Web Application Firewall:Configure CloudMonitor notifications

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

• Un sitio web agregado a WAF. Para obtener más información, consulte Tutorial

Crear un contacto y un grupo de contactos

Los contactos de alerta son las personas que reciben las notificaciones. Organícelos en grupos de contactos y asigne un grupo al crear cualquier regla de alerta.

1. Inicie sesión en la consola de CloudMonitor.

2. En el panel de navegación izquierdo, elija Alerts > Alert Contacts.

3. Cree un contacto.

   1. En la pestaña Alert Contacts, haga clic en Create Alert Contact.

   2. En el panel Set Alert Contact, introduzca el nombre, la dirección de correo electrónico y la URL del webhook del contacto. Mantenga Language of Alert Notifications con el valor predeterminado Automatic.

      Nota

      Automatic significa que CloudMonitor selecciona el idioma de la notificación según el idioma utilizado para crear su cuenta de Alibaba Cloud.

   3. Haga clic en Confirm.

4. Cree un grupo de contactos.

   1. En la pestaña Alert Contact Group, haga clic en Create Alert Contact Group.

   2. En el panel Create Alert Contact Group, introduzca un nombre de grupo, seleccione los contactos que desea incluir y haga clic en Confirm.

5. (Opcional) Agregue contactos a un grupo de forma masiva.

   1. En la pestaña Alert Contacts, seleccione los contactos que desea agregar y haga clic en Add to Contact Group.

   2. En el cuadro de diálogo Confirm, seleccione el grupo de destino y haga clic en OK.

Configurar el monitoreo y las alertas para eventos de ataque

Configure reglas de alerta basadas en eventos para recibir notificaciones cuando WAF detecte eventos de ataque específicos. Al recibir una alerta, vaya a la pestaña Event Monitoring en la consola de CloudMonitor para consultar los eventos recientes e identificar el ataque.

1. Inicie sesión en la consola de CloudMonitor.

2. En el panel de navegación izquierdo, elija Event Center > System Events.

3. En la pestaña Event Monitoring, haga clic en Old Event Alarm Rules en la esquina superior derecha y luego haga clic en Create Alert Rule.

4. En el panel Create/Modify Event-triggered Alert Rule, configure los parámetros y haga clic en OK.

   Parameter	Description
   Alert Rule Name	El nombre de la regla de alerta basada en eventos.
   Product	El servicio en la nube. Seleccione WAF.
   Event Type	La categoría de evento que se va a monitorear. Valores válidos: Attack, Exceed y Event.
   Event Level	El nivel de gravedad que activa las alertas. Todos los eventos de WAF se clasifican como CRITICAL.
   Event name	El evento específico que se va a monitorear. Los nombres de evento que contienen v3 corresponden a WAF 3.0. El resto corresponde a WAF 2.0. Para ver la lista completa de eventos de WAF 2.0, consulte Eventos de ataque que CloudMonitor puede monitorear.
   Keyword Filtering	Filtra los eventos por palabra clave antes de enviar las alertas. Contains any of the keywords: suprime las alertas cuando el evento coincide con alguna palabra clave. Does not contain any of the keywords: suprime las alertas cuando el evento no coincide con ninguna palabra clave.
   SQL Filter	Instrucciones SQL utilizadas para aplicar filtros adicionales.
   Resource Scope	Los recursos que abarca esta regla. Valores válidos: All Resources y Application Groups.
   Contact Group	Los grupos de contactos que reciben las notificaciones de alerta.
   Notification method	El nivel de gravedad y los canales de entrega de las notificaciones. Valores válidos: Critical (Phone Call + SMS Message + Email + Webhook), Warning (SMS Message + Email + Webhook), Info (Email + Webhook).
   Simple Message Queue (formerly MNS)（SMQ） - Queue	La cola de Simple Message Queue (SMQ, anteriormente MNS) que recibe las entregas de alertas.
   Function Compute	La función de Function Compute que recibe las entregas de alertas.
   URL Callback	Una URL HTTP de acceso público. CloudMonitor envía solicitudes HTTP POST para insertar notificaciones de alerta en esta URL. Solo se admite HTTP. Para conocer los pasos de configuración, consulte Configure callbacks for system event-triggered alerts (old).
   Simple Log Service	El logstore de SLS que recibe las entregas de alertas.
   Mute Period	El tiempo que CloudMonitor espera antes de reenviar una alerta que no se ha resuelto. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours y 24 Hours.

