架構概述：The Illuminate 處理管線

AWS WAF 內容包專為 AWS WAF v2（新版 Web ACL）架構設計，並採用 Amazon Kinesis Data Firehose 進行實時傳輸。一旦啟用，該套件即會執行自動化的提取、富集（Enrichment）與標準化迴圈：

資料攝取組態配置

將您的 AWS 環境與 Graylog 整合，需要一個作用中的 Enterprise 或 Security 授權，並搭配 Illuminate 處理框架。請遵循以下部署順序來建立資料路由：

步驟 1：啟用 Web ACL 日誌記錄

導覽至目標 AWS Web ACL 配置面板。啟用日誌記錄，並指定一個 Amazon Kinesis Data Firehose 傳輸串流 作為您的日誌交付目的地。

步驟 2：將記錄串流至 Graylog

使用原生的 AWS Kinesis/CloudWatch 輸入（Input），配置 Kinesis Data Firehose 串流將記錄轉發至 Graylog 實例。Graylog 的輸入引擎會利用 aws_kinesis_stream 與 aws_kinesis_message_type 屬性自動為流量標記標籤，這意味著您無需配置特定的序列名稱比對規則。

步驟 3：核實 JSON 日誌結構

AWS WAF 會針對其評估的每項請求交付單個詳細的 JSON 物件。Graylog 處理引擎會自動標準化這些變體：

範例 A：觸發規則宣告無效並做出終止性 BLOCK 決策

{
  "timestamp": 1778140491525,
  "formatVersion": 1,
  "webaclId": "arn:aws:wafv2:us-east-1:517803882956:regional/webacl/prod-waf/3b8a9ef3-9057-4538-acdd-bda6c27c2131",
  "terminatingRuleId": "AWS-AWSManagedRulesCommonRuleSet",
  "terminatingRuleType": "MANAGED_RULE_GROUP",
  "action": "BLOCK",
  "httpSourceName": "ALB",
  "httpRequest": {
    "clientIp": "185.142.236.41",
    "country": "SC",
    "uri": "/.well-known/security.txt",
    "httpMethod": "GET",
    "scheme": "http",
    "host": "34.238.104.93"
  },
  "labels": [
    { "name": "awswaf:managed:aws:core-rule-set:NoUserAgent_Header" }
  ]
}

範例 B：標準預設動作之 ALLOW 決策

{
  "timestamp": 1778154180000,
  "formatVersion": 1,
  "webaclId": "arn:aws:wafv2:us-east-1:517803882956:regional/webacl/prod-waf/3b8a9ef3-9057-4538-acdd-bda6c27c2131",
  "terminatingRuleId": "Default_Action",
  "terminatingRuleType": "REGULAR",
  "action": "ALLOW",
  "httpSourceName": "ALB",
  "httpRequest": {
    "clientIp": "192.0.2.10",
    "country": "US",
    "uri": "/",
    "httpMethod": "GET",
    "scheme": "https",
    "host": "app.example.com"
  },
  "labels": []
}

步驟 4：初始化處理引擎

登入 Graylog 主控台，導覽至 Enterprise → Illuminate，找到 AWS WAF Processing Pack，然後點擊 Activate（啟用）。索引架構與解析邏輯隨即會在後端即時初始化。

Graylog 資訊模型 (GIM) 分類綱要

該內容包將 AWS WAF 的動作映射至標準化的 GIM 欄位中，將流量歸類至網路與偵測類別，以實現一致性的威脅獵捕：

建構 AWS WAF 可視性的戰略驅動因素

將 WAF 基礎設施指標集中於 Graylog，能為防禦團隊在四個關鍵資安領域中提供核心的技術證據：

1. 實時攻擊監控

• 在惡意網頁載荷——包括 SQL 注入（SQLi）與跨網站指令碼（XSS）模式——到達您的應用程式伺服器之前，揭露被 AWS 託管規則攔截的軌跡。
• 追蹤與單一用戶端 IP 設定檔關聯的高頻率 BLOCK 觸發器，以逮獲自動化網頁搜刮（Scraping）、目錄暴力破解及漏洞掃描。
• 監控 COUNT 規則，在將新起草的自訂規則切換至實際阻斷模式之前，先評估其在真實環境下的影響。
• 識別高機率的 CAPTCHA 或 CHALLENGE 失敗率，以追蹤企圖規避應用程式存取控制的殭屍網路（Botnets）。

2. 多層次威脅獵捕

• 允許分析師跨越整個應用程式設備艦隊，搜尋與活躍的 CVE 漏洞利用或已知網路間諜活動相關聯的特定終止規則 ID（Terminating Rule ID）。
• 在 ALLOW 與 BLOCK 事件之間交叉比對來源 IP 參數，以追蹤攻擊者如何企圖對映您的應用程式結構。
• 標記非預期的地理位置異常，這些異常正對正式環境的 Web ACL 端點發送大量的阻斷流量。

3. 事件應變與數位取證調查

• 為數位取證團隊提供不可篡改的請求歷史時間軸，以便在活躍事件期間迅速重構攻擊者的行動軌跡。
• 精確定位攔截到攻擊的特定規則或受管群組，並輕鬆識別規則漏失繞過企圖的任何防禦破口。
• 審查圍繞在 BLOCK 行為周遭的 ALLOW 流量，以確切釐清在此之前有哪些請求已成功到達後端源儲存庫。

4. 合規性與維運審計

• 維護面向公眾之 WAF 政策所做出的執行決策之不可篡改、長期的日誌記錄，以證實符合 PCI DSS、HIPAA 和 SOC 2 下嚴格的存取控制授權。
• 追蹤 Web ACL 與規則群組的組態配置調整，為變更管理團隊提供可驗證的合規證據。

平台效能：超空間跳躍

基礎設施不應成為瓶頸。憑藉全新的 「動態分片調整 (Dynamic Shard Sizing)」 以及完全革新的輸入源管理頁面，Graylog 7.1 能以現代企業所需的敏捷性處理數十億計的事件。