Web Application Firewall:Configure Cloud Monitor notifications

Requisitos previos

Agregue sus servicios web a WAF en la página Onboarding. Para obtener más información, consulte Add a domain name.

Crear contactos de alerta y grupos de contactos de alerta

1. Inicie sesión en la consola de Cloud Monitor.

2. En el panel de navegación izquierdo, seleccione Alerts > Alert Contacts.

3. Cree un contacto de alerta.

   1. En la pestaña Alert Contacts, haga clic en Create Alert Contact.

   2. En el panel Set Alert Contact, configure los parámetros del contacto de alerta.

      Parámetro	Descripción
      Name	El nombre del contacto de alerta. Debe tener entre 2 y 40 caracteres, comenzar con una letra o un carácter chino, y puede contener caracteres chinos, letras, dígitos, puntos (.) y guiones bajos (_).
      Region for notification service	La región seleccionada almacena y procesa los datos del servicio de notificación, como el nombre y la dirección de correo electrónico.
      Mobile	Las alertas por SMS solo son compatibles con números de celular que tengan el código de país y región +86.
      Email	La dirección de correo electrónico del contacto de alerta.
      Description	Una descripción personalizada.
      DingTalk | Lark | WeCom | Slack Webhook (http|https)	Una URL de webhook personalizada. La URL debe comenzar con http:// o https://. Nota Para probar la URL del webhook, haga clic en Test. El panel Webhook Test muestra el código de estado y los resultados de la prueba para comprobar la conectividad. También puede establecer el Callback Template Type y el Language del webhook. Después, vuelva a hacer clic en Test para consultar los resultados.
      Language of alert notification	El valor predeterminado es Automatic. Esto significa que CloudMonitor establece automáticamente el idioma de la notificación según el idioma de registro de su cuenta de Alibaba Cloud.

   3. Después de comprobar la información, haga clic en Confirm.

4. Cree un grupo de contactos de alerta.

   1. En la pestaña Alert Contact Group, haga clic en Add Contact Group.

   2. En el panel Add Contact Group, introduzca un nombre para el grupo, seleccione los contactos de alerta que desea incluir y haga clic en Confirm.

5. Agregue varios contactos de alerta a un grupo de contactos de alerta.

   1. En la pestaña Alert Contacts, seleccione los contactos de alerta que desea agregar y haga clic en Add to Contact Group.

   2. En el cuadro de diálogo Add to Contact Group, seleccione el grupo de contactos de alerta de destino y haga clic en OK.

   Una vez creados los contactos y los grupos, los contactos del grupo especificado recibirán las notificaciones de alerta de WAF. Estos contactos se encargan de revisar y atender dichas alertas de manera oportuna.

