Todos los productos
Search

Este producto

    Web Application Firewall:Best practices for pushing API security alerts

    Centro de documentos

    Web Application Firewall:Best practices for pushing API security alerts

    Última actualización: Sep 04, 2026

    Puede configurar CloudMonitor para enviar alertas de eventos de seguridad de API de gravedad alta, con el fin de ayudarle a responder rápidamente a los riesgos en línea. Sin embargo, los eventos de seguridad de API se clasifican en tres niveles de gravedad: bajo, medio y alto. CloudMonitor por sí solo no puede enviar alertas para todos los niveles de gravedad. Este tema describe cómo usar Simple Log Service (SLS) para crear alertas de varios niveles.

    Descripción general de la solución

    Después de habilitar la función log delivery para seguridad de API, todos los eventos de seguridad de API se registran y almacenan en tiempo real. Puede usar consultas de SLS para crear reglas de alerta basadas en los datos de registros de alertas de seguridad de API y enviar notificaciones de alerta mediante los dos métodos que se muestran a continuación:

    Method 1: Usar la función de notificación nativa de Simple Log Service para enviar alertas directamente.

    Method 2: Combinar Simple Log Service con CloudMonitor y usar la función de suscripción de eventos de CloudMonitor para enviar alertas.

    Requisitos previos

    • SLS está activado.

    • Si planea usar CloudMonitor para notificaciones, asegúrese de que CloudMonitor esté activado.

    • Prepare un Logstore de destino para la entrega de registros de seguridad de API.

      Nota

      La función de suscripción de registros no admite el uso de logstores creados automáticamente por Simple Log Service ni de logstores que nombre waf-logstore, wafng-logstore o wafnew-logstore como destinos de suscripciones de registros.

    Paso 1: Habilite la entrega de registros y cree un índice

    Entregue la información de eventos de ataque de seguridad de API en un logstore de Simple Log Service. Esto permite usar las funciones de SLS para crear alertas para distintos niveles de eventos de ataque.

    1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región de la instancia de WAF (Chinese Mainland o Outside Chinese Mainland).

    2. En la barra de navegación izquierda, seleccione Protection Config > API Security.

    3. En la página API Security, haga clic en la subpestaña Log Subscription Configurations de la pestaña Policy Configurations.

    4. En la sección Attack Event Information, haga clic en Configure.

    5. En el panel de configuración de la suscripción, especifique la región, el proyecto y el nombre del logstore de destino para la entrega de registros.

    6. Asegúrese de que el estado de Attack Event Information esté establecido en Enabled.

    7. Para usar el campo event_level en consultas SQL para Query and Analysis cuando cree alertas en Simple Log Service, primero habilite un índice como se le indique. Para obtener más información, consulte Create an index.

    Importante

    • Se le cobran los recursos en la nube que cree en Simple Log Service, como proyectos e índices. Para obtener detalles de facturación, consulte Billing overview.

    • Puede generar cargos después de crear un proyecto o un logstore, incluso si no hay ninguna tarea de suscripción de registros habilitada. Para evitar cargos inesperados, elimine los logstores que ya no necesite. Para obtener más información, consulte Why am I charged even if I only create projects and Logstores?

    Paso 2: Cree una regla de alerta de SLS

    Cree reglas de alerta basadas en registros para monitorear y gestionar distintos niveles de eventos de seguridad de API.

    Cree una regla de alerta

    1. En el lado izquierdo de la consola, haga clic en el botón de alerta image. En la pestaña Alert Center, haga clic en Create Alert. La página Create Alert se abre a la derecha.

