Web Application Firewall:Pencarian Log

Lakukan kueri dan analisis log

1. Masuk ke Konsol Web Application Firewall (WAF). Di bilah menu atas, pilih kelompok sumber daya dan wilayah untuk instans WAF Anda: Chinese Mainland atau Outside Chinese Mainland.

2. Di panel navigasi kiri, pilih Security Operations > Log Service.

3. Dari daftar drop-down nama domain, pilih nama domain, lalu aktifkan sakelar Status.

   Daftar drop-down nama domain (① pada gambar) hanya berisi nama domain yang dilindungi oleh WAF. Jika Anda belum menambahkan nama domain ke WAF, tambahkan terlebih dahulu. Untuk informasi selengkapnya, lihat Tutorial.

4. Di tab Log Search, gunakan pernyataan pencarian dan analitik untuk melakukan kueri dan menganalisis data log WAF.

   1. Di kotak pencarian (① pada gambar), masukkan pernyataan pencarian.

      Pernyataan pencarian menggunakan sintaks khusus Log Service. Untuk informasi selengkapnya tentang sintaks tersebut, lihat Sintaks dan fungsi pencarian. Anda dapat menggunakan field log WAF sebagai field kueri dalam pernyataan pencarian Anda. Untuk daftar field yang didukung, lihat Field log WAF.

      Jika Anda tidak terbiasa dengan sintaks pencarian, gunakan Advanced Search. Buka Advanced Search di atas kotak pencarian, atur kondisi pencarian, lalu klik Search. Pernyataan pencarian yang sesuai dengan kondisi Anda akan dibuat secara otomatis. Tabel berikut menjelaskan kondisi pencarian yang tersedia.

      Kondisi pencarian	Deskripsi
      IP	Alamat IP client.
      Request ID	ID unik yang dihasilkan WAF untuk permintaan client. WAF menyediakan ID ini saat mengembalikan halaman blokir atau tantangan slider CAPTCHA. Anda dapat menggunakan ID ini untuk pemecahan masalah.
      Rule ID	ID aturan perlindungan WAF yang dipicu oleh permintaan. Anda dapat menemukan ID aturan di halaman Security Report atau di halaman Systems > Protection Rule Group.
      Status Code Returned from Origin Server	Kode status HTTP yang dikembalikan oleh origin server.
      Status Code Returned from WAF	Kode status HTTP yang dikembalikan WAF kepada client.
      Protection Features	Jenis aturan perlindungan WAF yang sesuai dengan permintaan. Untuk informasi selengkapnya tentang modul perlindungan WAF dan cara mengonfigurasi aturan untuk setiap modul, lihat Ikhtisar.

   2. Untuk melakukan analisis statistik pada hasil kueri, tambahkan pernyataan analitik setelah pernyataan pencarian di kotak pencarian (① pada gambar). Jika Anda hanya ingin melakukan kueri log yang memenuhi kondisi tertentu, lewati langkah ini.

      Pisahkan pernyataan analitik dari pernyataan pencarian dengan tanda pipa vertikal (|). Pernyataan analitik menggunakan sintaks SQL-92 standar. Untuk informasi selengkapnya tentang pernyataan analitik, lihat Ikhtisar kueri dan analisis log.

   3. Gunakan pemilih waktu (② pada gambar) untuk menentukan rentang waktu untuk kueri log.

   4. Klik Search & Analyze (③ pada gambar).

      Hasil kueri dan analisis—yaitu log WAF yang sesuai dengan kueri Anda—ditampilkan di bagian bawah halaman. Hasilnya mencakup histogram distribusi log, tab Raw Log, dan Graph. Anda dapat melakukan analisis cepat, membuat grafik, dan menyiapkan peringatan berdasarkan hasil tersebut. Untuk informasi selengkapnya, lihat Kelola hasil kueri dan analisis dan Buat peringatan.

   Untuk contoh tambahan kueri dan analisis log, lihat Contoh kueri dan analisis.

Kelola hasil kueri dan analisis

Buat peringatan

Anda dapat membuat peringatan berdasarkan pernyataan pencarian dan analitik saat ini. Setelah membuat peringatan, Log Service akan mengevaluasi hasil kueri secara berkala. Jika hasilnya memenuhi kondisi pemicu yang ditentukan, Log Service akan mengirimkan notifikasi kepada Anda. Hal ini memungkinkan Anda memantau status layanan secara real time.

Di halaman kueri dan analisis, pilih Save as Alert > New Alert untuk membuat peringatan berdasarkan hasil kueri. Untuk informasi selengkapnya, lihat Konfigurasi peringatan.

