Web Application Firewall:Use Simple Log Service to configure monitoring and alerting for WAF

Requisitos previos

• Completó Web service provisioning en la página Onboarding.

• Simple Log Service está activado. Para obtener más información, consulte Enable or disable the log service.

  Una vez que active Simple Log Service, Simple Log Service (SLS) crea automáticamente un proyecto y un logstore para su instancia de WAF. Además, recopila los registros de los objetos protegidos que especifique y los almacena en dicho logstore. Después, puede configurar el monitoreo y las alertas personalizadas de WAF desde la consola de Simple Log Service.

Procedimiento

1. En la consola de WAF, habilite la recopilación de registros para un objeto protegido.

   1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) correspondientes a la instancia de WAF.

   2. En el panel de navegación izquierdo, elija Detection and Response > Log Service.

   3. En la parte superior de la página Log Service, seleccione el objeto protegido cuyos registros desea consultar y cambie el estado de Status para habilitar la recopilación de registros.

      La función entra en vigor unos minutos después de habilitarla.

2. En la consola de Simple Log Service, configure las alertas.

   1. Cree un panel de análisis de registros.

      1. Inicie sesión en la consola de Simple Log Service.

      2. En la sección Projects, ubique el proyecto de registros de WAF que desea gestionar y haga clic en su nombre.

      3. Introduzca una instrucción de consulta y haga clic en Search & Analyze. Para obtener más información, consulte Step 4.

         Nota

         Para conocer las instrucciones de consulta SQL que se usan en el monitoreo y análisis de métricas, consulte Query statements.

      4. Cuando finalice la consulta, vaya a la pestaña Graph y haga clic en Add to New Dashboard.

      5. En el cuadro de diálogo Add to New Dashboard, configure a continuación los parámetros indicados y haga clic en Confirm.

         Parámetro	Descripción
         Operation	Seleccione Create Dashboard.
         Layout Mode	Elija un modo de diseño para el panel.
         Dashboard Name	Introduzca un nombre para el panel.

         Una vez creado el panel, el sistema lo redirige hacia él. De forma predeterminada, incluye el gráfico generado a partir de la instrucción de consulta indicada en Step iii. Puede editar el gráfico existente o agregar más según sus necesidades.

   2. Configure los gráficos del panel.

      1. En el panel de navegación izquierdo de la consola de Simple Log Service, elija Dashboards y haga clic en el panel correspondiente.

      2. En la página del panel, haga clic en Edit en la esquina superior derecha.

      3. En el modo de edición, puede modificar o eliminar los gráficos existentes, así como agregar nuevos mediante la copia de los ya disponibles.

         Nota

         Puede copiar un gráfico existente y personalizar su configuración. Este método le permite agregar varios gráficos a un panel para diversificar la visualización de datos y las configuraciones de alerta.

         • Copiar un gráfico para crear uno nuevo

           1. Ubique el gráfico que desea copiar, pase el cursor sobre el ícono en la esquina superior derecha y haga clic en Copy.

              Aparecerá una copia del gráfico junto al original.

           2. Arrastre el gráfico copiado hasta la posición deseada dentro del panel.

         • Modificar un gráfico existente

           1. Localice el gráfico que desea modificar, pase el cursor sobre el ícono en la esquina superior derecha y haga clic en Edit.

           2. En la página Edit, modifique la configuración del gráfico, como el nombre, la instrucción de consulta SQL, el intervalo de tiempo relativo y el tipo de gráfico. Luego, haga clic en OK.

         • Eliminar un gráfico existente

           Localice el gráfico que desea eliminar, pase el cursor sobre el ícono en la esquina superior derecha y haga clic en Delete.

   3. Configure las alertas.

      1. En la página del panel, elija Alert > Create Alert Monitoring Rule.

      2. En el panel Create Alert, configure a continuación los parámetros indicados y haga clic en OK.

         La siguiente tabla describe los parámetros obligatorios e incluye ejemplos de configuración.

