Web Application Firewall:What to do when WAF log storage is full

Contexto

Los registros de WAF documentan todas las solicitudes de acceso a las aplicaciones web y las respuestas correspondientes del firewall. Contienen información detallada sobre la detección, el filtrado y el bloqueo de ataques. Un almacenamiento de registros suficiente garantiza que todos los eventos de seguridad queden registrados por completo. Esto ayuda a los administradores a ejecutar análisis y auditorías detalladas. Si el almacenamiento de registros alcanza su capacidad máxima, pueden presentarse los siguientes problemas:

• Pérdida de registros

  Cuando el almacenamiento de registros se llena, WAF no puede guardar nuevos datos. Como resultado, se pierde información importante sobre los eventos de seguridad.

• Detección tardía de amenazas

  Si utiliza los registros de WAF en otros servicios de análisis de seguridad, la imposibilidad de guardar nuevos registros impide detectar y responder a tiempo ante posibles amenazas. Esto aumenta el riesgo de seguridad.

• Problemas de cumplimiento

  Si WAF no puede guardar nuevos registros porque alcanzó el límite de almacenamiento, es posible que enfrente problemas de cumplimiento normativo.

Cómo gestionar un almacenamiento de registros lleno

Cuando el almacenamiento de registros de WAF se llena, resuelva el problema con uno de los cuatro métodos siguientes:

• Aumentar la capacidad de almacenamiento de registros

  La solución más directa consiste en aumentar la capacidad de almacenamiento de registros. Al configurar más espacio, WAF cuenta con la capacidad necesaria para guardar todos los eventos de seguridad y los datos de tráfico de red. Para obtener instrucciones, consulte Upgrade log storage capacity.

• Usar configuraciones detalladas para reducir el uso de almacenamiento

  Configure políticas de registro detalladas según la importancia de cada servicio. Por ejemplo, para los servicios no críticos, elija registrar solo los eventos de ataque y los campos obligatorios, o bien algunos campos opcionales. Así reducirá el consumo de almacenamiento. Para obtener instrucciones, consulte Use fine-grained configurations to reduce storage usage.

• Reducir el periodo de retención de datos

  Optimizar el periodo de retención de registros es otro método eficaz. Acorte este periodo según sus necesidades de negocio para disminuir el uso de almacenamiento. Por ejemplo, cambiar el periodo de retención de 30 a 7 días ahorra una cantidad significativa de espacio y conserva los datos críticos recientes. Para obtener instrucciones, consulte Reduce the data retention period.

• Reducir los campos de registro indexados

  Desactive las actualizaciones automáticas de índices y elimine los índices de campos innecesarios para reducir de forma considerable el espacio que ocupan. Aunque los índices mejoran la velocidad de consulta y análisis de registros, también consumen mucho espacio de almacenamiento. Al optimizar la configuración de índices, reduce el uso de almacenamiento y mantiene un rendimiento de consulta eficiente. Para obtener instrucciones, consulte Reduce indexed log fields.

Aumentar la capacidad de almacenamiento de registros

1. Inicie sesión en la consola de Web Application Firewall 3.0 y en la barra de navegación izquierda, seleccione Detection and Response > Log Service. Haga clic en Upgrade Storage en la esquina superior derecha. En la página Log Service, haga clic en Upgrade Capacity.

2. Elija un plan de Log Storage Capacity mayor y complete la compra.

Reducir el almacenamiento mediante configuraciones detalladas

La configuración de campos de LogShipper le permite definir los campos y la clase de almacenamiento de registros para cada objeto protegido. Si configura campos específicos y una clase de almacenamiento de registros para un objeto protegido, esta configuración tiene prioridad sobre default field settings.

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación izquierda, elija Detection and Response > Log Service. En la esquina superior derecha, haga clic en Log Configuration > Delivery Settings.

2. En la pestaña Delivery Settings, busque el objeto protegido que desea configurar y haga clic en Field Settings dentro de la columna Field of Delivery to Simple Log Service. Configure los parámetros como se describe en la siguiente tabla.

