How to use Simple Log Service to configure monitoring and alerting for WAF - Web Application Firewall

Configurez des tableaux de bord de surveillance personnalisés et des alertes pour vos objets protégés par Web Application Firewall (WAF) à l'aide de Simple Log Service. Cette fonctionnalité vous permet de suivre en temps réel le trafic global et l'état de la sécurité. Cette rubrique explique comment mettre en place une surveillance et des alertes personnalisées pour WAF via Simple Log Service.

Prérequis

Vous avez terminé le provisionnement du service web sur la page Onboarding.
Simple Log Service est activé. Pour plus d'informations, consultez la rubrique Activer ou désactiver le service de journalisation.

Après l'activation de Simple Log Service, Simple Log Service (SLS) crée automatiquement un projet et un Logstore pour votre instance WAF, et collecte les journaux des objets protégés que vous spécifiez dans le Logstore. Vous pouvez ensuite configurer la surveillance et les alertes WAF personnalisées dans la console Simple Log Service.

Instructions

Procédure

Dans la console WAF, activez la collecte des journaux pour un objet protégé.
1. Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.
  
  Console Web Application Firewall 3.0
2. Dans le volet de navigation de gauche, choisissez Detection and Response > Log Service.
3. En haut de la page Log Service, sélectionnez l'objet protégé dont vous souhaitez consulter les journaux et basculez le statut pour activer la collecte des journaux.
  
  La fonctionnalité prend effet quelques minutes après son activation.

Dans la console Simple Log Service, configurez les alertes.

Créez un tableau de bord d'analyse des journaux.

Connectez-vous à la console Simple Log Service.
Dans la section Projects, localisez le projet de journaux WAF que vous souhaitez gérer et cliquez sur le nom du projet.
Saisissez une instruction de requête et cliquez sur Search & Analyze. Pour plus d'informations, consultez l'étape 4.

Remarque
Pour les instructions de requête SQL utilisées pour surveiller et analyser les métriques, consultez les instructions de requête.
Une fois la requête terminée, accédez à l'onglet Graph et cliquez sur Add to New Dashboard.

Dans la boîte de dialogue Add to New Dashboard, configurez les paramètres suivants et cliquez sur Confirm.

Parameter

Description

Operation

Sélectionnez Create Dashboard.

Layout Mode

Sélectionnez un mode de disposition pour le tableau de bord.

Dashboard Name

Saisissez un nom pour le tableau de bord.

Après la création du tableau de bord, vous y êtes redirigé. Par défaut, le tableau de bord inclut le graphique généré à partir de l'instruction de requête de l'étape iii. Vous pouvez modifier le graphique existant ou ajouter d'autres graphiques selon vos besoins.

Configurez les graphiques du tableau de bord.
1. Dans le volet de navigation de gauche de la console Simple Log Service, choisissez Dashboards et cliquez sur le tableau de bord cible.
2. Sur la page du tableau de bord, cliquez sur Edit dans le coin supérieur droit.
3. En mode édition, vous pouvez modifier ou supprimer des graphiques existants, ou ajouter de nouveaux graphiques en copiant ceux qui existent déjà.
  Remarque
  Vous pouvez copier un graphique existant puis personnaliser sa configuration. Cette approche vous permet d'ajouter plusieurs graphiques à un tableau de bord pour diverses visualisations de données et configurations d'alerte.
  - Copiez un graphique pour en créer un nouveau
    1. Localisez le graphique que vous souhaitez copier, survolez l'icône dans le coin supérieur droit du graphique et cliquez sur Copy.
      
      Une copie du graphique apparaît à côté de l'original.
    2. Faites glisser le graphique copié vers la position souhaitée sur le tableau de bord.
  - Modifiez un graphique existant
    1. Localisez le graphique que vous souhaitez modifier, survolez l'icône dans le coin supérieur droit du graphique et cliquez sur Edit.
    2. Sur la page Edit, modifiez la configuration du graphique, telle que le nom du graphique, l'instruction de requête SQL, la plage de temps relative et le type de graphique, puis cliquez sur OK.
  - Supprimez un graphique existant
    
    Localisez le graphique que vous souhaitez supprimer, survolez l'icône dans le coin supérieur droit du graphique et cliquez sur Delete.

Configurez les alertes.

Sur la page du tableau de bord, choisissez Alert > Create Alert Monitoring Rule.

