Cuando se habilita Cloud Firewall, el sistema registra automáticamente los registros de tráfico, los registros de eventos y los registros de operaciones de la consola. Estos registros se visualizan en la página Log Audit para ayudarle a rastrear el origen de los ataques y revisar el tráfico. Esta función es gratuita y admite consultas de registros de los últimos siete días, lo cual es suficiente para las necesidades inmediatas de monitoreo de seguridad y respuesta a incidentes.
De forma predeterminada, la función Log Audit almacena los registros durante 7 días. Para ampliar el periodo de retención, cumplir con los requisitos de auditoría o exportar los datos sin procesar, debe habilitar la función de análisis de registros. Para obtener más información, consulte Log Analysis Overview.
Tipos de registros
La función Log Audit admite los siguientes tipos de registros:
-
Flow Logs: incluye los elementos Traffic Logs y Event Logs que generan todos los firewalls de perímetro habilitados.
Traffic Logs: registra los detalles de todo el tráfico de red que pasa por Cloud Firewall. Incluye las direcciones IP de origen y destino, los puertos de origen y destino, los protocolos de transporte y el volumen de tráfico.
Event Logs: registra las posibles amenazas de seguridad o el tráfico anómalo que identifica Cloud Firewall. Estos registros se clasifican por módulo de protección, como IPS, Threat Intelligence y TLS Inspection. Cada registro proporciona información clave para rastrear y analizar eventos de seguridad, como la hora del ataque, el tipo de amenaza, las direcciones IP de origen y destino, el tipo de aplicación, la gravedad y la acción ejecutada.
-
Proxy Logs: si se configura un proxy firewall explícito, este registro contiene los elementos Outbound Access Log y Event Log correspondientes al tráfico que atraviesa el firewall.
Outbound Access Log: registra los detalles del tráfico de red que pasa por el proxy firewall. Incluye la instancia de proxy, el ID de solicitud, los ID de origen y destino, los puertos de origen y destino, el nombre de dominio, la URL y el código de estado.
Event Logs: registra los posibles eventos de amenazas de seguridad que pasan por el proxy firewall y activan las políticas de AI Security Guardrail y TLS Inspection.
Operation Logs: registra todas las acciones de los usuarios en la consola de Cloud Firewall, como cambios en la configuración de reglas, ajustes en la configuración del sistema y otras intervenciones administrativas. Con estos registros puede auditar el comportamiento de los usuarios y asegurar que los cambios del sistema sean rastreables.
Consultar los registros de auditoría
Inicie sesión en la consola de Cloud Firewall.
En el panel de navegación izquierdo, elija .
-
Vaya a la pestaña del tipo de registro que desea consultar.
Flow Logs
Establezca las condiciones de filtro y el intervalo de tiempo, y luego haga clic en Search para consultar los registros. A continuación se describen algunos de los campos principales.
Campo
Descripción
Rule Module/Rule Name/Rule ID
Muestra el nombre de la política de control de acceso o de la regla de protección contra ataques que coincidió con el tráfico. Un campo vacío indica que no hubo coincidencia con ninguna regla.
Application Protocol Detection Status
Estado de identificación de la aplicación del tráfico cuando coincide con una política de control de acceso. Valores válidos:
Identified
Blocked by Policy
TCP Connection Failed
Payload Not Received
Analyzing
Not Identified in Strict Mode
Not Identified in Loose Mode
Stateless: indica que el tráfico se procesó sin inspección profunda de paquetes (DPI).
Pre-match Access Control Policy Status y Pre-match Access Control Policy
Cloud Firewall compara el tráfico con las políticas de control de acceso según su prioridad. Si no logra identificar la aplicación o el nombre de dominio, el campo Pre-match Access Control Policy Status indica el estado no identificado y el campo Pre-match Access Control Policy muestra el nombre de la política.
Valores válidos para Pre-match Access Control Policy Status:
Application Unidentified: Cloud Firewall no puede identificar la aplicación del tráfico.
Domain Name Unidentified: Cloud Firewall no puede identificar el nombre de dominio del tráfico.
Normal: Cloud Firewall puede identificar tanto la aplicación como el nombre de dominio del tráfico.
Actions
Para los eventos bloqueados por parches virtuales y la protección básica de IPS, haga clic en Actions dentro de la columna Obtain Attack Sample para generar una muestra de ataque de los últimos 7 días y consultar los datos detallados. La muestra generada se conserva durante un mes.
Proxy Logs
Establezca las condiciones de filtro y el intervalo de tiempo, y luego haga clic en Search para consultar los registros. A continuación se describen algunos de los campos principales.
Campo
Descripción
Account UID/Proxy Instance
El ID de la instancia del proxy firewall explícito y el UID de la cuenta de Alibaba Cloud propietaria.
Region
La región de despliegue de la instancia del proxy firewall explícito.
Application Name
El tipo de aplicación que activa el registro, como Windows Update.
Security Detection Module
El tipo de política con la que hubo coincidencia, como Access Control, Threat Intelligence o AI Security Guardrail.
Actions
Haga clic en el botón Actions de la columna Details para consultar la información detallada de Request y Response.
Operation Logs
Establezca las condiciones de filtro y el intervalo de tiempo, y luego haga clic en Search para consultar los registros. A continuación se describen algunos de los campos principales.
Campo
Descripción
Risk Level
La gravedad que el sistema asigna al evento. Si confirma que el evento corresponde a una operación comercial normal, puede ignorar la alerta.
Operator
La cuenta de usuario que ejecutó la acción, ya sea una cuenta principal o un usuario de RAM.
Log Content
La acción específica que ejecutó el usuario.