WAFでどのリクエストがBlockされたのか、ログを集計してSlackで簡単に見れるようにした【SRE Lounge #17】  

こんにちは！今回のイベントレポートを担当するのはSREの是永（@s_korenaga）です。

7/2(火)に開催されました「SRE Lounge #17」に登壇させていただきました！

SRE Lounge は 「サイト信頼性エンジニアリング 」のコンセプトに共感したり、興味がある人々のためのオープンなコミュニティです。

登壇内容

今回登壇をさせていただいたテーマは、「WAFでどのリクエストがBlockされたのか、 ログを集計してSlackで簡単に見れるようにした」です。

 AWS WAFは、Web アプリケーションリソースに転送される HTTP (S) リクエストを監視できる Web アプリケーションファイアウォールです。

弊社は、WAFがブロックしたアクセスが一定ラインを超えたらDatadogのアラートをチャットツール（Slack）送る仕組みを構築していましたが、通知が多くなっていました。

また、その通知の多くは基本的に問題ないものだったのでひとつひとつ確認するのが煩雑になってきました。

そこで、アラートをトリガーにブロックしたリクエストの内容を通知するLambdaを作成し、Datadogの通知がきた後に大まかな内容を通知する仕組みを構築しました。

本仕組みによって、無差別に来る悪意のあるリクエストはひと目で分かるようになり、確認が楽になりました。

WAFのログには、

• クライアントの情報(IP、国)

• リクエスト情報(ヘッダー、クエリ文字列、User-Agent、httpversion)

• Rule情報(Ruleグループ名、Rule名、実施したaction、BLOCK理由)

• CAPCHA、CHALLENGE情報

などの情報がわかるため、ブロックしたアクセスログを見れば様々な攻撃の手法を学べます。

WAFには多くの情報があり、攻撃パターンを分析しルールをカスタマイズすることや、実際にシステムを攻撃してみるなど定期的な見直しが必要です。

資料は以下に公開しておりますので、ご興味がある方は是非ご覧ください！

まとめ

当日の会場では、組織の話やセキュリティ、デプロイ周りの話など様々な話がありました。

みなさま、さまざまな進化で議論が活発に行われていたり、長期的な視点を持ってやり遂げている取り組みの話を多く聞くことができ、楽しかったです。