Amazon Simple Storage Service 버킷으로 보호 팩(웹 ACL) 트래픽 로그 전송 - AWS WAF, AWS Firewall Manager, AWS Shield Advanced, 및 AWS Shield 네트워크 보안 디렉터
요구 사항 및 구문 이름 지정 로깅에 대한 권한AWS Key Management Service를 KMS 키와 함께 사용하기 위한 권한로그에 액세스할 수 있는 권한

AWS WAF에 대한 새로운 콘솔 환경 소개

이제 업데이트된 환경을 사용하여 콘솔의 모든 위치에서 AWS WAF 기능에 액세스할 수 있습니다. 자세한 내용은 업데이트된 콘솔 환경 작업 섹션을 참조하십시오.

Amazon Simple Storage Service 버킷으로 보호 팩(웹 ACL) 트래픽 로그 전송

이 주제에서는 Amazon S3 버킷으로 보호 팩(웹 ACL) 트래픽 로그를 전송하기 위한 정보를 제공합니다.

참고

AWS WAF 사용 요금 외에 로그인 요금이 부과됩니다. 자세한 내용은 보호 팩(웹 ACL) 트래픽 정보 로깅 요금 섹션을 참조하세요.

보호 팩(웹 ACL) 트래픽 로그를 Amazon S3로 전송하려면 보호 팩(웹 ACL)을 관리하는 데 사용하는 계정과 동일한 계정에서 Amazon S3 버킷을 설정하고 버킷 이름을 aws-waf-logs-로 시작합니다. AWS WAF에서 로그인을 활성화할 때 버킷 이름을 입력합니다. 로깅 버킷 생성에 대한 자세한 내용을 알아보려면 Amazon Simple Storage Service 사용 설명서의 버킷 생성을 참조하세요.

Amazon Athena 대화형 쿼리 서비스를 사용하여 Amazon S3 로그에 액세스하고 분석할 수 있습니다. Athena에서 표준 SQL을 사용해 Amazon S3의 데이터를 손쉽게 직접 분석할 수 있습니다. AWS Management Console에서 몇 가지 작업을 수행하면 Athena에서 Amazon S3에 저장된 데이터를 지정하고 표준 SQL을 빠르게 사용해 임시 쿼리를 실행하여 결과를 얻을 수 있습니다. 자세한 내용은 Amazon Athena 사용 설명서의 AWS WAF 로그 쿼리 섹션을 참조하세요. 추가 Amazon Athena 쿼리 샘플은 GitHub 웹 사이트의 aws-samples/waf-log-sample-athena-queries를 참조하세요.

참고

AWS WAF는 키 유형 Amazon S3 키(SSE-S3) 및 AWS Key Management Service(SSE-KMS)AWS KMS keys에 대한 Amazon S3 버킷의 암호화를 지원합니다. AWS WAF는 AWS에서 관리하는 AWS Key Management Service 키에 대한 암호화를 지원하지 않습니다.

보호 팩(웹 ACL)의 로그 파일은 5분 간격으로 Amazon S3 버킷에 게시됩니다. 각 로그 파일에는 이전 5분 동안 기록된 트래픽에 대한 로그 레코드가 포함됩니다.

로그 파일의 최대 크기는 75MB입니다. 로그 파일이 5분 내에 파일 크기 한도에 도달하는 경우, 로그는 레코드의 로그 파일로의 추가를 중단하고 Amazon S3 버킷에 게시한 다음 새로운 로그 파일을 생성합니다.

로그 파일은 압축된 상태입니다. Amazon S3 콘솔을 사용해 파일을 열면 Amazon S3에서 로그 레코드의 압축을 해제하고 이를 표시합니다. 로그 파일을 다운로드하는 경우, 압축을 해제해야 레코드를 볼 수 있습니다.

단일 로그 파일에는 여러 레코드와 함께 인터리브 항목이 포함되어 있습니다. 보호 팩(웹 ACL)의 모든 로그 파일을 보려면 보호 팩(웹 ACL) 이름, 리전 및 계정 ID별로 집계된 항목을 찾아봅니다.

