AWS AthenaでWAFで検知したDoS攻撃の内容を調査する - Qiita

目的 AWS WAFで設定した、DoS攻撃検知用のルールが稼働していると思われるログがあったので、DoS攻撃の詳細内容を調査した時の方法をまとめておくものです。 前提となる環境 以下のサービスが有効になっている環境での調査方法となります。 ※ この環境ではWAF自体のロギングを有効としていないため、ALBのログを調査します。 AWS WAF AWS WAFにて、ACL(アクセスコントロールリスト)として5分辺りのリクエスト件数を低閾値としたrate limit baseのルール設定が可能です。該当の環境では2000件を設定しており、これを越した時をDoS攻撃とみなしています。 AWS ALB 有効にしたWAFはALBに割り当てます。 Athenaで検索するために、ALBのログをs3に保管しておく必要があります。 なお、対象となるs3のオブジェクトを特定することが出来れば、Athenaを利用