Configurar el monitoreo de eventos de seguridad de WAF

1. En el panel de navegación izquierdo, seleccione Event Center > Event Subscription.

2. En la pestaña Subscription Policy, haga clic en Create Subscription Policy.

3. En la página Create Subscription Policy, configure a continuación los parámetros indicados.

   Sección	Parámetro	Descripción
   Basic Info	Name	El nombre de la política de suscripción.
   	Description	Una descripción de la política de suscripción.
   Alert Subscription	Subscription Type	Seleccione System Events y configure a continuación los parámetros indicados en la sección Subscription Scope. Product: Seleccione WAF. Event Type: Valores válidos: Attack, Exceed o Event. Event name: En la lista desplegable, los eventos sin el sufijo V3 son compatibles con WAF 2.0. Los eventos con el sufijo V3 son compatibles con WAF 3.0. Event Level: El nivel de evento para todos los eventos de WAF 3.0 es CRITICAL. Puede conservar los valores predeterminados para los demás parámetros. Para obtener más información, consulte Manage event subscriptions (Recommended).
   Combined Noise Reduction	Merge Content	Seleccione una dimensión de agregación en la sección Subscription Scope de Subscription Type.
   	Noise Reduction	Configure cómo reducir la frecuencia de las notificaciones de alerta: Activar bajo condición y luego suprimir: después de que una alerta se active un número determinado de veces (valor predeterminado: 5) dentro de un periodo establecido (valor predeterminado: 5 minutos), las notificaciones se silencian durante el siguiente periodo (valor predeterminado: 5 minutos). Activar directamente y luego suprimir: envía una notificación de inmediato cuando se activa una alerta. Después, silencia las notificaciones durante el siguiente periodo (valor predeterminado: 5 minutos). Activar directamente sin supresión (usa la configuración antitormenta predeterminada del sistema): envía una notificación inmediata por cada alerta activada, sujeta a la configuración antitormenta predeterminada del sistema. Nota La configuración antitormenta predeterminada es un máximo de 50 correos electrónicos cada 5 minutos.
   Notification	Upgrade strategy	Seleccione una configuración existente o haga clic en Create Notification Configuration para crear una nueva. Luego, seleccione el grupo de contactos de alerta que creó. Name: El nombre de la configuración de notificación. Notification Settings: Set Notification Group Directly: Seleccione directamente un grupo de notificaciones de alerta. Set the notification group by severity: Seleccione los grupos de notificaciones de alerta según el nivel de la alerta: Critical, Warning, Notification (Info) y Resolved.
   	Custom Notification Method	Personalice los métodos de notificación de alertas. Haga clic en Modify junto a un método de notificación para cambiar la Notification Template y el Alert Level.
   Push and Integration	Push Channel	El canal para enviar notificaciones de alerta. Para crear un canal de envío: Haga clic en Create new push. Seleccione un canal de envío existente o haga clic en Add Channel para crear uno nuevo. Para obtener información sobre cómo establecer los parámetros de los canales de envío, consulte Notification push channel parameters.

Consultar métricas de monitoreo

Cuando WAF 3.0 se conecta a CloudMonitor, este servicio proporciona 38 métricas de monitoreo básicas para WAF 3.0. Estas métricas incluyen QPS, los porcentajes de respuestas 4xx y 5xx, y la cantidad de ataques web bloqueados. CloudMonitor Basic admite dos intervalos de recopilación para estas métricas: 1 minuto (60 segundos) y 5 minutos (300 segundos). No existe un intervalo de recopilación de 15 minutos, y no es necesario habilitar Managed Service for Prometheus para usar el intervalo de 1 minuto.

Para consultar todas las métricas de monitoreo de WAF 3.0, inicie sesión en la consola de CloudMonitor. En el panel de navegación izquierdo, seleccione Cloud Product Monitoring > Security > Web Application Firewall 3.0.

Managed Service for Prometheus es un servicio de valor agregado que ofrece dimensiones de métricas y capacidades de agregación más completas. También admite un intervalo de recopilación de 1 minuto.