    2. Haga clic en Add junto a Query and Statistics para ir a la página Query and Statistics.

    3. En Query and Statistics, en la página Advanced, seleccione los Logstores de destino.

    4. Introduzca una consulta y seleccione un Query Time Range.

      Filtre datos por nivel de riesgo

      Puede usar las consultas que se muestran a continuación para filtrar registros y obtener registros cuyo nivel de riesgo sea alto, medio o bajo:

      /*Filter for high-risk data*/
select event_level,COUNT(*) AS CNT WHERE event_level='high'

/*Filter for medium-risk data*/
select event_level,COUNT(*) AS CNT WHERE event_level='medium'

/*Filter for low-risk data*/
select event_level,COUNT(*) AS CNT WHERE event_level='low'
      Este paso le permite usar consultas y análisis personalizados para filtrar resultados de diversos niveles de riesgo.

    5. Después de introducir una consulta y hacer clic en Confirm en la parte inferior, volverá a la página Create Alert, donde la consulta guardada se muestra en la sección Query and Statistics.

    6. Seleccione las condiciones de activación y la gravedad de la regla. Severity es obligatorio cuando configure notificaciones de CloudMonitor. Se recomienda seleccionar un nivel de gravedad basado en el event_level de la condición de filtro de alerta. Por ejemplo, si el event_level es high, seleccione un nivel de gravedad alto.

      El tutorial anterior cubre la función obligatoria para este ejemplo. Puede configurar parámetros como Check Frequency , Trigger Condition , Group Evaluation , Recovery Notification , Add Label y Add Annotation según las necesidades de su negocio. Para obtener más información, consulte How to create a log alert monitoring rule . Además, si usa CloudMonitor para enviar notificaciones, la gravedad de la condición de activación corresponde al nivel de evento de la directiva de suscripción.

    7. Seleccione un destino.

      Por ahora, no habilite ningún destino. Esto se configurará en Step 3.

    8. Haga clic en OK. Puede ver la nueva regla en la página Alert Rules. Esto completa la configuración de la regla de alerta en Simple Log Service.

    Paso 3: Configure las notificaciones de envío de alertas

    Método 1: envío de SLS

    Si elige este método, usará las funciones de alerta y notificación de SLS para enviar alertas de eventos de seguridad de API.

    Configure objetos de notificación

    Configure los destinatarios de sus notificaciones.

    1. En la página actual, haga clic en la pestaña Notification Objects.

    2. En la subpestaña Users, haga clic en Create para abrir la página Add User.

      El panel incluye campos como Identifier, Name y Mobile, así como interruptores para Receive Text Message, Receive Phone Call y Enable.

    3. En el panel Add User, introduzca la información del usuario y asegúrese de que los interruptores Enable, Receive Text Message y Receive Phone Call estén habilitados.

    4. Haga clic en OK, actualice la página y confirme que se agregó el nuevo usuario.

    Configure una plantilla de alerta

    Si desea que las notificaciones incluyan detalles como el ID de la instancia que activó la alerta, el nombre de la regla de alerta o la gravedad de la alerta, puede personalizar el contenido de la notificación en una plantilla de contenido.

    1. En la página Alert Center, seleccione Notification Policy > Alert Template. En la pestaña Alert Template, haga clic en Create.

    2. En la página emergente Content Template, puede personalizar Send Content. Este será el formato de contenido de las notificaciones de envío que reciba.

      Por ejemplo, en la pestaña SMS, puede introducir las variables de plantilla que se muestran a continuación en el campo Content: detail:{{ alert.aliuid }}, {{ alert.alert_name }}, {{ alert.severity }}, {{ alert.annotations.title }}, {{ alert.fire_time }}, {{ alert.alert_time }}.

      Nota

      Este ejemplo muestra solo algunas variables de plantilla como referencia. Para conocer más variables, consulte la lista completa de variables de plantilla de alerta.

    3. Después de hacer clic en Confirm, actualice la página y confirme que la plantilla de contenido se agregó correctamente.

    Seleccione un destino

    1. Busque la regla que acaba de crear y haga clic en Edit en la columna Actions.

    2. Desplácese hasta la parte inferior de la página. Para el destino, seleccione SLS Notification y active el interruptor Enable.

