有事件，或視需要設定篩選器。
    • 傳送下列欄位：選取「所有欄位」或選擇特定欄位。
12. 按一下「提交」。

在 Google SecOps 中設定動態饋給，擷取 Page Shield 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Cloudflare Page Shield S3)。
5. 選取「Amazon S3 V2」做為「來源類型」。
6. 選取「Cloudflare Page Shield」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • S3 URI：以 s3://<BUCKET_NAME>/<BUCKET_PATH>/ 格式輸入 bucket URI

   • 來源刪除選項：根據偏好設定選取刪除選項：

     • 永不：轉移後一律不刪除任何檔案。
     • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
     • 刪除已轉移的檔案和空白目錄：成功轉移檔案後，刪除檔案和空白目錄。

   • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。

   • 存取金鑰 ID：具有 S3 儲存貯體存取權的使用者存取金鑰。

   • 私密存取金鑰：具有 S3 bucket 存取權的使用者私密金鑰。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。