Web Application Firewall:Búsqueda de registros

Requisitos previos

• Habilitó Log Service para WAF. Para obtener más información, consulte Get started with Log Service for WAF.

• Habilitó la recopilación de registros para los dominios protegidos por WAF. Para obtener más información, consulte Use Log Service.

Consultar y analizar registros

1. Inicie sesión en la consola de Web Application Firewall (WAF). En la barra de menús superior, seleccione el resource group y la región de su instancia de WAF: Chinese Mainland o Outside Chinese Mainland.

2. En el panel de navegación izquierdo, elija Security Operations > Log Service.

3. En la lista desplegable de dominios, seleccione el dominio y active el interruptor Status.

   La lista desplegable de dominios (① en la figura) contiene únicamente los dominios protegidos por WAF. Si aún no ha agregado un dominio a WAF, agréguelo primero. Para obtener más información, consulte Tutorials.

4. En la pestaña Log Search, use instrucciones de búsqueda y análisis para consultar y analizar los datos de registro de WAF.

   1. En el cuadro de búsqueda (① en la figura), introduzca una instrucción de búsqueda.

      Las instrucciones de búsqueda usan la sintaxis específica de Log Service. Para obtener más información sobre esta sintaxis, consulte Search syntax and functions. Puede usar los campos de registro de WAF como campos de consulta en sus instrucciones de búsqueda. Para ver la lista de campos compatibles, consulte WAF log fields.

      Si no está familiarizado con la sintaxis de búsqueda, utilice Advanced Search. Expanda Advanced Search arriba del cuadro de búsqueda, establezca las condiciones de búsqueda y haga clic en Search. Se genera automáticamente una instrucción de búsqueda que coincide con sus condiciones. A continuación se describen las condiciones de búsqueda disponibles.

      Condición de búsqueda	Descripción
      IP	La dirección IP del cliente.
      Request ID	El identificador único que WAF genera para una solicitud de cliente. WAF proporciona este identificador cuando devuelve una página de bloqueo o un desafío CAPTCHA deslizante. Puede usarlo para solucionar problemas.
      Rule ID	El identificador de la regla de protección de WAF que activó la solicitud. Encuentre los identificadores de reglas en la página Security Report o en Systems > Protection Rule Group.
      Status Code Returned from Origin Server	El código de estado HTTP que devuelve el servidor de origen.
      Status Code Returned from WAF	El código de estado HTTP que WAF devuelve al cliente.
      Protection Features	El tipo de regla de protección de WAF con la que coincidió la solicitud. Para obtener más información sobre los módulos de protección de WAF y cómo configurar reglas para cada módulo, consulte Overview.

   2. Para realizar un análisis estadístico de los resultados de la consulta, agregue una instrucción de análisis después de la instrucción de búsqueda en el cuadro de búsqueda (① en la figura). Si solo desea consultar los registros que cumplen condiciones específicas, omita este paso.

      Separe la instrucción de análisis de la instrucción de búsqueda con una barra vertical (|). Las instrucciones de análisis usan la sintaxis estándar SQL-92. Para obtener más información sobre estas instrucciones, consulte Overview of log query and analysis.

   3. Use el selector de tiempo (② en la figura) para especificar un intervalo de tiempo en la consulta de registros.

   4. Haga clic en Search & Analyze (③ en la figura).

      Los resultados de la consulta y el análisis, es decir, los registros de WAF que coinciden con su consulta, se muestran en la parte inferior de la página. Estos resultados incluyen un histograma de distribución de registros, Raw Log y Graph. Con base en ellos, puede ejecutar análisis rápidos, generar gráficos y crear alertas. Para obtener más información, consulte Manage query and analysis results y Create an alert.

   Para ver más ejemplos de consultas y análisis de registros, consulte Query and analysis examples.

Gestionar los resultados de consulta y análisis

Crear una alerta

Cree una alerta con base en la instrucción de búsqueda y análisis actual. Después de crearla, Log Service evalúa periódicamente los resultados de la consulta. Si los resultados cumplen la condición de activación especificada, Log Service le envía una notificación. Esto le permite monitorear el estado de su servicio en tiempo real.

En la página de consulta y análisis, elija Save as Alert > New Alert para crear una alerta con base en los resultados de la consulta. Para obtener más información, consulte Configure alerts.