Una vez guardada la regla, los contactos de los grupos especificados reciben notificaciones cada vez que WAF detecta los eventos de ataque configurados.

Para consultar los eventos de ataque recientes, vaya a la pestaña Event Monitoring, seleccione WAF en la lista desplegable All Products, elija un nombre de evento que no contenga v3 en la lista desplegable Select Event Name y haga clic en Search.

Configurar el monitoreo y las alertas para las métricas del servicio

Configure reglas de alerta basadas en umbrales para recibir notificaciones cuando una métrica del servicio de WAF supere un valor definido. Al recibir una alerta, revise la página Alert Rules para identificar qué métrica activó la regla.

1. Inicie sesión en la consola de CloudMonitor.

2. En el panel de navegación izquierdo, elija Alerts > Alert Rules.

3. En la página Alert Rules, haga clic en Create Alert Rule.

4. En el panel Create Alert Rule, configure los parámetros y haga clic en OK.

   Parameter	Description
   Product	Seleccione WAF en la lista desplegable.
   Resource Scope	Los recursos que abarca esta regla. Valores válidos: All Resources (todos los recursos de WAF), Application Groups (todos los recursos de un grupo de aplicaciones específico) e Instances (recursos específicos de WAF).
   Rule Description	La condición de la alerta. Haga clic en Add Rule y, en el panel Add Rule Description, configure la regla de alerta, el tipo de métrica, la métrica, el umbral y el nivel de alerta. Para ver la lista de métricas del servicio disponibles, consulte Métricas del servicio que CloudMonitor puede monitorear.
   Mute Period	El tiempo que CloudMonitor espera antes de reenviar una alerta activa. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours y 24 Hours. Si la condición de alerta se vuelve a cumplir dentro del periodo de silencio, CloudMonitor suprime la notificación duplicada.
   Effective Period	La ventana de tiempo durante la cual CloudMonitor monitorea los recursos y genera alertas.
   Alert Contact Group	Los grupos de contactos que reciben las notificaciones de alerta.
   Alert Callback	Una URL HTTP de acceso público. CloudMonitor envía solicitudes HTTP POST para insertar notificaciones de alerta en esta URL. Solo se admite HTTP. Para conocer los pasos de configuración, consulte Use the alert callback feature to send notifications about threshold-triggered alerts. Haga clic en Advanced Settings para configurar este parámetro.
   Auto Scaling	Cuando está habilitada, activa la regla de escalado especificada al generarse una alerta. Configure Region, ESS Group y ESS Rule. Para obtener más detalles, consulte Manage scaling groups y Configure scaling rules. Haga clic en Advanced Settings para configurar este parámetro.
   Simple Log Service	Cuando está habilitada, escribe los datos de alerta en un logstore de SLS específico. Configure Region, ProjectName y Logstore. Para obtener más detalles, consulte Getting started. Haga clic en Advanced Settings para configurar este parámetro.
   Simple Message Queue (formerly MNS) - Topic	Cuando está habilitada, escribe los datos de alerta en un tema de MNS específico. Configure Region y topicName. Para obtener más detalles, consulte Create a topic. Haga clic en Advanced Settings para configurar este parámetro.
   NoDataPolicy	Define cómo manejar el estado de la alerta cuando no hay datos disponibles. Valores válidos: Do not do anything (predeterminado), Send alert notifications y Treated as normal. Haga clic en Advanced Settings para configurar este parámetro.
   Tag	Una etiqueta de nombre-valor asociada a la regla de alerta.

Una vez guardada la regla, búsquela en la página Alert Rules. Para ello, seleccione Web Application Firewall (WAF) en la lista desplegable Application grouping y elija una dimensión de métrica en la lista desplegable Monitoring indicators.

Configurar el monitoreo y las alertas para métricas personalizadas

Utilice Simple Log Service para configurar el monitoreo y las alertas de métricas personalizadas. Para obtener más información, consulte Overview.

Eventos de ataque que CloudMonitor puede monitorear

CloudMonitor puede monitorear ataques web, ataques de inundación HTTP, ataques de escaneo y eventos de control de acceso en los nombres de dominio agregados a WAF. Todos los eventos de WAF tienen un nivel de gravedad CRITICAL.

Métricas del servicio que CloudMonitor puede monitorear

CloudMonitor puede monitorear las métricas del servicio de WAF para los nombres de dominio agregados a WAF. Todas las métricas tienen la dimensión nombre de dominio.