AWS ファイアウォールのログをAmazon CloudWatch Logs に送信する方法

2023年12月18日

環境
AWS ファイアウォール
Amazon CloudWatch

概要
ログを Amazon CloudWatch Logs に送信するには、CloudWatch Logs ログ グループを作成します。有効にすると ネットワーク ファイアウォールにログインする場合は、
ログ グループ名を指定します。有効にした後 ファイアウォールのロギングでは、AWS Network Firewall がログを CloudWatch Logs ログに配信します
ログストリーム内のグループ。

操作方法
1.ネットワーク ファイアウォールをそのログ グループにログを送信するように構成すると、 結果として得られるログ ストリームの命名形式は次のとおりです。

/aws/network-firewall/log-type/firewall-name_YYYY-MM-DD-HH

例 2023 年 12 月 8 日の午後 5 時に作成されたログ ストリームの例を示します。 ファイアウォールのアラート ログ記録用 test-firewall。

/aws/network-firewall/alert/test-firewall_2023-12-08-17

2.権限設定を行います

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow",
            "Sid": "FirewallLogging"
        },
        {
            "Sid": "FirewallLoggingCWL",
            "Action": [
                "logs:PutResourcePolicy",
                "logs:DescribeResourcePolicies",
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "CloudWatch Logs log group ARN"
            ],
            "Effect": "Allow"
        }
    ]
}