Contoh kueri dan analisis

• Analisis jumlah permintaan serangan yang diblokir oleh berbagai modul perlindungan WAF dalam interval 15 menit. Hasilnya menunjukkan waktu (time) dan jumlah permintaan yang diblokir oleh modul-modul berikut: Mesin aturan WAF (wafmodule), blacklist alamat IP dan kebijakan Access Control List (ACL) kustom (aclmodule), serta Serangan flood HTTP (httpfloodmodule).

  * |
  SELECT
    time_series(__time__, '15m', '%H:%i', '0') as time,
    COUNT_if(final_plugin = 'waf') as "wafmodule",
    COUNT_if(final_plugin = 'acl') as "aclmodule",
    COUNT_if(final_plugin = 'cc') as "httpfloodmodule"
  GROUP by
    time
  ORDER by
    time

• Analisis distribusi jenis modul perlindungan (final_plugin) yang memicu aksi akhir. Hasilnya menunjukkan jumlah hit (times), nama domain yang diminta (host), dan modul perlindungan akhir (final_plugin).

  * |
  SELECT
    count(*) as times,
    host,
    final_plugin
  GROUP by
    host,
    final_plugin
  ORDER by
    times desc

• Analisis permintaan per detik (QPS) dalam interval 15 menit. Hasilnya menunjukkan waktu (time) dan QPS.

  * |
  SELECT
    time_series(__time__, '15m', '%H:%i', '0') as time,
    count(*) / 900 as QPS
  GROUP by
    time
  ORDER by
    time

• Temukan nama domain yang paling sering menjadi sasaran serangan flood HTTP. Hasilnya menunjukkan jumlah permintaan yang diblokir (times) dan nama domain yang diminta (host).

  *
  and acl_action :block |
  SELECT
    count(*) as times,
    host
  GROUP by
    host
  ORDER by
    times desc

• Analisis detail log permintaan website dalam interval 1 detik. Hasilnya menunjukkan waktu (time), nama domain yang diminta (host), path permintaan (request_path), metode permintaan (request_method), kode status respons WAF (status), kode status respons origin server (upstream_status), dan string kueri (querystring).

  * |
  SELECT
    date_format(date_trunc('second', __time__), '%H:%i:%s') as time,
    host,
    request_path,
    request_method,
    status,
    upstream_status,
    querystring
  LIMIT
    10

• Lakukan kueri 10 catatan permintaan serangan terbaru untuk website (your_domain_name). Hasilnya menunjukkan waktu permintaan (time), IP client sebenarnya (real_client_ip), dan jenis client (http_user_agent).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    time,
    real_client_ip,
    http_user_agent
  ORDER by
    time desc
  LIMIT
    10

• Analisis jumlah hari (days_passed, dibulatkan ke satu tempat desimal) yang telah berlalu sejak permintaan serangan ke website (your_domain_name) diblokir oleh WAF.

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    time,
    round((to_unixtime(now())-__time__) / 86400, 1) as "days_passed",
    real_client_ip,
    http_user_agent
  ORDER by
    time desc
  LIMIT
    10

• Analisis tren harian permintaan serangan ke website (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    date_trunc('day', __time__) as dt,
    count(1) as PV
  GROUP by
    dt
  ORDER by
    dt

  Fungsi date_trunc digunakan untuk mengelompokkan timestamp berdasarkan hari. Untuk informasi selengkapnya tentang fungsi ini, lihat Fungsi tanggal dan waktu.

• Analisis distribusi negara asal (country) untuk permintaan serangan ke website (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    ip_to_country(
      if(real_client_ip = '-', remote_addr, real_client_ip)
    ) as country,
    count(1) as "Number of attacks"
  GROUP by
    country

  Pada log WAF, field real_client_ip merepresentasikan IP client sebenarnya. Jika IP client sebenarnya tidak dapat diperoleh karena alasan seperti akses pengguna melalui server proxy atau field IP pada header permintaan salah (dalam kasus ini nilai real_client_ip adalah -), Anda dapat menggunakan field remote_addr (yang merepresentasikan alamat remote) sebagai IP client sebenarnya.

• Analisis distribusi provinsi asal (province) untuk permintaan serangan ke website (your_domain_name).

  matched_host: your_domain_name
  and final_action: block |
  SELECT
    ip_to_province(
      if(real_client_ip = '-', remote_addr, real_client_ip)
    ) as province,
    count(1) as "Number of attacks"
  GROUP by
    province

  Fungsi ip_to_province mengambil informasi provinsi untuk IP client sebenarnya. Untuk informasi selengkapnya tentang fungsi ini, lihat Fungsi IP.