- 1 目的
- 2 構成図
- 3 参考
- 4 前提
- 5 手順
- 5.1 Splunk側の設定
- 5.1.1 インプットの追加
- 5.2 AWS側の設定
- 5.2.1 SQSの作成
- 5.2.2 SNSの作成
- 5.2.3 S3の設定
- 5.1 Splunk側の設定
- 6 Splunk側でログ確認
- 7 感想
目的
AWSのVPCフローログを集中監視し、可視化することで、ネットワークトラフィックの状況を把握し、セキュリティリスクを検知すること。
この目的を達成するため、AWS上のログデータをSplunkに取り込み、Splunkの監視・分析機能を活用します。具体的には、Splunk側でAWS側のVPCフローログを受信できるよう設定を行います。
構成図
参考
（公式ドキュメント）Splunk Add-on for AWS
AWS S3上のデータを SQS と組み合わせて Splunkに取り込む
前提
が完了している。
手順
Splunk側の設定
EC2インスタンスにIAMロールをアタッチしているので、別途設定が不要である。実際にSplunk側で認識しているかどうかを確認するための手順を以下に示す。
SplunkのWEB UIの左ペインにある「Splunk Add-on for AWS」を選択する。
以下の画面が表示されるので、「設定」を押下する。
「Account」タブが選択されており、EC2にアタッチしたIAMロールが設定されていることを確認する。
インプットの追加
SQS(再帰的にS3含む)にデータをPullするための設定を行う。IAMロールの確認をした後の手順として記載する。
「入力」に戻り、「Create New Input」を押下する。
「Custom Data Type」→ 「SQS-Based S3」の順に押下する。
必要情報を入力する。
AWS Accountにロール名が入る。
(検証時点では、Advanced Settingまで考慮しない)
「Signature Validate All Events」は不具合が生じたら外しておく（説明は後述）
AWS側の設定
SQSの作成
1. 先にSQS-DLQを作成しておきます。
キュータイプ：標準にします。
可視性タイムアウト：5分にしておきます。
（それ以外はデフォルトでOK）
アクセスポリシー：アドバンストにして、以下内容を入れておく。
{
"Version": "2012-10-17",
"Id": "example-ID",
"Statement": [
{
"Sid": "SQS_SQSDLQ_PUSH",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "SQS:*",
"Resource": "arn:aws:sqs:ap-northeast-1:************:poc-splunk-vpcflowlog-dlq",
"Condition": {
"ArnLike": {
"aws:SourceArn": "*"
}
}
}
]
}
2. 次に通常のSQSキューを作成します。
キュータイプ：標準にします。
可視性タイムアウト：5分にしておきます。
（それ以外はデフォルトでOK）
サーバー側の暗号化：検証段階では無効にしておきます。
アクセスポリシー：アドバンストにして、SNSがSQSにSendMessageできる権限（”SNS_SQS_PUSH”）と、EC2等がSQSを確認できる権限（”Sid”: “SQS_PULL”）を入れておく。
{
"Version": "2012-10-17",
"Id": "example-ID",
"Statement": [
{
"Sid": "SNS_SQS_PUSH",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "sqs:SendMessage",
"Resource": "arn:aws:sqs:ap-northeast-1:************:poc-splunk-vpcflowlog",
"Condition": {
"ArnLike": {
"aws:SourceArn": "arn:aws:sns:ap-northeast-1:************:poc-splunk-vpcflowlog-topic"
}
}
},
{
"Sid": "SQS_PULL",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "sqs:*",
"Resource": "arn:aws:sqs:ap-northeast-1:************:poc-splunk-vpcflowlog"
}
]
}
デッドレターキュー：有効にして、1.で作成したDLQを指定します。
SNSの作成
- トピックの作成
- サブスクリプションの作成
トピック：先ほど作成したものを選択
プロトコル：SQS
エンドポイント：先ほど作成したSQSキューのARNを指定
raw メッセージ配信の有効化：チェックは必ず外したままにしておくこと
アクセスポリシー：アドバンスドにして、S3がSNSにPublishできる権限（”Sid”: “S3_to_SNS_Publish”）、SQSがこのSNSトピックをSubscribeできる権限（”Sid”: “SQS_Subscribe”）を入れておく。
{
"Version": "2008-10-17",
"Id": "__default_policy_ID",
"Statement": [
{
"Sid": "S3_to_SNS_Publish",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "SNS:Publish",
"Resource": "arn:aws:sns:ap-northeast-1:************:poc-splunk-vpcflowlog-topic",
"Condition": {
"ArnLike": {
"aws:SourceArn": [
"arn:aws:s3:::poc-splunk-vpcflowlog",
"arn:aws:s3:::poc-splunk-vpcflowlog/*"
]
}
}
},
{
"Sid": "SQS_Subscribe",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "SNS:Subscribe",
"Resource": "arn:aws:sns:ap-northeast-1:************:poc-splunk-vpcflowlog-topic",
