Saat terjadi lonjakan serangan atau anomali pada objek yang dilindungi, CloudMonitor dapat segera memberi tahu tim Anda. Topik ini menjelaskan cara membuat aturan peringatan untuk event keamanan WAF dan metrik traffic sehingga pihak yang tepat menerima notifikasi segera setelah ambang batas terlampaui.
Prasyarat
Sebelum memulai, pastikan Anda telah:
Layanan web ditambahkan ke WAF pada halaman Website Configuration. Untuk informasi selengkapnya, lihat Ikhtisar konfigurasi situs web.
Siapkan kontak peringatan
Sebelum membuat aturan peringatan, tentukan siapa yang akan menerima notifikasi.
Masuk ke Konsol CloudMonitor.
Di panel navigasi kiri, pilih Alerts > Alert Contacts.
Pada tab Alert Contacts, klik Create Alert Contact.
Pada panel Set Alert Contact, masukkan nama, alamat email, dan URL webhook dari kontak peringatan. Biarkan nilai default untuk semua parameter lainnya.
Pastikan Language of Alert Notifications tetap diatur ke Automatic. CloudMonitor kemudian akan memilih bahasa notifikasi berdasarkan bahasa yang digunakan saat membuat Akun Alibaba Cloud Anda.
Klik OK.
Pada tab Alert Contact Group, klik Create Alert Contact Group.
Pada panel Create Alert Contact Group, masukkan nama kelompok, pilih kontak peringatan yang ingin ditambahkan, lalu klik Confirm. Atau, untuk menambahkan beberapa kontak ke kelompok yang sudah ada, kembali ke tab Alert Contacts, pilih kontak-kontak tersebut, klik Add to Contact Group, pilih kelompok target, lalu klik OK.
Setelah penyiapan ini selesai, kontak dalam kelompok tersebut akan menerima pemberitahuan peringatan untuk setiap aturan yang diberikan kepada kelompok tersebut.
Konfigurasikan peringatan untuk event keamanan WAF
Gunakan aturan peringatan berbasis event untuk menerima notifikasi ketika WAF mendeteksi serangan, pelanggaran batas QPS, atau risiko keamanan API pada objek yang dilindungi Anda.
Cara deteksi bekerja
Untuk event bertipe Attack, WAF menggunakan algoritma jendela geser: jendela 10 menit dengan statistik dikumpulkan setiap menit. Peringatan dipicu ketika kedua kondisi berikut terpenuhi secara bersamaan:
Jumlah serangan yang diblokir pada menit saat ini melebihi 600.
Jumlah yang diblokir pada menit saat ini lebih dari tiga deviasi standar di atas rata-rata 11 menit sebelumnya.
Peringatan akan berhenti ketika jumlah yang diblokir pada menit saat ini turun di bawah rata-rata 11 menit. Desain ini menyaring lonjakan singkat dan hanya memicu peringatan pada lonjakan serangan yang berkelanjutan, sehingga mengurangi kelelahan akibat peringatan berlebihan.
Event tipe Exceed dan Event menggunakan pemicu berbasis ambang batas. Untuk detail selengkapnya, lihat Event keamanan yang dapat dideteksi.
Buat aturan peringatan event keamanan
Masuk ke Konsol CloudMonitor.
Di panel navigasi kiri, pilih Event Center > System Event.
Pada tab Event Monitoring, klik Old Event Alarm Rules di pojok kanan atas, lalu klik Create Alert Rule. Pada kotak dialog yang muncul, pilih Alert rules for legacy system events are still created.
Pada panel Create/Modify Event-triggered Alert Rule, konfigurasikan parameter yang dijelaskan dalam tabel berikut, lalu klik Ok.
| Parameter | Deskripsi |
|---|---|
| Alert rule name | Nama untuk aturan peringatan. |
| Product type | Layanan Alibaba Cloud yang akan dipantau. Pilih WAF. |
| Event type | Kategori event keamanan yang akan dipantau. Nilai yang valid: Attack, Exceed, dan Event. |
| Event level | Tingkat keparahan event. Semua event keamanan WAF 3.0 memiliki tingkat keparahan CRITICAL. |
| Event name | Event keamanan spesifik yang akan dipantau. Pada daftar drop-down, event yang namanya mengandung v3 adalah event WAF 3.0; yang lainnya adalah event WAF 2.0. Untuk daftar lengkapnya, lihat Event keamanan yang dapat dideteksi. |
| Keyword filtering | Filter konten opsional. Contains any of the keywords: CloudMonitor mengirimkan notifikasi ketika konten event mencakup salah satu kata kunci yang ditentukan. Does not contain any of the keywords: CloudMonitor mengirimkan notifikasi ketika tidak ada kata kunci yang ditentukan muncul dalam konten event. |
| SQLFilter | Pernyataan SQL opsional untuk pemfilteran lanjutan. |
| Resource range | Cakupan resource yang dicakup oleh aturan. Nilai yang valid: All Resources dan Application Groups. |
| Notification method | Kelompok kontak peringatan dan saluran notifikasi berdasarkan tingkat keparahan: Critical (pesan teks + email + webhook), Warning (pesan teks + email + webhook), atau Info (email + webhook). |
| SMQ | Antrian Simple Message Queue (sebelumnya MNS, juga disebut SMQ) tempat mengirimkan alert. |
| Function Compute | Fungsi Function Compute tempat mengirimkan alert. |
| URL callback | URL HTTP publik yang dapat diakses untuk menerima notifikasi peringatan melalui permintaan POST. Untuk detail konfigurasi, lihat Konfigurasikan callback untuk peringatan berbasis event sistem (lama). |
| Simple Log Service | Penyimpanan log Simple Log Service Logstore tempat mengirimkan alert. |
| Mute For | Interval minimum antara notifikasi berulang untuk peringatan yang belum terselesaikan. Nilai yang valid: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours, dan 24 Hours. |
Setelah menyimpan aturan, kontak dalam kelompok yang ditetapkan akan menerima notifikasi setiap kali WAF mendeteksi event keamanan yang sesuai.
