Web Application Firewall:Configurer les notifications CloudMonitor

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Ajouté un site web à WAF. Pour plus d'informations, consultez le Tutoriel

Créer un contact et un groupe de contacts

Les contacts d'alerte sont les destinataires des notifications. Organisez-les en groupes de contacts, puis attribuez un groupe lors de la création de chaque règle d'alerte.

1. Connectez-vous à la console CloudMonitor.

2. Dans le volet de navigation de gauche, sélectionnez Alerts > Alert Contacts.

3. Créez un contact.

   1. Sous l'onglet Alert Contacts, cliquez sur Create Alert Contact.

   2. Dans le panneau Set Alert Contact, saisissez le nom, l'adresse e-mail et l'URL webhook du contact. Laissez le paramètre Language of Alert Notifications sur la valeur par défaut Automatic.

      Remarque

      Le mode Automatic signifie que CloudMonitor sélectionne la langue de notification en fonction de la langue utilisée lors de la création de votre compte Alibaba Cloud.

   3. Cliquez sur Confirm.

4. Créez un groupe de contacts.

   1. Sous l'onglet Alert Contact Group, cliquez sur Create Alert Contact Group.

   2. Dans le panneau Create Alert Contact Group, saisissez un nom de groupe, sélectionnez les contacts à inclure, puis cliquez sur Confirm.

5. (Facultatif) Ajoutez des contacts à un groupe en masse.

   1. Sous l'onglet Alert Contacts, sélectionnez les contacts à ajouter, puis cliquez sur Add to Contact Group.

   2. Dans la boîte de dialogue Confirm, sélectionnez le groupe cible et cliquez sur OK.

Configurer la surveillance et les alertes pour les événements d'attaque

Définissez des règles d'alerte déclenchées par des événements pour recevoir des notifications lorsque WAF détecte des attaques spécifiques. À la réception d'une alerte, accédez à l'onglet Event Monitoring dans la console CloudMonitor pour consulter les événements récents et identifier l'attaque.

1. Connectez-vous à la console CloudMonitor.

2. Dans le volet de navigation de gauche, sélectionnez Event Center > System Events.

3. Sous l'onglet Event Monitoring, cliquez sur Old Event Alarm Rules dans le coin supérieur droit, puis sur Create Alert Rule.

4. Dans le panneau Create/Modify Event-triggered Alert Rule, configurez les paramètres et cliquez sur OK.

   Paramètre	Description
   Alert Rule Name	Nom de la règle d'alerte déclenchée par un événement.
   Product	Service cloud. Sélectionnez WAF.
   Event Type	Catégorie d'événement à surveiller. Valeurs valides : Attack, Exceed et Event.
   Event Level	Niveau de gravité déclenchant les alertes. Tous les événements WAF sont classés comme CRITICAL.
   Event name	Événement spécifique à surveiller. Les noms d'événements contenant v3 correspondent aux événements WAF 3.0. Tous les autres événements relèvent de WAF 2.0. Pour la liste complète des événements WAF 2.0, consultez la section Événements d'attaque pouvant être surveillés par CloudMonitor.
   Keyword Filtering	Filtre les événements par mot-clé avant l'envoi des alertes. Contains any of the keywords : supprime les alertes lorsque l'événement correspond à un mot-clé. Does not contain any of the keywords : supprime les alertes lorsque l'événement ne correspond pas à un mot-clé.
   SQL Filter	Instructions SQL utilisées pour un filtrage supplémentaire.
   Resource Scope	Ressources couvertes par cette règle. Valeurs valides : All Resources et Application Groups.
   Contact Group	Groupes de contacts recevant les notifications d'alerte.
   Notification method	Niveau de gravité et canaux de diffusion des notifications. Valeurs valides : Critical (Appel téléphonique + SMS + E-mail + Webhook), Warning (SMS + E-mail + Webhook), Info (E-mail + Webhook).
   Simple Message Queue (formerly MNS)（SMQ） - Queue	File d'attente Simple Message Queue (SMQ, anciennement MNS) destinée à recevoir les livraisons d'alertes.
   Function Compute	Fonction Function Compute destinée à recevoir les livraisons d'alertes.
   URL Callback	URL HTTP accessible publiquement. CloudMonitor envoie des requêtes HTTP POST pour pousser les notifications d'alerte vers cette URL. Seul le protocole HTTP est pris en charge. Pour les étapes de configuration, consultez Configurer les rappels pour les alertes déclenchées par des événements système (ancien).
   Simple Log Service	Logstore SLS destiné à recevoir les livraisons d'alertes.
   Mute Period	Délai d'attente de CloudMonitor avant de renvoyer une alerte non résolue. Valeurs valides : 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours et 24 Hours.

