← Cloudflare Logs / logs / logpush / logpush-job / enable-destinations

Включите IBM QRadar

Для настройки интеграции QRadar с Cloudflare можно использовать один из следующих способов:

HTTP Receiver Protocol

Чтобы отправлять журналы Cloudflare в QRadar, необходимо создать Задание Logpush для HTTP эндпойнтов через API. Ниже приведены два примера curl для отправки событий Cloudflare Firewall и Cloudflare HTTP в QRadar.

Cloudflare Firewall events

Необходимые разрешения API-токена

Хотя бы одно из следующих права доступа токена требуется:

Logs Write

Создать задание Logpush

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<NAME>",
		"output_options": {
				"field_names": [
						"Action",
						"ClientIP",
						"ClientASN",
						"ClientASNDescription",
						"ClientCountry",
						"ClientIPClass",
						"ClientRefererHost",
						"ClientRefererPath",
						"ClientRefererQuery",
						"ClientRefererScheme",
						"ClientRequestHost",
						"ClientRequestMethod",
						"ClientRequestPath",
						"ClientRequestProtocol",
						"ClientRequestQuery",
						"ClientRequestScheme",
						"ClientRequestUserAgent",
						"EdgeColoCode",
						"EdgeResponseStatus",
						"Kind",
						"MatchIndex",
						"Metadata",
						"OriginResponseStatus",
						"OriginatorRayID",
						"RayID",
						"RuleID",
						"Source",
						"Datetime"
				],
				"timestamp_format": "rfc3339"
		},
		"destination_conf": "<QRADAR_URL>:<LOG_SOURCE_PORT>",
		"max_upload_bytes": 5000000,
		"max_upload_records": 1000,
		"dataset": "firewall_events",
		"enabled": true
	}'

Cloudflare HTTP events

Необходимые разрешения API-токена

Хотя бы одно из следующих права доступа токена требуется:

Logs Write

Создать задание Logpush

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<NAME>",
		"output_options": {
				"field_names": [
						"ClientRequestMethod",
						"EdgeResponseStatus",
						"ClientIP",
						"ClientSrcPort",
						"CacheCacheStatus",
						"ClientCountry",
						"ClientDeviceType",
						"ClientIPClass",
						"ClientMTLSAuthCertFingerprint",
						"ClientMTLSAuthStatus",
						"ClientRegionCode",
						"ClientRequestBytes",
						"ClientRequestHost",
						"ClientRequestPath",
						"ClientRequestProtocol",
						"ClientRequestReferer",
						"ClientRequestScheme",
						"ClientRequestSource",
						"ClientRequestURI",
						"ClientRequestUserAgent",
						"ClientSSLCipher",
						"ClientSSLProtocol",
						"ClientXRequestedWith",
						"EdgeEndTimestamp",
						"EdgeRequestHost",
						"EdgeResponseBodyBytes",
						"EdgeResponseBytes",
						"EdgeServerIP",
						"EdgeStartTimestamp",
						"SecurityActions",
						"SecurityRuleIDs",
						"SecuritySources",
						"OriginIP",
						"OriginResponseStatus",
						"OriginSSLProtocol",
						"ParentRayID",
						"RayID",
						"SecurityAction",
						"WAFAttackScore",
						"SecurityRuleID",
						"SecurityRuleDescription",
						"WAFSQLiAttackScore",
						"WAFXSSAttackScore",
						"EdgeStartTimestamp"
				],
				"timestamp_format": "rfc3339"
		},
		"destination_conf": "<QRADAR_URL>:<LOG_SOURCE_PORT>",
		"max_upload_bytes": 5000000,
		"max_upload_records": 1000,
		"dataset": "http_requests",
		"enabled": true
	}'

Cloudflare проверяет доступность IP-адреса и порта источника журналов HTTP Receive, а также валидность его сертификата. Если все параметры корректны, создаётся Logpush, который начинает отправлять события в источник журналов HTTP Receiver.

Amazon AWS S3 Rest API

Если вы используете протокол Amazon S3 REST API, IBM QRadar собирает события Cloudflare Log из бакета Amazon S3. Чтобы использовать этот вариант, необходимо:

Создайте Amazon S3 bucket ↗ для хранения ваших логов Cloudflare. Запишите имя бакета, а также AWS access key ID и secret access key с достаточными правами для записи в бакет.
Включение задания Logpush для Amazon S3.
В консоли AWS Management Console перейдите к службе Amazon S3. Создайте конечную точку бакета, чтобы Cloudflare мог отправлять журналы напрямую в бакет S3.
Выполните действия, описанные в Интеграция Cloudflare Logs с QRadar через протокол Amazon AWS S3 REST API ↗.
Проверьте конфигурацию, сгенерировав несколько журналов в Cloudflare, и убедитесь, что они доставляются в bucket S3, а затем пересылаются в QRadar.