요구 사항 및 구문 이름 지정

AWS WAF 로깅을 위한 버킷 이름은 반드시 aws-waf-logs-로 시작해야 하며 끝에는 원하는 접미사를 붙일 수 있습니다. 예를 들어 aws-waf-logs-LOGGING-BUCKET-SUFFIX입니다.

버킷 위치

버킷 위치에서는 다음 구문이 사용됩니다.

s3://aws-waf-logs-LOGGING-BUCKET-SUFFIX/
버킷 ARN

Amazon 리소스 이름(ARN) 버킷의 형식은 다음과 같습니다.

arn:aws:s3:::aws-waf-logs-LOGGING-BUCKET-SUFFIX
접두사가 있는 버킷 위치

객체 키 이름에 접두사를 사용하여 버킷에 저장하는 데이터를 구성하는 경우 로깅 버킷 이름에 접두사를 제공할 수 있습니다.

참고

콘솔에서는 이 옵션을 사용할 수 없습니다. AWS WAF API, CLI 또는 AWS CloudFormation을 사용하십시오.

Amazon S3에서 접두어 사용에 대한 자세한 내용을 알아보려면 Amazon Simple Storage Service 사용 설명서의 접두어를 사용한 객체 구성을 참조하세요.

접두사가 있는 버킷 위치에는 다음 구문이 사용됩니다.

s3://aws-waf-logs-LOGGING-BUCKET-SUFFIX/KEY-NAME-PREFIX/
버킷 폴더 및 파일 이름

버킷 내에서 사용자가 제공한 접두사에 따라 계정 ID, 리전, 보호 팩(웹 ACL) 이름, 날짜 및 시간에 따라 결정되는 폴더 구조 아래에 AWS WAF 로그가 기록됩니다.

AWSLogs/account-id/WAFLogs/Region/web-acl-name/YYYY/MM/dd/HH/mm

폴더 안에 있는 로그 파일 이름은 비슷한 형식을 따릅니다.

account-id_waflogs_Region_web-acl-name_timestamp_hash.log.gz

폴더 구조 및 로그 파일 이름에 사용되는 시간 지정은 타임스탬프 형식 사양인 YYYYMMddTHHmmZ를 준수합니다.

다음은 이름이 aws-waf-logs-LOGGING-BUCKET-SUFFIX인 Amazon S3 버킷의 로그 파일 예제를 보여줍니다. AWS 계정은 11111111111입니다. 보호 팩(웹 ACL)은 TEST-WEBACL이며 리전은 us-east-1입니다.

s3://aws-waf-logs-LOGGING-BUCKET-SUFFIX/AWSLogs/11111111111/WAFLogs/us-east-1/TEST-WEBACL/2021/10/28/19/50/11111111111_waflogs_us-east-1_TEST-WEBACL_20211028T1950Z_e0ca43b5.log.gz
참고

AWS WAF 로깅을 위한 버킷 이름은 반드시 aws-waf-logs-로 시작해야 하며 끝에는 원하는 접미사를 붙일 수 있습니다.

Amazon S3에 로그를 게시하는 데 필요한 권한

Amazon S3 버킷에 대한 보호 팩(웹 ACL) 트래픽 로깅을 구성하려면 다음과 같은 권한 설정이 필요합니다. 이러한 권한은 AWS WAF 전체 액세스 관리형 정책(AWSWAFConsoleFullAccess 또는 AWSWAFFullAccess) 중 하나를 사용할 때 자동으로 설정됩니다. 로깅 및 AWS WAF 리소스에 대한 보다 세분화된 액세스를 관리하려는 경우 이러한 권한을 직접 설정할 수 있습니다. 권한 관리에 관한 자세한 내용은 IAM 사용 설명서의 AWS 리소스에 대한 액세스 관리를 참조하세요. AWS WAF 관리형 정책에 대한 자세한 내용은 AWS WAF의 AWS 관리형 정책을 참조하세요.