Untuk mengkueri event keamanan terbaru, buka tab Event Monitoring, pilih WAF dari daftar drop-down cloud service, lalu pilih nama event yang mengandung v3 dari daftar drop-down SelectEvent Name. Klik Search untuk melihat event keamanan WAF 3.0.
Setelah Anda menerima peringatan
Saat menerima notifikasi event keamanan, buka konsol WAF dan tinjau halaman Security Events untuk objek yang dilindungi yang terpengaruh. Periksa jenis event, IP sumber serangan, dan pola permintaan untuk menentukan apakah traffic tersebut merupakan serangan nyata atau lonjakan traffic sah, lalu ambil tindakan yang sesuai.
Konfigurasikan peringatan untuk metrik WAF
Gunakan aturan peringatan berbasis ambang batas untuk memantau metrik traffic dan pemblokiran—seperti pertumbuhan QPS, laju error 4xx/5xx, dan jumlah pemblokiran—pada objek yang dilindungi.
Masuk ke Konsol CloudMonitor.
Di panel navigasi kiri, pilih Alerts > Alert Rules.
Pada halaman Alert Rules, klik Create Alert Rule.
Pada panel Create Alert Rule, konfigurasikan parameter yang dijelaskan dalam tabel berikut, lalu klik Confirm.
| Parameter | Deskripsi |
|---|---|
| Product | Layanan Alibaba Cloud yang akan dipantau. Pilih WAF3.0. |
| Resource range | Cakupan resource yang dicakup oleh aturan. All Resources: berlaku untuk semua resource WAF 3.0. Application Groups: berlaku untuk resource dalam kelompok aplikasi tertentu. Instances: berlaku untuk resource WAF 3.0 tertentu. |
| Rule description | Kondisi metrik yang memicu peringatan. Klik Add Rule, konfigurasikan aturan peringatan, jenis metrik, metrik, ambang batas, dan tingkat peringatan pada panel Configure Rule Description, lalu klik OK. Untuk metrik WAF 3.0 yang tersedia, lihat Metrik yang dapat dipantau. |
| Mute For | Interval minimum antara notifikasi berulang untuk peringatan yang belum terselesaikan. Nilai yang valid: 1 Minutes, 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours, dan 24 Hours. Peringatan dipicu ketika kondisi metrik terpenuhi. Jika kondisi terpenuhi lagi sebelum periode bisu berakhir, CloudMonitor tidak mengirim ulang notifikasi. Setelah periode bisu berakhir, CloudMonitor mengirim ulang notifikasi jika peringatan masih belum terselesaikan. |
| Effective period | Jendela waktu selama aturan aktif. CloudMonitor hanya memantau resource dan menghasilkan peringatan dalam periode ini. |
| Alert contact group | Kelompok kontak peringatan yang akan diberi tahu. Untuk instruksi penyiapan, lihat Siapkan kontak peringatan. |
| Alert callback | URL HTTP publik yang dapat diakses untuk menerima notifikasi peringatan melalui permintaan POST. Klik Advanced Settings untuk mengonfigurasi. Untuk detail konfigurasi, lihat Gunakan fitur alert callback untuk mengirimkan notifikasi tentang peringatan berbasis ambang batas. |
| Auto Scaling | Saat diaktifkan, memicu aturan penskalaan ketika peringatan dipicu. Klik Advanced Settings dan konfigurasikan parameter Region, ESS Group, dan ESS Rule. Untuk detailnya, lihat Kelola grup penskalaan dan Kelola aturan penskalaan. |
| Log Service | Saat diaktifkan, menulis informasi peringatan ke penyimpanan log Simple Log Service Logstore ketika peringatan dipicu. Klik Advanced Settings dan konfigurasikan parameter Region, ProjectName, dan Logstore. Untuk detailnya, lihat Memulai. |
| Simple Message Queue (formerly MNS) - Topic | Saat diaktifkan, menulis informasi peringatan ke topik Simple Message Queue (sebelumnya MNS) ketika peringatan dipicu. Klik Advanced Settings dan konfigurasikan parameter Region dan topicName. Untuk detailnya, lihat Buat topik. |
| Method to handle alerts when no monitoring data is found | Perilaku saat tidak ada data metrik. Nilai yang valid: Do not do anything (default), Send alert notifications, dan Treated as normal. Klik Advanced Settings untuk mengonfigurasi. |
| Tag | Tag yang dilampirkan ke aturan peringatan, terdiri dari nama tag dan nilai tag. |
Setelah menyimpan aturan, aturan tersebut akan muncul pada halaman Alert Rules. Untuk menemukan aturan untuk metrik WAF tertentu, pilih WAF3.0 dari daftar drop-down Product, lalu pilih resource dari daftar drop-down Metric Name dan pilih metrik dari daftar di sebelah kanan.
