Envie eventos do WAF para um SIEM

Crie um stream que envia ao seu SIEM as requisições que o WAF analisou, no Azion Console ou com a Azion API, e confirme a entrega.

Última atualização

Ver como Markdown Configurar agente

Você pode enviar os eventos do Web Application Firewall (WAF) para uma plataforma de security information and event management (SIEM) pelo Azion Console ou com a Azion API. Para enviar as requisições das suas aplicações sem dados do WAF, consulte Endpoints e o guia do seu endpoint.

Um stream do Data Stream lê a fonte de dados WAF Events e formata cada evento com o template WAF Event Collector. Cada linha de log traz a pontuação que a requisição recebeu, as regras do WAF que ela acionou, a família do ataque e a ação que o WAF tomou. Para cada variável, consulte WAF Events.

O exemplo envia os eventos para um tópico do Apache Kafka que o seu SIEM lê. No formulário do stream, o endpoint é definido no campo Connector.

Selecione a interface uma vez. Os pré-requisitos e todas as tarefas abaixo mostram apenas esse caminho.

Pré-requisitos

  • Uma conta Azion com a permissão Edit Data Stream. Para as permissões, consulte Configurações do stream.
  • Firewall com WAF na conta, protegendo um workload que recebe requisições. Para configurar o WAF, consulte Primeiros passos com WAF.
  • Um endpoint que o seu SIEM lê. Este guia usa um cluster do Apache Kafka, com o host e a porta dos servidores para a conexão inicial e o nome de um tópico. Para os outros endpoints para os quais um stream pode enviar, consulte Endpoints.

Crie o stream

O stream coleta os eventos do WAF do workload que você escolher, por meio de um filtro de workloads. Diferente do sampling, um filtro de workloads mantém os seus outros streams ativos.

Para criar o stream com a API, envie uma requisição POST para https://api.azion.com/v4/workspace/stream/streams. Substitua [TOKEN VALUE] pelo seu personal token, <workload-id> pelo ID do seu workload e os valores do cluster pelos seus:

Shell
01curl -X POST 'https://api.azion.com/v4/workspace/stream/streams' \
02 -H 'Content-Type: application/json' \
03 -H 'Authorization: Token [TOKEN VALUE]' \
04 -d {
05 "name": "waf-to-siem",
06 "active": true,
07 "inputs": [
08 { "type": "raw_logs", "attributes": { "data_source": "waf" } }
09 ],
10 "transform": [
11 { "type": "filter_workloads", "attributes": { "workloads": [<workload-id>] } },
12 { "type": "render_template", "attributes": { "template": 4 } }
13 ],
14 "outputs": [
15 {
16 "type": "kafka",
17 "attributes": {
18 "bootstrap_servers": "kafka1.example.com:9092,kafka2.example.com:9092",
19 "kafka_topic": "azion.waf",
20 "use_tls": true
21 }
22 }
23 ]
24 }

A fonte de dados waf é WAF Events no Console, e o template 4 é o WAF Event Collector. A API exige kafka_topic e use_tls: envie true para criptografar os eventos com TLS, ou false para enviá-los sem criptografia. Uma resposta 201 traz o stream armazenado em data. Guarde o id dele: ele identifica o stream em todas as requisições seguintes, como /v4/workspace/stream/streams/<stream-id>. Para cada chave do corpo, consulte Configurações do stream.

Para criar o stream no Azion Console:

Abra o Data Stream

Acesse Azion Console > Data Stream.

Selecione + Stream
Dê um nome ao stream

Na seção General, insira um Name. Por exemplo: waf-to-siem.

Selecione a fonte de dados WAF Events

Na seção Input, selecione WAF Events em Data Source.

Desligue o Sampling

Na seção Transform, desligue Sampling enquanto Option ainda está em All Current and Future Workloads, o valor inicial. Um stream não pode ter sampling e um filtro de workloads ao mesmo tempo.

Escolha o workload

Na seção Transform, defina Option como Filter Workloads. Em Available Workload, selecione o workload que o WAF protege e mova-o para Chosen Workload com a seta.

Selecione o template

Na seção Render Template, selecione WAF Event Collector em Template. O campo Data Set mostra as chaves de cada linha de log.

Selecione o endpoint

Na seção Output, selecione Apache Kafka em Connector. Para outro SIEM, selecione a opção dele, como Splunk, IBM QRadar ou Elasticsearch, e insira os campos que Endpoints lista para ele.

Insira os bootstrap servers

Em Bootstrap Servers, insira cada servidor como host:port, separados por vírgula e sem espaço. Por exemplo: kafka1.example.com:9092,kafka2.example.com:9092.

