Une fois Cloud Firewall activé, le système enregistre automatiquement les journaux de trafic, les journaux d'événements et les journaux d'opérations de la console. La page Log Audit présente ces journaux sous forme visuelle pour vous aider à retracer l'origine des attaques et à examiner le trafic. Cette fonctionnalité gratuite permet d'interroger les journaux des sept derniers jours, ce qui suffit pour assurer une surveillance immédiate de la sécurité et répondre aux incidents.
Par défaut, la fonctionnalité Log Audit conserve les journaux pendant 7 jours. Pour étendre la période de rétention, satisfaire aux exigences de conformité et d'audit ou exporter les données brutes, activez la fonctionnalité d'analyse des journaux. Pour plus d'informations, consultez Présentation de l'analyse des journaux.
Types de journaux
La fonctionnalité Log Audit prend en charge les types de journaux suivants :
-
Flow Logs : comprend les Traffic Logs et les Event Logs générés par tous les pare-feux périmétriques activés.
Traffic Logs : enregistre les détails de tout le trafic réseau transitant par Cloud Firewall, notamment les adresses IP source et de destination, les ports source et de destination, les protocoles de transport et le volume de trafic.
Event Logs : enregistre les menaces potentielles pour la sécurité ou le trafic anormal identifié par Cloud Firewall. Ces journaux sont classés par module de protection, tel que IPS, Threat Intelligence et TLS Inspection. Chaque journal fournit des informations clés pour le suivi et l'analyse des événements de sécurité, notamment l'heure de l'attaque, le type de menace, les adresses IP source et de destination, le type d'application, la gravité et l'action entreprise.
-
Proxy Logs : si un pare-feu proxy explicite est configuré, ce journal contient le Outbound Access Log et le Event Log pour le trafic transitant par le pare-feu.
Outbound Access Log : enregistre les détails du trafic réseau transitant par le pare-feu proxy, notamment l'instance de proxy, l'ID de requête, les ID source et de destination, les ports source et de destination, le nom de domaine, l'URL et le code d'état.
Event Logs : enregistre les événements de menace potentielle pour la sécurité transitant par le pare-feu proxy et déclenchant les politiques AI Security Guardrail et TLS Inspection.
Operation Logs : enregistre toutes les actions des utilisateurs dans la console Cloud Firewall, telles que les modifications de configuration des règles, les ajustements des paramètres système et autres interventions administratives. Utilisez les journaux d'opération pour auditer le comportement des utilisateurs et garantir la traçabilité des modifications du système.
Interroger les journaux d'audit
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
-
Accédez à l'onglet correspondant au type de journal à interroger.
Flow Logs
Définissez les conditions de filtrage et la plage horaire, puis cliquez sur Search pour afficher les journaux. Le tableau suivant décrit certains des champs clés.
Champ
Description
Rule Module/Rule Name/Rule ID
Affiche le nom de la politique de contrôle d'accès ou de la règle de protection contre les attaques correspondante au trafic. Un champ vide indique qu'aucune règle n'a été mise en correspondance.
Application Protocol Detection Status
Statut d'identification de l'application du trafic lorsqu'il correspond à une politique de contrôle d'accès. Valeurs valides :
Identified
Blocked by Policy
TCP Connection Failed
Payload Not Received
Analyzing
Not Identified in Strict Mode
Not Identified in Loose Mode
Stateless : indique que le trafic a été traité sans inspection approfondie des paquets (DPI).
Pre-match Access Control Policy Status et Pre-match Access Control Policy
Cloud Firewall met en correspondance le trafic avec les politiques de contrôle d'accès par ordre de priorité. Si Cloud Firewall ne peut pas identifier l'application ou le nom de domaine, le champ Pre-match Access Control Policy Status indique le statut non identifié et le champ Pre-match Access Control Policy affiche le nom de la politique.
Valeurs valides pour Pre-match Access Control Policy Status :
Application Unidentified : Cloud Firewall ne peut pas identifier l'application pour le trafic.
Domain Name Unidentified : Cloud Firewall ne peut pas identifier le nom de domaine pour le trafic.
Normal : Cloud Firewall peut identifier à la fois l'application et le nom de domaine pour le trafic.
Actions
Pour les événements bloqués par le correctif virtuel et la protection IPS de base, cliquez sur Actions dans la colonne Obtain Attack Sample pour générer un exemple d'attaque à partir des 7 derniers jours et afficher les données détaillées. L'exemple généré est conservé pendant un mois.
Proxy Logs
Définissez les conditions de filtrage et la plage horaire, puis cliquez sur Search pour afficher les journaux. Le tableau suivant décrit certains des champs clés.
Champ
Description
Account UID/Proxy Instance
ID de l'instance de pare-feu proxy explicite et UID du compte Alibaba Cloud auquel elle appartient.
Region
Région de déploiement de l'instance de pare-feu proxy explicite.
Application Name
Type d'application déclenchant le journal, tel que Windows Update.
Security Detection Module
Type de politique mise en correspondance, tel que Access Control, Threat Intelligence ou AI Security Guardrail.
Actions
Cliquez sur le bouton Actions dans la colonne Details pour afficher les informations détaillées de la Request et de la Response.
Operation Logs
Définissez les conditions de filtrage et la plage horaire, puis cliquez sur Search pour afficher les journaux. Le tableau suivant décrit certains des champs clés.
Champ
Description
Risk Level
Gravité attribuée par le système à l'événement. Si vous confirmez que l'événement correspond à une opération commerciale normale, vous pouvez ignorer l'alerte.
Operator
Compte utilisateur ayant effectué l'action, y compris un compte principal et un utilisateur RAM.
Log Content
Action spécifique effectuée par l'utilisateur.