    3. Después de habilitar las notificaciones de SLS, debe seleccionar una Alert Policy. Normalmente, en el modo Minimalist, solo configure el canal de envío, seleccione destinatarios estáticos, agregue contactos de notificación de alertas y seleccione una plantilla de contenido adecuada. En este ejemplo, seleccione el modo Minimalist, los destinatarios y una plantilla de contenido para completar una configuración básica de directiva de alerta.

      Nota

      Simple Mode le permite enviar alertas mediante la edición de canales, destinatarios de alertas, plantillas de contenido y períodos de envío.

      Standard Mode permite enviar alertas mediante la selección de una directiva de acción definida por el sistema o la creación de una nueva directiva de acción personalizada.

      Advanced Mode envía alertas mediante la selección de una Action Policy y una Alert Policy.

      Importante

      Para conocer los canales de notificación compatibles con SLS, consulte Notification channels. Si selecciona SMS o llamadas de voz como canal, se aplican cargos adicionales. Para obtener detalles de facturación, consulte Pay-by-feature billable items.

    4. Haga clic en OK y guarde los cambios.

    Nota

    Si tiene requisitos de configuración más complejos para su escenario de negocio, consulte Destination - SLS notification.

    Habilite el envío de SLS

    1. Inicie sesión en la consola de Simple Log Service.

    2. En la sección Projects, haga clic en el proyecto de destino.

    3. En el lado izquierdo de la consola, haga clic en el icono de alerta image. En la pestaña Alert Center, haga clic en la subpestaña Alert Rules y confirme que el estado de la regla es Starting.

    Método 2: envío de CloudMonitor

    Si elige este método, combinará las alertas de SLS con las notificaciones de CloudMonitor para enviar alertas de seguridad de API.

    1. Establezca el destino de las alertas de SLS

    1. Busque la regla que acaba de crear y haga clic en Edit en la columna Actions.

    2. Desplácese hasta la parte inferior de la página. Debajo de Destination, seleccione CloudMonitor Event Center y active el interruptor. Haga clic en Confirm y guarde los cambios.

    2. Cree contactos y grupos de alerta

    CloudMonitor solo puede enviar notificaciones a grupos de contactos. Por lo tanto, debe agregar los destinatarios deseados a un grupo de contactos.

    2.1 Cree un contacto de alerta

    1. Inicie sesión en la consola de CloudMonitor.

    2. En la barra de navegación izquierda, seleccione Alerts > Alert Contacts.

    3. En la pestaña Alert Contacts, haga clic en Create Alert Contact.

    4. En el panel Set Alert Contact, introduzca el nombre del contacto de alerta, el número de celular, la dirección de correo electrónico y la URL de webhook, y deje los demás parámetros con los valores predeterminados.

    5. Después de hacer clic en Confirm, volverá al panel Alert Contacts, donde puede confirmar que el contacto de alerta se creó correctamente.

    2.2 Cree un grupo de contactos de alerta

    1. Haga clic en la pestaña Alert Contact Group.

    2. En la pestaña Alert Contact Group, haga clic en Add Contact Group.

    3. En el panel Add Contact Group, introduzca un nombre para el grupo de contactos de alerta y seleccione contactos de alerta existentes.

    4. Haga clic en OK.

    3. Cree una configuración de notificación

    Requisitos previos: ya creó un contacto de alerta y un grupo de contactos de alerta.

    1. Vuelva a la consola de CloudMonitor.

    2. En la barra de navegación izquierda, seleccione Event Center > Upgrade strategy.

    3. En la página Upgrade strategy, haga clic en el panel Create policy, introduzca el Name y seleccione el Contact Group.

    4. Haga clic en OK.

    4. Cree una suscripción de eventos

    1. Vuelva a la consola de CloudMonitor.

    2. En la barra de navegación izquierda, seleccione Event Center > Event Subscription.

    3. En la pestaña Subscription Policy, haga clic en Create Subscription Policy.

    4. En la página Create Subscription Policy, establezca los parámetros de la directiva de suscripción.

      Parámetro

      Descripción

      Basic information

      Introduzca un nombre para la directiva de suscripción.