Configurar el monitoreo de métricas de WAF

1. Inicie sesión en la consola de Cloud Monitor.

2. En el panel de navegación izquierdo, seleccione Alerts > Alert Rules.

3. En la página Alert Rules, haga clic en Create Alert Rule.

4. En el panel Create Alert Rule, configure a continuación los parámetros indicados y haga clic en Confirm.

   Parámetro	Descripción
   Product	Seleccione WAF3.0.
   Resource Scope	Los recursos a los que se aplica la regla de alerta. Valores válidos: All Resources: La regla de alerta se aplica a todos los recursos de WAF 3.0. Application grouping: La regla de alerta se aplica a todos los recursos dentro de un grupo de aplicaciones específico de WAF 3.0. Instance: La regla de alerta se aplica a un recurso específico de WAF 3.0.
   Rule Description	La condición que activa una alerta. Para agregar una condición: Haga clic en Add Rule. En el panel Configure Rule Description, establezca parámetros como el nombre de la regla, el tipo de métrica, la métrica, el umbral y el nivel de alerta. Haga clic en OK. Nota Para obtener más información sobre las métricas de WAF 3.0 que puede monitorear, consulte Supported metrics.
   Mute Period	El periodo de silencio después de que se activa una alerta. Valores válidos: 1 minuto, 5 minutos, 15 minutos, 30 minutos, 60 minutos, 3 horas, 6 horas, 12 horas y 24 horas. Cuando una métrica supera su umbral, CloudMonitor envía una alerta. Durante el periodo de silencio posterior, no se envían más alertas para esa métrica. Si la métrica sigue superando el umbral después de que finaliza el periodo de silencio, CloudMonitor envía otra notificación.
   Effective Period	El periodo durante el cual la regla de alerta está activa. CloudMonitor solo evalúa la regla y envía alertas durante este tiempo.
   Alert Contact Group	Seleccione el grupo de contactos de alerta al que se enviarán las notificaciones. Para obtener más información, consulte Create alert contacts and alert contact groups.
   Alert Callback	Una URL de acceso público a la que CloudMonitor envía la información de alerta mediante solicitudes POST. Solo se admite el protocolo HTTP. Para obtener más información sobre cómo configurar una devolución de llamada de alerta, consulte Use alert callbacks for threshold-triggered alerts. Nota Haga clic en Advanced Settings para configurar este parámetro.
   Auto Scaling	Si habilita Auto Scaling, la regla de escalado correspondiente se activa cuando ocurre una alerta. Debe configurar la Region, el ESS Group y la ESS Rule para Auto Scaling. Para obtener más información sobre cómo crear un grupo de escalado, consulte Manage scaling groups. Para obtener más información sobre cómo crear una regla de escalado, consulte Manage scaling rules. Nota Haga clic en Advanced Settings para configurar este parámetro.
   Simple Log Service	Si habilita el interruptor de Simple Log Service, la información de alerta se escribe en un logstore de Log Service cuando se activa una alerta. Debe especificar la Region, el ProjectName y el Logstore para Log Service. Para obtener más información sobre cómo crear un proyecto y un logstore, consulte Collect and analyze ECS text logs by using LoongCollector. Nota Haga clic en Advanced Settings para configurar este parámetro.
   Simple Message Queue (formerly MNS) - Topic	Si habilita Simple Message Queue (formerly MNS) - Topic, la información de alerta se escribe en un tema de Simple Message Queue (MNS) cuando ocurre una alerta. Debe establecer la región y el tema para Simple Message Queue (MNS). Para obtener más información sobre cómo crear un tema, consulte Create a topic. Nota Haga clic en Advanced Settings para configurar este parámetro.
   NoDataPolicy	Especifica cómo manejar los casos en los que no se reportan datos de monitoreo. Valores válidos: Do not do anything (predeterminado) Send alert notifications Treat as normal Nota Haga clic en Advanced Settings para configurar este parámetro.
   Tag	La etiqueta de la regla de alerta, que consta de un par clave-valor.

   Una vez creada la regla, puede consultarla en la página Alert Rules. Para encontrar su regla, establezca Product en WAF3.0 en el filtro y, a continuación, seleccione la métrica en la pestaña resource dentro de Metric Name.

   Nota

   A continuación se describen las métricas de WAF que se pueden monitorear:

   • Las métricas de la pestaña domain corresponden a WAF 2.0.

   • Las métricas de la pestaña resource corresponden a WAF 3.0. Para obtener más información sobre las métricas de WAF 3.0, consulte Supported metrics.

   • Las métricas de la pestaña Instance corresponden a Hybrid Cloud WAF. Las métricas sin el sufijo V3 son para WAF 2.0, mientras que las que tienen el sufijo V3 son para WAF 3.0.

Eventos de seguridad compatibles

CloudMonitor admite el monitoreo y las alertas para a continuación los eventos de seguridad que ocurren en los objetos protegidos de WAF.

Métricas compatibles

CloudMonitor le permite configurar alertas para a continuación las métricas de WAF indicadas, con el fin de detectar anomalías. Puede personalizar las condiciones que activan estas alertas.

Referencias

API Security solo envía alertas de gravedad alta mediante CloudMonitor. Para enviar alertas de gravedad baja o media, consulte Best practices for pushing API Security alerts.