"Condition": {
"ArnLike": {
"aws:SourceArn": "arn:aws:sqs:ap-northeast-1:************:poc-splunk-vpcflowlog"
}
}
}
]
}
S3の設定
- バケットポリシーの修正
VPCフローログの場合、設定すると勝手にS3のバケットポリシーが以下のように書き込まれてしまう。
このため、Splunk on EC2のロールがS3にアクセスできるよう、最下部に「”Sid”: “EC2PULL”」を追加しておいた。
{
"Version": "2012-10-17",
"Id": "AWSLogDeliveryWrite20150319",
"Statement": [
{
"Sid": "AWSLogDeliveryWrite",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::poc-splunk-vpcflowlog/AWSLogs/************/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control",
"aws:SourceAccount": "************"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:logs:ap-northeast-1:************:*"
}
}
},
{
"Sid": "AWSLogDeliveryAclCheck",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::poc-splunk-vpcflowlog",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "************"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:logs:ap-northeast-1:************:*"
}
}
},
{
"Sid": "EC2PULL",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::************:role/dev-iam-role-splunk"
},
"Action": "s3:*",
"Resource": "arn:aws:s3:::poc-splunk-vpcflowlog/*"
}
]
}
- イベント通知設定（SNSへの通知)
最後にS3に新規書き込みがあった際のイベント通知設定を行います。
プレフィックス：（始まり）記載なくてもいいですが、「poc-splunk-vpcflowlog/AWSLogs/************/vpcflowlogs/ap-northeast-1/」は不変だったので記載しておきました。
サフィックス：（終わり）拡張子が.gzのファイルがアップロードされるので、拡張子だけ記載しておきました。なくてもいいです。
イベントタイプ：念のため「すべてのオブジェクト作成イベント」s3:ObjectCreated:*にチェックを入れておきます。
送信先：先ほど作成したSNSトピック「poc-splunk-vpcflowlog-topic」を指定して通知します。
Splunk側でログ確認
この状態で稼働を始めたところ、立て続けに4件以下のWarningが来ました。
Warning: This message does not have a valid SNS Signature None None doesn't match required format '^https://sns\\\\.[-a-z0-9]+\\\\.amazonaws\\\\.com(?:\\\\.cn)?/'
ここによると、Splunk Add-on for AWSバージョン5.2.1からの機能らしい。
おそらくバージョン 5.2.1 のアップデートに関連していると思われます。
https://docs.splunk.com/Documentation/AddOns/release/AWS/Releasenotes
Splunk アドオン for AWS バージョンのバージョン 5.2.1 には、次の新機能と変更された機能が含まれています。
- SQS キューから Splunk に送信される SNS メッセージの署名の検証を追加しました。ログのソースは、SNS メッセージの署名と署名フィールドを照合することによって検証されます。
5.2.1 アップデートを取り消しました。 5.2.0は動作しているようです。
バージョン確認したところ、しっかり7.5.0でした。
ということで、後から編集でこの「Signature Validate All Events」のチェックを外します。
設定後、サーチ画面で「*」で検索。
以下のような形式のVPCフローログが来ていれば成功です。
version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status
2 ************ eni-0e12ddef5e69024cb 10.110.. 10.110.. 443 33122 6 4 160 1712727859 1712727859 ACCEPT OK
補足
たまにChromeだとSplunkの動作が不安定になるので、そういうときはEdgeを使うと安定します。
（SplunkはブラウザはEdgeの方が相性いいかも）
感想
当方、まだSplunkの知識はそんなにないのですが、これはそういうのは不要で構築できました。
AWSネイティブ一択でいくのであれば、SIEMはOpenSearchでいくのがスムーズですが、Splunkを使いたいケースもあるかと思います。その場合、Splunk側ではAWS連携用としてSplunk Add-on for AWSを使い、入力方式もSQS Based S3というSNS⇨SQSからの通知によりS3から取得しに行く方式です。これが結構曲者で、S3 File DecoderやSource Typeを正しいものを選ばないと、Splunk側で正しく取り込めず、ログが表示されません。特にSQS Based S3だとどれを選べばいいのか、デフォルトのままでいいのか、情報がネットにもあまりありません。なのでSplunk Add-on for AWSを使う場合は、この辺りに注意してください。