         Parámetro	Descripción	Ejemplo
         Rule Name	Introduzca un nombre para la regla de monitoreo de alertas.	WebsiteLogs_AlertRule
         Check Frequency	Establezca la frecuencia con la que Simple Log Service comprueba los resultados de consulta y análisis. Valores válidos: Fixed Interval: comprueba los resultados de consulta y análisis en un intervalo fijo. Cron: comprueba los resultados de consulta y análisis en un intervalo definido por una expresión cron. Una expresión cron admite una precisión de hasta un minuto y utiliza un formato de 24 horas. Por ejemplo, 0 0/1 * comprueba los resultados cada hora a partir de las 00:00.	Fixed Interval, 15 minutes
         Advanced Settings	Haga clic en el campo de entrada. En el cuadro de diálogo Advanced Settings, configure las instrucciones de consulta y análisis. Para conocer los límites de consulta y análisis, consulte Query and analysis. Notification Objects: seleccione un panel de monitoreo. Advanced Settings: en la pestaña Advanced Settings, puede seleccionar Logstore, Metricstore o Resource Data como tipo de dato que se va a monitorear. Logstores: almacena registros. Para conocer las configuraciones de consulta y análisis, consulte Query and analysis quick start. Metricstore: almacena datos de series temporales. Para conocer las configuraciones de consulta y análisis, consulte Query and analyze metric data. Resource Data: asocia datos externos con una regla específica de monitoreo de alertas. Para obtener más información, consulte Create resource data. Si configura varias estadísticas de consulta, puede especificar Check Frequency para correlacionar los resultados de múltiples consultas. Para obtener más información, consulte Query and analysis statements.	0: seleccione el gráfico request success ratio en el panel SLB Operation Logs. 1: seleccione el gráfico response time trend en el panel SLB Operation Logs. Establezca Set Operations en CROSS JOIN.
         Group Evaluation	Simple Log Service puede agrupar los resultados de consulta y análisis. Valores válidos: Custom Label: Simple Log Service agrupa los resultados según los campos que usted especifique. Cada grupo se evalúa de forma independiente frente a la condición de activación. Se genera una alerta por cada grupo que cumpla dicha condición durante un periodo de comprobación. Puede configurar varios campos. No Grouping: solo se genera una alerta por periodo de comprobación cuando se cumple la condición de activación.	No Grouping
         Trigger Condition	Establezca la condición de activación y la gravedad. Condición de activación Data is returned: activa una alerta cuando los resultados de consulta y análisis contienen algún dato. The query result contains: activa una alerta cuando los resultados de consulta y análisis contienen N entradas de datos. Data matches the expression: activa una alerta cuando los datos de los resultados de consulta y análisis coinciden con una expresión específica. The query result contains and matches: activa una alerta cuando N entradas de datos de los resultados de consulta y análisis coinciden con una expresión específica. Gravedad Se utiliza para reducir el ruido de las alertas y controlar las notificaciones. Al crear una política de alertas o una política de acciones, puede agregar condiciones basadas en la gravedad. Para obtener más información, consulte Set alert severity. Configuración simple: seleccione directamente una gravedad de alerta. Todas las alertas generadas por esta regla tendrán la misma gravedad. Configuración condicional: haga clic en Add para establecer distintas gravedades según diferentes condiciones. Para conocer la sintaxis de las expresiones condicionales en las reglas de alerta, consulte Syntax of trigger conditions in alert rules.	Data matches the expression $0.success_ratio <90&&$1.Average response time\(s\) >60 Severity: Medium Nota Si el nombre de un campo contiene paréntesis (), debe escaparlos con una barra invertida (\).
         Add Annotation	Simple Log Service le permite agregar atributos de clave-valor no identificativos a las alertas generadas. Estos se utilizan para reducir el ruido de las alertas y controlar las notificaciones. Al crear una política de alertas o una política de acciones, puede agregar condiciones basadas en anotaciones. Para obtener más información, consulte Add labels and annotations. También puede habilitar Add Annotation para agregar automáticamente campos como __count__ a las alertas. Para obtener más información, consulte Automatic annotations.	Title: Monitor website request success ratio and average response time Description: Request success ratio: ${success_ratio}, Average response time: ${Average response time(s)} Auto-Add Annotations: Enabled
         Threshold of Continuous Triggers	Establezca el umbral de activaciones consecutivas. Se genera una alerta cuando la cantidad acumulada de coincidencias con la condición de activación alcanza este valor. Las ocurrencias que no cumplen la condición de activación no se contabilizan.	1
         Destination	El destino al que se envían las alertas. Seleccione Simple Log Service Notification.	Simple Log Service Notification
         Alert Policy	Las políticas de alertas se utilizan para combinar, silenciar y suprimir las alertas generadas. Si selecciona Simple Mode o Standard Mode, no necesita configurar una política de alertas. Simple Log Service utiliza de forma predeterminada la política de alertas dinámica integrada sls.builtin.dynamic. Si selecciona Advanced Mode, puede elegir una política de alertas integrada o personalizada. Para obtener más información sobre cómo crear una política de alertas, consulte Create an alert policy.	Simple Mode
         Action Policy	Las políticas de acciones controlan los canales y la frecuencia de las notificaciones de alerta. Cuando Alert Policy se establece en Simple Mode, solo necesita configurar un grupo de acciones. Después de configurar el grupo de acciones, Simple Log Service crea automáticamente una política de acciones denominada Rule name-Action policy. Todas las alertas desencadenadas por esta regla de monitoreo envían notificaciones a través de dicha política. Para conocer los detalles de configuración, consulte Notification channels. Importante Puede modificar la política de acciones en la página de gestión Action Policy. Para obtener más información, consulte Action policies. Si agrega condiciones al modificarla, la configuración de Alert Policy cambia automáticamente a Standard Mode. Cuando Alert Policy se establece en Standard Mode o Advanced Mode, puede seleccionar una política de acciones integrada o personalizada para enviar notificaciones de alerta. Para obtener más información sobre cómo crear una política de acciones, consulte Action policies. Si Alert Policy se establece en Advanced Mode, también puede habilitar o deshabilitar Custom Action Policy. Para obtener más información, consulte Dynamic action policy mechanism.	Channel: SMS Recipient: LogServiceOperations Alert Template: SLS built-in content template Period: Any Time
         Check Frequency	Durante el periodo de espera de repetición, las alertas duplicadas activan la política de acciones seleccionada solo una vez, por lo que se envía únicamente una notificación.	5 Minutes

      3. En el panel de navegación izquierdo, haga clic en el ícono para consultar las reglas de alerta creadas y configurar Notification Objects, Notification Management, entre otros elementos. Para obtener más información, consulte Step 1: Configure recipients y Create an alert policy.

         Una vez creada la regla de monitoreo de alertas, Simple Log Service supervisa los resultados de consulta y análisis conforme a ella. Cuando los resultados cumplen la condición de activación, se genera una alerta. Puede consultar los registros de alertas en el panel Alert Rule Center. Para obtener más información, consulte Step 4: View alert history.

Referencias

Para obtener información sobre los gráficos de registros de WAF y ejemplos de configuración de alertas —incluidas alertas para proporciones anómalas de códigos 4xx (sin contar solicitudes bloqueadas), proporciones anómalas de códigos 5xx, QPS anómalo y actividad de bloqueo de reglas de protección en los últimos 5 minutos—, consulte Alert configuration examples for WAF logs.