Insira o tópico

Em Kafka Topic, insira o nome do tópico que o seu SIEM lê. Por exemplo: azion.waf.

(Opcional) Ligue o TLS

Ligue Enable Transport Layer Security (TLS) para enviar os eventos criptografados. Os servidores de destino precisam de um certificado de uma autoridade certificadora confiável.

Mantenha o stream ativo

Na seção Status, mantenha Active ligado.

Selecione Save

O Console mostra Your data stream has been created. O stream aparece na lista do Data Stream com waf na coluna Source e o status Active.

Salvar o stream verifica o formato de cada campo e não contata o cluster. Um endereço de servidor ou um tópico errado só aparece quando o stream envia. Uma ativação entra em vigor depois de um a dois minutos.

Confirme a entrega

Real-Time Events registra cada envio de um stream, entregue ou não, com o código de status que o endpoint retornou. Envie algumas requisições ao workload que o WAF analisa e aguarde cerca de um minuto. Um stream envia um lote a cada 60 segundos, ou antes, quando chega a 2.000 linhas de log.

Para ler os envios com a API, faça uma query no dataset dataStreamedEvents da API GraphQL do Real-Time Events. Substitua as datas por um intervalo que cubra a ativação do stream:

Shell
01curl -X POST 'https://api.azion.com/v4/events/graphql' \
02 -H 'Content-Type: application/json' \
03 -H 'Authorization: Token [TOKEN VALUE]' \
04 -d '{"query":"query { dataStreamedEvents(limit: 20, filter: {tsRange: {begin: \"2026-01-01T11:30:00\", end: \"2026-01-01T13:00:00\"}}, orderBy: [ts_DESC]) { ts endpointType statusCode streamedLines dataStreamed } }"}'

A API responde 200 com um registro para cada envio, o mais recente primeiro. Para um stream que envia para o S3, um registro fica como abaixo. Os seus registros trazem o tipo do seu endpoint em endpointType:

JSON
01{
02 "data": {
03 "dataStreamedEvents": [
04 {
05 "ts": "2026-01-01T12:00:00Z",
06 "endpointType": "S3",
07 "statusCode": 200,
08 "streamedLines": 2,
09 "dataStreamed": 2797
10 }
11 ]
12 }
13}

Um statusCode 200 significa que o endpoint aceitou o lote, cujo tamanho streamedLines informa em linhas de log e dataStreamed em bytes. Uma lista dataStreamedEvents vazia significa que o stream não enviou nada no intervalo. Para cada campo, consulte Campos da API GraphQL do Real-Time Events.

Para encontrar os envios no Azion Console:

Abra o Real-Time Events

Acesse Azion Console > Real-Time Events.

Selecione a fonte de dados Data Stream
Leia os envios mais recentes

Cada linha é um envio. Encontre as linhas cujo Endpoint Type corresponde ao seu endpoint e leia o Status Code delas.

Um Status Code 200 significa que o endpoint aceitou o lote. Streamed Lines dá o número de linhas de log do lote.

Um status diferente de 200 é a resposta do endpoint, e 503 significa que Data Stream encontrou o endpoint indisponível. Para as causas, consulte Solucionar problemas de Data Stream.

No SIEM, cada linha de log traz as chaves do template WAF Event Collector. Leia estas chaves para verificar que os eventos são os que o WAF analisou:

  • waf_attack_action traz a ação que o WAF tomou, como $BLOCK ou $PASS.
  • waf_attack_family traz a classe da infração, como SQL ou XSS.
  • waf_score e waf_match trazem a pontuação da requisição e as infrações que ela acionou.
  • blocked vale 1 quando o WAF bloqueou a requisição. Enquanto waf_learning vale 1, o WAF não bloqueia nenhuma requisição.

Para correlacionar esses eventos com os dados de requisição das suas aplicações em uma única linha de log, use a fonte de dados Applications com o template Applications + WAF Event Collector. Para o trade-off, consulte Boas práticas para Data Stream.

Próximos passos

Fontes de dados e variáveisLeia o que cada variável da fonte de dados WAF Events traz, com um valor de exemplo.EndpointsEncontre os campos do endpoint que o seu SIEM lê, com os limites e os nomes na API.Envie logs para o Apache KafkaDefina os bootstrap servers, o tópico e o TLS de um endpoint Apache Kafka.Solucionar problemas de Data StreamDescubra o que mudar quando um envio retorna um status diferente de 200.Bloquear atacantes automaticamente a partir de detecções do SIEMUm design em que as detecções do SIEM sobre estes eventos voltam como bloqueios em uma network list.