다음 권한을 통해 보호 팩(웹 ACL) 로깅 구성을 변경하고 로그가 Amazon S3 버킷으로 전송되도록 구성할 수 있습니다. 이러한 권한은 AWS WAF를 관리하는 데 사용하는 사용자에게 연결되어야 합니다.

참고

아래 나열된 권한을 설정하면 AWS CloudTrail 로그에 액세스가 거부되었음을 나타내는 오류가 표시될 수 있지만 AWS WAF 로깅용 권한은 올바릅니다.

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Action":[
            "wafv2:PutLoggingConfiguration",
            "wafv2:DeleteLoggingConfiguration"
         ],
         "Resource":[
            "*"
         ],
         "Effect":"Allow",
         "Sid":"LoggingConfigurationAPI"
      },
    {                                                                                                                                                                
       "Sid":"WebACLLogDelivery",                                                                                                                                    
       "Action":[                                                                                                                                                    
          "logs:CreateLogDelivery",                                                                                                                                  
          "logs:DeleteLogDelivery"                                                                                                                                   
       ],                                                                                                                                                            
       "Resource": "*",                                                                                                                                              
       "Effect":"Allow"                                                                                                                                              
    },  
      {
         "Sid":"WebACLLoggingS3",
         "Action":[
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy"
         ],
         "Resource": [
         "arn:aws:s3:::aws-waf-logs-amzn-s3-demo-destination-bucket-suffix"
         ],
         "Effect":"Allow"
      }
   ]
}

모든 AWS 리소스에서 작업이 허용되는 경우 이는 정책에 "*"의 "Resource" 설정과 함께 표시됩니다. 즉, 각 작업에서 지원하는 모든 AWS 리소스에 대해 해당 작업이 허용됩니다. 예를 들어 wafv2:PutLoggingConfiguration 작업은 wafv2 로깅 구성 리소스에서만 지원됩니다.

기본적으로 Amazon S3 버킷과 버킷에 포함된 객체는 비공개입니다. 버킷 소유자만이 버킷과 그 안에 저장된 객체에 액세스할 수 있습니다. 그러나 버킷 소유자는 액세스 정책을 작성하여 다른 리소스 및 사용자에게 액세스를 허용할 수 있습니다.

로그를 생성하는 사용자가 버킷을 소유한 경우, 해당 서비스에서는 다음 정책을 해당 버킷에 자동으로 연결하여 로그를 버킷에 게시할 로그 권한을 부여합니다.

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AWSLogDeliveryWrite",
      "Effect": "Allow",
      "Principal": {
        "Service": "delivery.logs.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::aws-waf-logs-amzn-s3-demo-destination-bucket-suffix/AWSLogs/123456789012/*",
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control",
          "aws:SourceAccount": ["123456789012"]
        },
        "ArnLike": {
        "aws:SourceArn": ["arn:aws:logs:us-east-2:123456789012:*"]
        }
      }
    },
    {
      "Sid": "AWSLogDeliveryAclCheck",
      "Effect": "Allow",
      "Principal": {
        "Service": "delivery.logs.amazonaws.com"
      },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::aws-waf-logs-amzn-s3-demo-destination-bucket-suffix",
      "Condition": {
        "StringEquals": {
        "aws:SourceAccount": ["123456789012"]
        },
        "ArnLike": {
        "aws:SourceArn": ["arn:aws:logs:us-east-2:123456789012:*"]
        }
      }
    }
  ]
}
참고

AWS WAF 로깅을 위한 버킷 이름은 반드시 aws-waf-logs-로 시작해야 하며 끝에는 원하는 접미사를 붙일 수 있습니다.