Ejemplos de consulta y análisis

• Analice la cantidad de solicitudes de ataque bloqueadas por los distintos módulos de protección de WAF en intervalos de 15 minutos. Los resultados muestran la hora (time) y la cantidad de solicitudes bloqueadas por los siguientes módulos: el motor de reglas de WAF (wafmodule), la lista de bloqueados de direcciones IP y las directivas personalizadas de Access Control List (ACL) (aclmodule), y la protección contra inundación HTTP (httpfloodmodule).

  * |
  SELECT
    time_series(__time__, '15m', '%H:%i', '0') as time,
    COUNT_if(final_plugin = 'waf') as "wafmodule",
    COUNT_if(final_plugin = 'acl') as "aclmodule",
    COUNT_if(final_plugin = 'cc') as "httpfloodmodule"
  GROUP by
    time
  ORDER by
    time

• Analice la distribución de los tipos de módulos de protección (final_plugin) que activaron la acción final. Los resultados muestran la cantidad de coincidencias (times), el dominio solicitado (host) y el módulo de protección final (final_plugin).

  * |
  SELECT
    count(*) as times,
    host,
    final_plugin
  GROUP by
    host,
    final_plugin
  ORDER by
    times desc

• Analice las consultas por segundo (QPS) en intervalos de 15 minutos. Los resultados muestran la hora (time) y las QPS.

  * |
  SELECT
    time_series(__time__, '15m', '%H:%i', '0') as time,
    count(*) / 900 as QPS
  GROUP by
    time
  ORDER by
    time

• Busque los dominios atacados con mayor frecuencia mediante ataques de inundación HTTP. Los resultados muestran la cantidad de solicitudes bloqueadas (times) y el dominio solicitado (host).

  *
  and acl_action :block |
  SELECT
    count(*) as times,
    host
  GROUP by
    host
  ORDER by
    times desc

• Analice los detalles de los registros de solicitudes del sitio web en intervalos de 1 segundo. Los resultados muestran la hora (time), el dominio solicitado (host), la ruta de la solicitud (request_path), el método de la solicitud (request_method), el código de estado de respuesta de WAF (status), el código de estado de respuesta del servidor de origen (upstream_status) y la cadena de consulta (querystring).

  * |
  SELECT
    date_format(date_trunc('second', __time__), '%H:%i:%s') as time,
    host,
    request_path,
    request_method,
    status,
    upstream_status,
    querystring
  LIMIT
    10

• Consulte los 10 registros de solicitudes de ataque más recientes de un sitio web (your_domain_name). Los resultados muestran la hora de la solicitud (time), la dirección IP real del cliente (real_client_ip) y el tipo de cliente (http_user_agent).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    time,
    real_client_ip,
    http_user_agent
  ORDER by
    time desc
  LIMIT
    10

• Analice la cantidad de días (days_passed, redondeada a un decimal) transcurridos desde que WAF bloqueó una solicitud de ataque hacia un sitio web (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    time,
    round((to_unixtime(now())-__time__) / 86400, 1) as "days_passed",
    real_client_ip,
    http_user_agent
  ORDER by
    time desc
  LIMIT
    10

• Analice la tendencia diaria de las solicitudes de ataque hacia un sitio web (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    date_trunc('day', __time__) as dt,
    count(1) as PV
  GROUP by
    dt
  ORDER by
    dt

  La función date_trunc se usa para agrupar marcas de tiempo por día. Para obtener más información sobre esta función, consulte Date and time functions.

• Analice la distribución de países de origen (country) de las solicitudes de ataque hacia un sitio web (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    ip_to_country(
      if(real_client_ip = '-', remote_addr, real_client_ip)
    ) as country,
    count(1) as "Number of attacks"
  GROUP by
    country

  En los registros de WAF, el campo real_client_ip representa la dirección IP real del cliente. Si no es posible obtener esta dirección por motivos como el acceso del usuario a través de un servidor proxy o un campo IP incorrecto en el encabezado de la solicitud (en cuyo caso el valor de real_client_ip es -), puede usar el campo remote_addr (que representa la dirección remota) como la dirección IP real del cliente.

• Analice la distribución de provincias de origen (province) de las solicitudes de ataque hacia un sitio web (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    ip_to_province(
      if(real_client_ip = '-', remote_addr, real_client_ip)
    ) as province,
    count(1) as "Number of attacks"
  GROUP by
    province

  La función ip_to_province recupera la información de provincia de una dirección IP real de cliente. Para obtener más información sobre esta función, consulte IP functions.