Métricas de monitoreo comunes - Web Application Firewall - Centro de documentación de Alibaba Cloud

Log Service para WAF recopila métricas por solicitud que puede usar para configurar alertas y monitorear sus dominios protegidos. Esta referencia describe cada métrica, su umbral de alerta recomendado y los aspectos que debe investigar cuando se activa una alerta.

Las métricas se agrupan en tres categorías:

Tráfico y rendimiento
Métricas de acciones de seguridad
Códigos de error

Tráfico y rendimiento

Estas métricas miden el volumen de solicitudes y la latencia a lo largo del pipeline de WAF.

Métrica	Descripción	Umbral recomendado	Cuando se activa la alerta
`200`	El servidor procesó la solicitud y devolvió los datos solicitados.	Establezca el umbral en 90% antes de poner en producción sus cargas de trabajo. Ajústelo según el tráfico base observado.	Identifique qué otro código de estado aumentó. Una disminución en las respuestas 200 suele indicar un incremento en errores 4xx o 5xx.
`request_time_msec`	Latencia de extremo a extremo: tiempo transcurrido entre que el cliente envía la solicitud y recibe la respuesta final. Abarca tanto el tramo cliente-WAF como el tramo WAF-origen.	Establézcalo según el tiempo de respuesta base de su servicio. Use el valor P99 o el promedio, según la sensibilidad de su SLA.	Compruebe la conectividad de red en ambos tramos: cliente a WAF y WAF al servidor de origen. Verifique que el servidor de origen responda dentro del tiempo esperado.
`upstream_response_time`	Latencia hacia el origen: tiempo entre que WAF reenvía una solicitud al servidor de origen y recibe la respuesta. Esta métrica aísla únicamente el tramo WAF-origen.	Establézcalo según el tiempo de respuesta base de su servidor de origen. Use el valor P99 o el promedio.	Valores altos indican lentitud en la red hacia el origen o en el propio servidor de origen. Revise la carga del servidor de origen, el rendimiento de la base de datos y la calidad de la red hacia el origen.
`ssl_handshake_time`	Tiempo necesario para el handshake TLS/SSL entre el cliente y WAF durante las solicitudes HTTPS.	Establézcalo según la línea base observada para su pool de clientes.	Tiempos de handshake prolongados pueden indicar problemas del lado del cliente, retrasos en la validación de certificados o latencia de red en el tramo cliente-WAF.

Métricas de acciones de seguridad

Estas métricas rastrean las solicitudes interceptadas por las reglas de protección de WAF. Monitoreelas para detectar tráfico de ataque e identificar falsos positivos.

Métrica	Descripción	Umbral recomendado	Cuando se activa la alerta
`status:302 and block_action:tmd`	WAF devolvió una redirección 302 para activar un desafío CAPTCHA. La protección contra inundación HTTP está activa.	Establezca un valor entre 5% y 10% cuando sus cargas de trabajo entren en producción por primera vez. Ajústelo según el volumen de tráfico que WAF esté bloqueando.	Compruebe si el dominio está bajo ataques de inundación HTTP. De ser así, cree o ajuste las reglas personalizadas de protección contra inundación HTTP. Verifique también si hay un aumento repentino en códigos 5xx o 4xx, lo cual podría indicar problemas del lado del servidor que agravan la situación.
`status:200 and block_action:tmd`	WAF devolvió un código 200, pero se activó la protección contra inundación HTTP sin un desafío CAPTCHA.	Establezca un valor entre 5% y 10% cuando sus cargas de trabajo entren en producción por primera vez. Ajústelo según el volumen de tráfico que WAF esté bloqueando.	Determine si el dominio está bajo ataques de inundación HTTP y refine sus reglas de protección en consecuencia. Compruebe también si hay un aumento repentino en códigos 5xx o 4xx.
`status:200 and block_action:antifraud`	El control de riesgos de datos bloqueó la solicitud.	Pruebe la regla de alerta antes de aplicarla. No existe un umbral recomendado fijo.	Si esta alerta se activa con frecuencia, contacte al equipo de I+D de Alibaba Cloud para revisar y ajustar el umbral.
`status:405`	Las reglas de protección de aplicaciones web o las reglas de directiva ACL de HTTP bloquearon la solicitud.	Sin umbral fijo. Monitoree la tendencia de la tasa a lo largo del tiempo.	Use la función de análisis de registros para examinar la solicitud bloqueada y la regla coincidente. Determine si se trata de un falso positivo antes de ajustar cualquier regla.
`status:444`	Las reglas personalizadas de protección contra inundación HTTP bloquearon la solicitud.	Sin umbral fijo.	Determine si el dominio está bajo un ataque de inundación HTTP. Si las solicitudes bloqueadas son llamadas legítimas a API en lugar de tráfico de ataque, ajuste el umbral o permita las llamadas a API en servidores específicos.

Códigos de error

Estos códigos de estado indican problemas de disponibilidad o conectividad del servidor de origen. Úselos junto con upstream_response_time para distinguir problemas de la capa WAF de los problemas de la capa de origen.

Métrica	Descripción	Cuando se activa la alerta
`status:404`	El servidor no encuentra los recursos solicitados.	Consulte las direcciones IP de origen que activaron la alerta. Una sola dirección IP sugiere un ataque de path traversal. Varias direcciones IP sugieren que el servidor podría estar mal configurado o que faltan archivos.
`status:499`	El cliente se desconectó después de que el servidor de origen no devolviera datos dentro del tiempo máximo de espera del cliente.	Compruebe si hay respuestas lentas en el servidor de origen, incluidas consultas lentas a la base de datos. Verifique también si un ataque ha agotado los recursos del servidor de origen.
`status:500`	El servidor de origen devolvió un error 500 Internal Server Error.	Revise la carga de CPU y memoria del servidor de origen, así como el estado de la base de datos.
`status:502`	WAF recibió una respuesta no válida del servidor de origen (502 Bad Gateway). Esto ocurre cuando la red hacia el origen presenta degradación o cuando las directivas de control de acceso del servidor de origen bloquean la dirección IP de retorno al origen de WAF.	Compruebe la calidad de la red hacia el origen y las directivas de control de acceso del servidor de origen. Verifique que el servidor de origen no haya bloqueado la dirección IP de retorno al origen de WAF. Revise también la carga del servidor de origen y el estado de la base de datos.
`status:503`	El servicio no está available debido a sobrecarga o mantenimiento del servidor de origen.	Busque excepciones en el servidor de origen.
`status:504`	WAF no recibió una respuesta oportuna del servidor upstream (504 Gateway Timeout).	Posibles causas: el servidor de origen tiene sobrecarga y no puede responder a tiempo; el servidor de origen descartó la solicitud sin restablecer la conexión; o falló la comunicación a nivel de protocolo entre WAF y el servidor de origen.