Log Service pour WAF collecte des métriques au niveau des requêtes que vous pouvez utiliser pour configurer des alertes et surveiller vos domaines protégés. Cette rubrique décrit chaque métrique, le seuil d'alerte recommandé et les éléments à examiner lorsqu'une alerte se déclenche.
Les métriques sont regroupées en trois catégories :
Trafic et performances
Ces métriques mesurent le volume de requêtes et la latence tout au long du pipeline WAF.
| Métrique | Description | Seuil recommandé | Lorsque l'alerte se déclenche |
|---|---|---|---|
200 |
Le serveur a traité la requête et renvoyé les données demandées. | Définissez le seuil à 90 % avant la mise en production de vos charges de travail. Ajustez-le en fonction du trafic de base observé. | Identifiez quel autre code de statut a augmenté. Une baisse des réponses 200 signale généralement une hausse des erreurs 4xx ou 5xx. |
request_time_msec |
Latence de bout en bout : temps écoulé entre l'envoi de la requête par le client et la réception de la réponse finale. Couvre à la fois le trajet client vers WAF et le trajet WAF vers l'origine. | Définissez le seuil en fonction du temps de réponse de base de votre service. Utilisez la valeur P99 ou moyenne, selon la sensibilité de votre accord de niveau de service (SLA). | Vérifiez la connectivité réseau sur les deux trajets : du client au WAF, et du WAF au serveur d'origine. Assurez-vous que le serveur d'origine répond dans les délais attendus. |
upstream_response_time |
Latence retour vers l'origine : temps écoulé entre le transfert de la requête par le WAF au serveur d'origine et la réception de la réponse. Cette métrique isole uniquement le trajet WAF vers l'origine. | Définissez le seuil en fonction du temps de réponse de base de votre serveur d'origine. Utilisez la valeur P99 ou moyenne. | Des valeurs élevées indiquent une lenteur sur le réseau retour vers l'origine ou sur le serveur d'origine lui-même. Vérifiez la charge du serveur d'origine, les performances de la base de données et la qualité du réseau retour vers l'origine. |
ssl_handshake_time |
Temps nécessaire à l'établissement de la négociation TLS/SSL entre le client et le WAF lors des requêtes HTTPS. | Définissez le seuil en fonction de la ligne de base observée pour votre pool de clients. | Des temps de négociation longs peuvent indiquer des problèmes côté client, des retards de validation de certificat ou une latence réseau sur le trajet client vers WAF. |
Métriques d'action de sécurité
Ces métriques suivent les requêtes interceptées par les règles de protection WAF. Surveillez-les pour détecter le trafic d'attaque et identifier les faux positifs.
| Métrique | Description | Seuil recommandé | Lorsque l'alerte se déclenche |
|---|---|---|---|
status:302 and block_action:tmd |
Le WAF a renvoyé une redirection 302 pour déclencher un défi CAPTCHA. La protection contre les attaques HTTP flood est active. | Définissez le seuil entre 5 % et 10 % lors de la mise en production initiale de vos charges de travail. Ajustez-le en fonction du volume de trafic bloqué par le WAF. | Vérifiez si le domaine subit des attaques HTTP flood. Si tel est le cas, créez ou renforcez des règles personnalisées de protection contre les attaques HTTP flood. Vérifiez également une augmentation soudaine des codes 5xx ou 4xx, qui pourrait indiquer des problèmes côté serveur aggravant la situation. |
status:200 and block_action:tmd |
Le WAF a renvoyé un code 200, mais la protection contre les attaques HTTP flood a été déclenchée sans défi CAPTCHA. | Définissez le seuil entre 5 % et 10 % lors de la mise en production initiale de vos charges de travail. Ajustez-le en fonction du volume de trafic bloqué par le WAF. | Déterminez si le domaine subit des attaques HTTP flood et affinez vos règles de protection en conséquence. Vérifiez également une augmentation soudaine des codes 5xx ou 4xx. |
status:200 and block_action:antifraud |
La requête a été bloquée par le contrôle des risques liés aux données. | Testez la règle d'alerte avant de l'appliquer. Il n'existe pas de seuil recommandé fixe. | Si cette alerte se déclenche fréquemment, contactez l'équipe R&D d'Alibaba Cloud pour examiner et ajuster le seuil. |
status:405 |
La requête a été bloquée par les règles de protection des applications web ou les règles de politique ACL HTTP. | Aucun seuil fixe. Surveillez la tendance du taux au fil du temps. | Utilisez la fonctionnalité d'analyse des journaux pour examiner la requête bloquée et la règle correspondante. Déterminez s'il s'agit d'un faux positif avant d'ajuster les règles. |
status:444 |
La requête a été bloquée par des règles personnalisées de protection contre les attaques HTTP flood. | Aucun seuil fixe. | Déterminez si le domaine subit une attaque HTTP flood. Si les requêtes bloquées sont des appels API légitimes plutôt que du trafic d'attaque, ajustez le seuil ou autorisez les appels API sur des serveurs spécifiques. |
Codes d'erreur
Ces codes de statut indiquent des problèmes de disponibilité ou de connectivité du serveur d'origine. Utilisez-les conjointement avec upstream_response_time pour distinguer les problèmes au niveau du WAF de ceux au niveau de l'origine.
| Métrique | Description | Lorsque l'alerte se déclenche |
|---|---|---|
status:404 |
Le serveur ne peut pas trouver les ressources demandées. | Interrogez les adresses IP source qui ont déclenché l'alerte. Une seule adresse IP suggère une attaque par path traversal. Plusieurs adresses IP suggèrent que le serveur peut être mal configuré ou que des fichiers sont manquants. |
status:499 |
Le client s'est déconnecté après que le serveur d'origine n'a pas renvoyé de données dans le délai d'attente maximal du client. | Vérifiez la présence de réponses lentes sur le serveur d'origine, y compris les requêtes de base de données lentes. Vérifiez également si une attaque a épuisé les ressources du serveur d'origine. |
status:500 |
Le serveur d'origine a renvoyé une erreur interne du serveur 500. | Vérifiez la charge CPU et mémoire du serveur d'origine ainsi que l'état de la base de données. |
status:502 |
Le WAF a reçu une réponse invalide du serveur d'origine (502 Bad Gateway). Cela se produit lorsque la qualité du réseau retour vers l'origine se dégrade ou lorsque les politiques de contrôle d'accès du serveur d'origine bloquent l'adresse IP de retour vers l'origine du WAF. | Vérifiez la qualité du réseau retour vers l'origine et les politiques de contrôle d'accès du serveur d'origine. Assurez-vous que le serveur d'origine n'a pas bloqué l'adresse IP de retour vers l'origine du WAF. Vérifiez également la charge du serveur d'origine et l'état de la base de données. |
status:503 |
Le service est indisponible en raison d'une surcharge du serveur d'origine ou d'une maintenance. | Vérifiez la présence d'exceptions sur le serveur d'origine. |
status:504 |
Le WAF n'a pas reçu de réponse rapide du serveur amont (504 Gateway Timeout). | Causes possibles : le serveur d'origine est surchargé et ne peut pas répondre à temps ; le serveur d'origine a rejeté la requête sans réinitialiser la connexion ; ou une communication au niveau du protocole a échoué entre le WAF et le serveur d'origine. |