Dans le panneau Create Alert, configurez les paramètres suivants et cliquez sur OK.

Le tableau suivant décrit les paramètres requis et fournit des exemples de configuration.

Paramètre	Description	Exemple
Rule Name	Saisissez un nom pour la règle de surveillance des alertes.	WebsiteLogs_AlertRule
Check Frequency	Définissez la fréquence à laquelle Simple Log Service vérifie les résultats des requêtes et des analyses. Valeurs valides : Fixed Interval : vérifie les résultats des requêtes et des analyses à intervalle fixe. Cron : vérifie les résultats des requêtes et des analyses selon un intervalle spécifié par une expression cron. Une expression cron prend en charge une précision allant jusqu'à la minute et utilise un format horaire sur 24 heures. Par exemple, `0 0/1 *` vérifie les résultats toutes les heures à partir de 00:00.	Fixed Interval, 15 minutes
Advanced Settings	Cliquez sur le champ de saisie. Dans la boîte de dialogue Advanced Settings, configurez les instructions de requête et d'analyse. Pour connaître les limites relatives aux requêtes et aux analyses, consultez la rubrique Requête et analyse. Notification Objects : sélectionnez un tableau de bord de surveillance. Advanced Settings : dans l'onglet Advanced Settings, vous pouvez sélectionner Logstore, Metricstore ou Resource Data comme type de données à surveiller. Logstores : stocke les journaux. Pour les configurations de requête et d'analyse, consultez la rubrique Démarrage rapide des requêtes et des analyses. Metricstore : stocke les données de séries temporelles. Pour les configurations de requête et d'analyse, consultez la rubrique Interroger et analyser les données de métriques. Resource Data : associe des données externes à une règle de surveillance des alertes spécifique. Pour plus d'informations, consultez la rubrique Créer des données de ressource. Si vous configurez plusieurs statistiques de requête, vous pouvez spécifier Check Frequency pour corréler les résultats de plusieurs requêtes. Pour plus d'informations, consultez la rubrique Instructions de requête et d'analyse.	0 : sélectionnez le graphique request success ratio sur le tableau de bord SLB Operation Logs. 1 : sélectionnez le graphique response time trend sur le tableau de bord SLB Operation Logs. Définissez Set Operations sur CROSS JOIN.

Group Evaluation

Simple Log Service peut regrouper les résultats des requêtes et des analyses. Les valeurs valides sont les suivantes :

Custom Label : Simple Log Service regroupe les résultats en fonction des champs que vous spécifiez. Chaque groupe est évalué séparément par rapport à la condition de déclenchement. Une alerte est générée pour chaque groupe qui satisfait à la condition de déclenchement au cours d'une période de vérification.
Vous pouvez configurer plusieurs champs.
No Grouping : Une seule alerte est générée par période de vérification lorsque la condition de déclenchement est satisfaite.

No Grouping

Trigger Condition

Définissez la condition de déclenchement et la gravité.

Condition de déclenchement
- Data is returned : Déclenche une alerte lorsque les résultats de la requête et de l'analyse contiennent des données.
- The query result contains : Déclenche une alerte lorsque les résultats de la requête et de l'analyse contiennent N entrées de données.
- Data matches the expression : Déclenche une alerte lorsque les données des résultats de la requête et de l'analyse correspondent à une expression spécifiée.
- The query result contains and matches : Déclenche une alerte lorsque N entrées de données dans les résultats de la requête et de l'analyse correspondent à une expression spécifiée.
Gravité
Utilisée pour la réduction du bruit des alertes et le contrôle des notifications. Lorsque vous créez une politique d'alerte ou une politique d'action, vous pouvez ajouter des conditions basées sur la gravité. Pour plus d'informations, consultez la rubrique Définir la gravité des alertes.
- Configuration simple : sélectionnez directement une gravité d'alerte. Toutes les alertes générées par cette règle auront la même gravité.
- Configuration conditionnelle : cliquez sur Add pour définir différentes gravités selon les conditions.

Pour connaître la syntaxe des expressions conditionnelles dans les règles d'alerte, consultez la rubrique Syntaxe des conditions de déclenchement dans les règles d'alerte.

Data matches the expression
$0.success_ratio <90&&$1.Average response time$s$ >60
Gravité : Moyenne

Remarque

Si un nom de champ contient des parenthèses (), vous devez les échapper avec une barre oblique inverse (\).