로그를 생성하는 사용자가 버킷을 소유하지 않거나 해당 버킷에 대한 GetBucketPolicy와 PutBucketPolicy가 없는 경우, 로그 생성이 실패합니다. 이 경우 버킷 소유자가 이전 정책을 수동으로 버킷에 추가하고 로그 생성자의 AWS 계정 ID를 지정해야 합니다. 자세한 내용은 Amazon Simple Storage Service Console 사용 설명서의 S3 버킷 정책을 추가하려면 어떻게 해야 합니까?를 참조하세요. 버킷이 여러 계정으로부터 로그를 수신하는 경우, Resource 요소 입력 내용을 각 계정의 AWSLogDeliveryWrite 정책 설명에 추가합니다.

예를 들어, 다음 버킷 정책이 AWS 계정 111122223333이 로그를 aws-waf-logs-LOGGING-BUCKET-SUFFIX이란 이름의 버킷에 게시하도록 허용합니다.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Id": "AWSLogDeliveryWrite20150319",
    "Statement": [
        {
            "Sid": "AWSLogDeliveryWrite",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::aws-waf-logs-amzn-s3-demo-destination-bucket-suffix/AWSLogs/111122223333/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceAccount": ["111122223333"]
                },
                "ArnLike": {
                    "aws:SourceArn": ["arn:aws:logs:us-east-1:111122223333:*"]
                }
            }
        },
        {
            "Sid": "AWSLogDeliveryAclCheck",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::aws-waf-logs-amzn-s3-demo-destination-bucket-suffix",
            "Condition": {
                "StringEquals": {
                "aws:SourceAccount": ["111122223333"]
                },
                "ArnLike": {
                "aws:SourceArn": ["arn:aws:logs:us-east-1:111122223333:*"]
                }
            }
        }
    ]
}
참고

경우에 따라 delivery.logs.amazonaws.com에 s3:ListBucket 권한이 부여되지 않은 경우 AWS CloudTrail에서 AccessDenied 오류가 표시될 수 있습니다. CloudTrail 로그에서 이러한 오류를 방지하려면 delivery.logs.amazonaws.com에 s3:ListBucket 권한을 부여하고 앞의 버킷 정책에서 설정한 s3:GetBucketAcl 권한과 함께 표시된 Condition 파라미터를 포함해야 합니다. 이 작업을 보다 간단하게 수행하기 위해 새로운 Statement를 만드는 대신 AWSLogDeliveryAclCheck를 “Action”: [“s3:GetBucketAcl”, “s3:ListBucket”]으로 직접 업데이트할 수 있습니다.

AWS Key Management Service를 KMS 키와 함께 사용하기 위한 권한

로깅 대상에서 AWS Key Management Service(SSE-KMS)에 저장된 키와 함께 서버 측 암호화를 사용하고 고객 관리형 키(KMS 키)를 사용하는 경우 KMS 키를 사용할 수 있도록 하려면 AWS WAF 권한을 부여해야 합니다. 이렇게 하기 위해서는 선택한 대상의 KMS 키에 키 정책을 추가합니다. 이렇게 하면 AWS WAF 로깅을 통해 대상에 로그 파일을 쓸 수 있습니다.

KMS 키에 다음 키 정책을 추가하여 AWS WAF에서 Amazon S3 버킷에 로깅할 수 있도록 합니다.

{
    "Sid": "Allow AWS WAF to use the key",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "delivery.logs.amazonaws.com"
        ]
    },
    "Action": "kms:GenerateDataKey*",
    "Resource": "*"
}

Amazon S3 로그 파일에 액세스하는 데 필요한 권한

Amazon S3는 ACL(액세스 제어 목록)을 사용하여 AWS WAF 로그에서 생성한 로그 파일에 대한 액세스를 관리합니다. 기본적으로 버킷 소유자는 각 로그 파일에 대한 FULL_CONTROL 권한을 보유합니다. 로그 전송 소유자가 버킷 소유자와 다른 경우에는 권한이 없습니다. 로그 전송 계정에는 READ 및 WRITE 권한이 부여됩니다. 자세한 내용은 Amazon Simple Storage Service 사용 설명서의 액세스 제어 목록(ACL) 개요를 참조하세요.