   Parámetro	Descripción
   Required Fields	Los campos obligatorios siempre se incluyen en los registros de WAF. No es posible editarlos. Para obtener más detalles sobre estos campos, consulte Required log fields.
   Optional Fields	Los campos opcionales se seleccionan de forma manual para incluirlos en los registros de WAF. El servicio registra únicamente los campos opcionales que habilite. Para obtener más detalles sobre estos campos, consulte Optional log fields. Nota Habilitar más campos opcionales aumenta el uso del almacenamiento de registros. Si cuenta con capacidad de almacenamiento suficiente, se recomienda habilitar más campos opcionales para lograr un análisis de registros más completo.
   Log Type	La configuración del tipo de almacenamiento le permite seleccionar los tipos de almacenamiento de registros y las proporciones de muestreo. La proporción de muestreo determina el porcentaje de entradas de registro generadas que se recopilan para su almacenamiento y análisis. Después de elegir un tipo de almacenamiento, establezca la proporción de muestreo entre el 1 % y el 100 %. A continuación se describen los tres tipos de almacenamiento: Block Logs: registra las solicitudes bloqueadas por políticas de seguridad, como Block, JS Challenge, Slider Challenge o la verificación con token dinámico, que no llegan al servidor de origen. Detection Logs: registra únicamente las solicitudes que activan reglas de monitoreo. Normal Request Logs: registra únicamente las solicitudes normales. Las solicitudes que superan la verificación de JS, la verificación de control deslizante o la verificación con token dinámico también se registran aquí. Nota Para llevar a cabo auditorías y análisis completos, se recomienda seleccionar todos los tipos de almacenamiento de registros y así conservar los registros íntegros.

   Para los servicios no críticos, registre solo los eventos de ataque y los campos obligatorios, o bien una cantidad reducida de campos opcionales. De este modo, disminuye el uso de almacenamiento. Una vez configurados los campos de LogShipper, haga clic en OK. Aparecerá el mensaje The operation is successful..

Reducir el periodo de retención de datos

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación izquierda, elija Detection and Response > Log Service. En la esquina superior derecha, haga clic en Storage Duration. El sistema lo redirigirá a la consola de Simple Log Service.

2. En el panel Logstore Attributes, haga clic en Modify en la esquina superior derecha. Reduzca el valor de Data Retention Period y luego haga clic en Save.

   Importante

   • Al ajustar el periodo de retención de datos, asegúrese de cumplir con todas las leyes y los requisitos normativos aplicables. Así evitará problemas derivados de una retención de datos insuficiente.

   • Los registros se eliminan automáticamente cuando alcanzan el periodo de retención especificado.

Reducir los campos de registro indexados

1. Inicie sesión en la consola de Simple Log Service. En la lista Project, haga clic en el proyecto de destino cuyo nombre comience con wafng.

2. En la barra de navegación izquierda, haga clic en Log Storage. En la lista Logstores, haga clic en el logstore de destino.

   El sistema lo redirigirá a la página de consulta y análisis del logstore. En la parte superior de la página se muestra un campo de entrada de consulta y un selector de rango de tiempo. En la parte inferior aparecen los resultados de la consulta y un histograma de distribución temporal.

3. En la página de consulta y análisis del logstore, elija Index Attributes > Attributes.

4. Desactive las actualizaciones automáticas de índices. En los logstores especiales de productos en la nube o en los logstores internos, el interruptor Auto Update está habilitado de forma predeterminada y la sección Field Search es de solo lectura. En el panel Search & Analysis, desactive el interruptor Auto Update.

   Aviso

   Si configuró informes y alertas personalizados en Simple Log Service, eliminar índices del logstore dedicado de WAF podría afectar estas funciones. Proceda con precaución.

5. Después de desactivar el interruptor Auto Update, elimine los índices de campos innecesarios de la sección Field Search y haga clic en OK.