Add Annotation

Simple Log Service vous permet d'ajouter des attributs clé-valeur non identifiants aux alertes générées. Ceux-ci sont utilisés pour la réduction du bruit des alertes et le contrôle des notifications. Lorsque vous créez une politique d'alerte ou une politique d'action, vous pouvez ajouter des conditions basées sur les annotations. Pour plus d'informations, consultez la rubrique Ajouter des libellés et des annotations.

Vous pouvez également activer Add Annotation pour ajouter automatiquement des champs tels que __count__ aux alertes. Pour plus d'informations, consultez la rubrique Annotations automatiques.

Titre : Surveiller le taux de réussite des requêtes du site web et le temps de réponse moyen
Description : Taux de réussite des requêtes : ${success_ratio}, Temps de réponse moyen : ${Average response time(s)}
Auto-Add Annotations : Activé

Threshold of Continuous Triggers	Définissez le seuil de déclenchement consécutif. Une alerte est générée lorsque le nombre cumulé de correspondances aux conditions de déclenchement atteint cette valeur. Les occurrences qui ne satisfont pas à la condition de déclenchement ne sont pas comptabilisées.	1
Destination	La destination vers laquelle les alertes sont envoyées. Sélectionnez Simple Log Service Notification.	Simple Log Service Notification
Alert Policy	Les politiques d'alerte permettent de fusionner, de mettre en sourdine et de supprimer les alertes générées. Si vous sélectionnez Simple Mode ou Standard Mode, aucune configuration de politique d'alerte n'est requise. Simple Log Service utilise par défaut la politique d'alerte dynamique intégrée `sls.builtin.dynamic`. Si vous sélectionnez Advanced Mode, vous pouvez choisir une politique d'alerte intégrée ou personnalisée. Pour plus d'informations sur la création d'une politique d'alerte, consultez Create an alert policy.	Simple Mode
Action Policy	Les politiques d'action contrôlent les canaux de notification d'alerte et leur fréquence. Lorsque Alert Policy est défini sur Simple Mode, il suffit de configurer un groupe d'actions. Une fois le groupe d'actions configuré, Simple Log Service crée automatiquement une politique d'action nommée `Rule name-Action policy`. Toutes les alertes déclenchées par cette règle de surveillance des alertes envoient des notifications via cette politique d'action. Pour plus de détails sur la configuration, consultez Notification channels. Important Vous pouvez modifier la politique d'action sur la page de gestion des politiques d'action. Pour plus d'informations, consultez Action policies. Si vous ajoutez des conditions lors de la modification de la politique d'action, le paramètre Alert Policy passe automatiquement en Standard Mode. Lorsque Alert Policy est défini sur Standard Mode ou Advanced Mode, vous pouvez sélectionner une politique d'action intégrée ou personnalisée pour envoyer les notifications d'alerte. Pour plus d'informations sur la création d'une politique d'action, consultez Action policies. Si Alert Policy est défini sur Advanced Mode, vous pouvez également activer ou désactiver Custom Action Policy. Pour plus d'informations, consultez Dynamic action policy mechanism.	Channel : SMS Recipient : LogServiceOperations Alert Template : SLS built-in content template Period : Any Time

Check Frequency

Pendant la période d'attente de répétition, les alertes dupliquées déclenchent la politique d'action sélectionnée une seule fois, envoyant ainsi une unique notification.

5 Minutes

Dans le volet de navigation de gauche, cliquez sur l'icône pour consulter les règles d'alerte créées et configurer les Notification Objects, la Notification Management et d'autres paramètres. Pour plus d'informations, consultez Configurer les destinataires et Créer une politique d'alerte.

Après avoir créé une règle de surveillance des alertes, Simple Log Service surveille les résultats des requêtes et des analyses en fonction de cette règle. Lorsque les résultats satisfont à la condition de déclenchement, une alerte est générée. Vous pouvez consulter l'historique des alertes dans le tableau de bord du Alert Rule Center. Pour plus d'informations, consultez Consulter l'historique des alertes.

Références

Pour obtenir des informations sur les graphiques de journaux WAF et des exemples de configuration d’alertes — notamment pour les ratios anormaux de codes 4xx (hors requêtes bloquées), les ratios anormaux de codes 5xx, le QPS anormal et l’activité de blocage par les règles de protection au cours des 5 dernières minutes — consultez la rubrique Exemples de configuration d’alertes pour les journaux WAF.