フィルタリングノードのログの操作¶

本記事では、Wallarmフィルタリングノードのログファイルの場所を確認する方法を説明します。

ログファイルは/opt/wallarm/var/log/wallarmディレクトリにあります。以下に、存在するログファイルと各ファイルに含まれる情報の概要を示します。

• api-firewall-out.log: API specification enforcementのログです。

• appstructure-out.log(Dockerコンテナでのみ): API Discoveryモジュールの動作ログです。

• wstore-out.log(NGINX Node 5.x and earlierではtarantool-out.log): postanalyticsモジュールの動作ログです。

• wcli-out.log: ブルートフォース検知、Cloudへの攻撃エクスポート、Cloudとのノード同期状況など、大半のWallarmサービスのログです。

• supervisord-out.log: サービスの起動、ステータス変更、警告など、Supervisorのプロセス管理に関するログです。

• go-node.log: Native Nodeのログです。

NGINX‑ベースのフィルタノードの拡張ロギングの設定¶

NGINXは処理済みリクエスト(アクセスログ)のログを、既定のcombinedロギングフォーマットを使用して別のログファイルに書き込みます。

log_format combined '$remote_addr - $remote_user [$time_local] '
                    '"$request" $request_id $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" ';

必要に応じて他のNGINX変数と同様に、1つ以上のフィルタノード変数を含めたカスタムのロギングフォーマットを定義して使用できます。NGINXのログファイルからフィルタノードの診断をより迅速に実施できるようになります。

フィルタノード変数¶

NGINXのロギングフォーマットを定義する際に、以下のフィルタノード変数を使用できます。

設定例¶

wallarm_combinedという名前の拡張ロギングフォーマットを定義し、次の変数を含めるとします。

• combinedフォーマットで使用されているすべての変数

• すべてのフィルタノード変数

この場合、次の手順を実行します。

1. 以下の行は目的のロギングフォーマットを示します。NGINX構成ファイルのhttpブロックに追加します。

   log_format wallarm_combined '$remote_addr - $remote_user [$time_local] '
                               '"$request" $request_id $status $body_bytes_sent '
                               '"$http_referer" "$http_user_agent" '
                               '$wallarm_request_cpu_time $wallarm_request_mono_time $wallarm_serialized_size $wallarm_is_input_valid $wallarm_attack_type $wallarm_attack_type_list $wallarm_attack_point_list $wallarm_attack_stamp_list';
   

2. 同じブロックに次のディレクティブを追加して、拡張ロギングフォーマットを有効にします。

   access_log /var/log/nginx/access.log wallarm_combined;

   処理済みリクエストのログは、/var/log/nginx/access.logファイルにwallarm_combinedフォーマットで書き込まれます。

   条件付きロギング

   上記のディレクティブでは、攻撃に関連しないものを含め、すべての処理済みリクエストがログファイルに記録されます。

   条件付きロギングを設定して、攻撃の一部であるリクエスト(これらのリクエストではwallarm_attack_type変数の値がゼロではありません)のみを記録することもできます。その場合は、前述のディレクティブに条件を追加します: access_log /var/log/nginx/access.log wallarm_combined if=$wallarm_attack_type;

   ログファイルのサイズを抑えたい場合や、フィルタノードをSIEMソリューションのいずれかと連携する場合に役立ちます。

3. 使用しているOSに応じて、次のいずれかのコマンドを実行してNGINXを再起動します。

   DebianUbuntuCentOS or Amazon Linux 2.0.2021x and lowerAlmaLinux, Rocky Linux or Oracle Linux 8.xRHEL 8.x

   sudo systemctl restart nginx
   

   sudo service nginx restart
   

   sudo systemctl restart nginx
   

   sudo systemctl restart nginx
   

   sudo systemctl restart nginx
   

Was this page helpful?

How can we improve this article? (Optional)

Information is unclear or confusing

Insufficient information

Outdated or incorrect information

0/240

Send