      Alert Subscription

      Para Subscription Type, seleccione System Event.

      Para Product, seleccione Simple Log Service.

      Selección de varios valores de Event Type (Firing, Resolve)

      Nota

      • Firing indica que una alerta está en estado activado y corresponde a nombres de evento específicos.

        • Evento de alerta CRITICAL

        • Evento de alerta INFO

        • Evento de alerta WARN

      • Resolved indica que la alerta se resolvió y corresponde a un nombre de evento específico.

        • Evento de recuperación de alerta

      Event name: seleccione uno o varios de los valores que se muestran a continuación: AlertEvent:CRITICAL, AlertEvent:INFO, AlertEvent:RESOLVED o AlertEvent:WARN.

      Para Event Level, seleccione Critical.

      Nota

      Dado que la condición de activación en Step 2 se estableció en High, el Event Level correspondiente es Critical. Si establece una gravedad de trigger condition diferente, también debe seleccionar el nivel de evento correspondiente según la asignación que se muestra a continuación:

      • Una condición de activación con gravedad Critical o High se asigna a un Event Level de Critical.

      • Una condición de activación con gravedad Low o Medium se asigna a un Event Level de Warning.

      • Una condición de activación con gravedad Report se asigna a un Event Level de Info.

      Para Event Content, introduzca el nombre de la regla de alerta que creó en Step 2: Create an SLS alert rule.

      Ni Application grouping ni Event Resources se establecen.

      Combined Noise Reduction

      Use el valor predeterminado.

      Notification

      Seleccione la configuración de notificación de destino y, para Custom Notification Method, use el método de notificación predeterminado.

      Importante

      CloudMonitor proporciona un free quota que incluye alertas por SMS. Si requiere notificaciones por llamada de voz, vaya a la consola de CloudMonitor y active el servicio pay-as-you-go en el módulo Basic CloudMonitor. Para obtener detalles de facturación, consulte Pay-as-you-go for Basic CloudMonitor.

      Push and Integration

      No hay configuración obligatoria.

      Para la configuración de Alert Subscription, consulte las descripciones de parámetros anteriores.

      Nota

      Los pasos proporcionados son un ejemplo de una forma de implementar notificaciones de envío. Puede ajustar la configuración según los requisitos de su negocio. Para obtener más información, consulte Create a subscription policy.

    5. En la parte inferior de la página Create Subscription Policy, haga clic en el botón Submit. Se le redirigirá automáticamente a la página Event Subscription. La directiva que acaba de enviar se crea correctamente y su estado es Starting.

    Comprobación

    Después de completar los pasos anteriores, habrá terminado de configurar las notificaciones de envío de alertas. Puede comprobar las alertas revisando las notificaciones que recibe el destinatario.

    Consulte las notificaciones de envío de CloudMonitor

    1. Abra la consola de CloudMonitor. En la barra de navegación izquierda, seleccione Event Center > Notification History. Compruebe la información de la notificación enviada.

      Puede ver los registros de notificaciones de alerta activadas, como una alerta de system event de Simple Log Service con gravedad Critical.

    2. Compruebe que se recibió la notificación.

      SMS

      image

      Correo electrónico

      image

      Llamada de voz

      El registro de llamadas del iPhone muestra una llamada entrante de Xiamen, Fujian, con el número (0592) 339 6177.

    Consulte las notificaciones de envío de SLS

    1. En la subpestaña Alert Monitoring Rule, haga clic en una regla para ir a la página Alert Overview y consulte Alert History en los informes estadísticos.

    2. Compare la consola con el extremo receptor. El formato del mensaje recibido debe coincidir con la plantilla de contenido, y el contenido del mensaje debe coincidir con el contenido de Alert History.

    Alert History muestra registros de alertas activadas, incluida información como Alert ID, Alert Name (por ejemplo, Alert WAF), Execution Time, Trigger Condition y Execution Result (por ejemplo, Success). La columna Triggered? muestra true, lo que indica que la alerta se activó correctamente.

    image