Une fois la règle enregistrée, les contacts des groupes spécifiés reçoivent des notifications à chaque détection par WAF des événements d'attaque configurés.

Pour afficher les événements d'attaque récents, sous l'onglet Event Monitoring, sélectionnez WAF dans la liste déroulante All Products, choisissez un nom d'événement ne contenant pas v3 dans la liste déroulante Select Event Name, puis cliquez sur Search.

Configurer la surveillance et les alertes pour les métriques de service

Définissez des règles d'alerte basées sur des seuils pour recevoir des notifications lorsqu'une métrique de service WAF dépasse une valeur définie. À la réception d'une alerte, consultez la page Alert Rules pour identifier la métrique ayant déclenché la règle.

1. Connectez-vous à la console CloudMonitor.

2. Dans le volet de navigation de gauche, sélectionnez Alerts > Alert Rules.

3. Sur la page Alert Rules, cliquez sur Create Alert Rule.

4. Dans le panneau Create Alert Rule, configurez les paramètres et cliquez sur OK.

   Paramètre	Description
   Product	Sélectionnez WAF dans la liste déroulante.
   Resource Scope	Ressources couvertes par cette règle. Valeurs valides : All Resources (toutes les ressources WAF), Application Groups (toutes les ressources d'un groupe d'applications spécifié), Instances (ressources WAF spécifiques).
   Rule Description	Condition d'alerte. Cliquez sur Add Rule, puis configurez la règle d'alerte, le type de métrique, la métrique, le seuil et le niveau d'alerte dans le panneau Add Rule Description. Pour la liste des métriques de service disponibles, consultez la section Métriques de service pouvant être surveillées par CloudMonitor.
   Mute Period	Délai d'attente de CloudMonitor avant de renvoyer une alerte active. Valeurs valides : 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours et 24 Hours. Si la condition d'alerte est à nouveau remplie pendant la période de silence, CloudMonitor supprime la notification en double.
   Effective Period	Plage horaire durant laquelle CloudMonitor surveille les ressources et génère des alertes.
   Alert Contact Group	Groupes de contacts recevant les notifications d'alerte.
   Alert Callback	URL HTTP accessible publiquement. CloudMonitor envoie des requêtes HTTP POST pour pousser les notifications d'alerte vers cette URL. Seul le protocole HTTP est pris en charge. Pour les étapes de configuration, consultez Utiliser la fonction de rappel d'alerte pour envoyer des notifications concernant les alertes déclenchées par un seuil. Cliquez sur Advanced Settings pour configurer ce paramètre.
   Auto Scaling	Lorsqu'elle est activée, cette option déclenche la règle de mise à l'échelle spécifiée en cas d'alerte. Configurez les paramètres Region, ESS Group et ESS Rule. Pour plus de détails, consultez Gérer les groupes de mise à l'échelle et Configurer des règles de mise à l'échelle. Cliquez sur Advanced Settings pour configurer ce paramètre.
   Simple Log Service	Lorsqu'elle est activée, cette option écrit les données d'alerte dans un Logstore SLS spécifié. Configurez les paramètres Region, ProjectName et Logstore. Pour plus de détails, consultez Prise en main. Cliquez sur Advanced Settings pour configurer ce paramètre.
   Simple Message Queue (formerly MNS) - Topic	Lorsqu'elle est activée, cette option écrit les données d'alerte dans un topic MNS spécifié. Configurez les paramètres Region et topicName. Pour plus de détails, consultez Créer un topic. Cliquez sur Advanced Settings pour configurer ce paramètre.
   NoDataPolicy	Gestion de l'état d'alerte en l'absence de données. Valeurs valides : Do not do anything (par défaut), Send alert notifications, Treated as normal. Cliquez sur Advanced Settings pour configurer ce paramètre.
   Tag	Tag nom-valeur associé à la règle d'alerte.

Une fois la règle enregistrée, retrouvez-la sur la page Alert Rules en sélectionnant Web Application Firewall (WAF) dans la liste déroulante Application grouping et en choisissant une dimension de métrique dans la liste déroulante Monitoring indicators.

Configurer la surveillance et les alertes pour les métriques personnalisées

Utilisez Simple Log Service pour configurer la surveillance et les alertes relatives aux métriques personnalisées. Pour plus d'informations, consultez la Vue d'ensemble.

Événements d'attaque pouvant être surveillés par CloudMonitor

CloudMonitor peut surveiller les attaques web, les attaques HTTP flood, les attaques par scan et les événements de contrôle d'accès sur les noms de domaine ajoutés à WAF. Tous les événements WAF ont un niveau de gravité CRITICAL.

Métriques de service pouvant être surveillées par CloudMonitor

CloudMonitor peut surveiller les métriques de service WAF pour les noms de domaine ajoutés à WAF. Toutes les métriques possèdent une dimension nom de domaine.