Nilai yang Anda pilih dari daftar drop-down Metric Name menentukan metrik versi WAF mana yang muncul:
domain: metrik WAF 2.0
resource: metrik WAF 3.0
Instance: metrik Hybrid Cloud WAF (metrik yang mengandung v3 adalah metrik WAF 3.0; yang lainnya adalah metrik WAF 2.0)Event keamanan yang dapat dideteksi
Tabel berikut mencantumkan event keamanan WAF 3.0 yang tersedia untuk aturan peringatan berbasis event.
| Jenis event | Nama event | Tingkat keparahan | Kondisi pemicu |
|---|---|---|---|
| Attack | wafv3_event_aclattack (custom rule) | CRITICAL | Menggunakan jendela geser 10 menit dengan statistik per menit. Dipicu ketika jumlah serangan yang diblokir pada menit saat ini melebihi 600 dan melebihi rata-rata 11 menit sebelumnya lebih dari tiga deviasi standar. Berhenti ketika jumlah yang diblokir turun di bawah rata-rata 11 menit. |
| Attack | wafv3_event_ccattack | CRITICAL | Mekanisme yang sama seperti di atas. |
| Attack | wafv3_event_webattack | CRITICAL | Mekanisme yang sama seperti di atas. |
| Attack | wafv3_event_webscan | CRITICAL | Mekanisme yang sama seperti di atas. |
| Exceed | xray_wafv3_event_qps_exceed | — | Dipicu ketika batas QPS edisi WAF Anda terlampaui. Untuk batas edisi, lihat Edisi. |
| Exceed | xray_wafv3_event_cost_protection | — | Dipicu ketika ambang batas perlindungan penagihan traffic terlampaui. |
| Event | wafv3_event_apisec | — | Dipicu ketika modul keamanan API mendeteksi event berisiko tinggi atau high-risk. |
Metrik yang dapat dipantau
Metrik berikut tersedia untuk aturan peringatan berbasis ambang batas. Semua metrik diterapkan pada dimensi objek yang dilindungi.
Objek yang dilindungi yang ditambahkan secara manual di WAF tidak mendukung metrik terkait traffic berikut: 4XX_ratio_v3, 5XX_ratio_v3, qps_v3, qps_ratio_v3, dan qps_ratio_down_v3.
| Metrik | Deskripsi | Unit/format |
|---|---|---|
| 4XX_ratio_v3 | Proporsi respons HTTP 4xx per menit. Respons HTTP 405 dikecualikan. | Desimal (misalnya, 0,05 = 5%) |
| 5XX_ratio_v3 | Proporsi respons HTTP 5xx per menit. | Desimal |
| acl_blocks_5m_v3 | Jumlah permintaan yang diblokir oleh aturan kontrol akses dalam 5 menit sebelumnya. | Hitungan |
| acl_rate_5m_v3 | Proporsi permintaan yang diblokir oleh aturan kontrol akses dalam 5 menit sebelumnya. | Desimal |
| cc_blocks_5m_v3 | Jumlah permintaan yang diblokir oleh aturan proteksi serangan flood HTTP dalam 5 menit sebelumnya. | Jumlah |
| cc_rate_5m_v3 | Proporsi permintaan yang diblokir oleh aturan proteksi serangan flood HTTP dalam 5 menit sebelumnya. | Desimal |
| waf_blocks_5m_v3 | Jumlah permintaan yang diblokir oleh aturan pencegahan serangan aplikasi web dalam 5 menit sebelumnya. | Hitungan |
| waf_rate_5m_v3 | Proporsi permintaan yang diblokir oleh aturan pencegahan serangan aplikasi web dalam 5 menit sebelumnya. | Desimal |
| QPS_V3 | Queries per second (QPS). | Jumlah |
| qps_ratio_v3 | Laju pertumbuhan QPS per menit. | Persentase |
| qps_ratio_down_v3 | Laju penurunan QPS per menit. | Persentase |
Langkah berikutnya
Untuk mendorong peringatan keamanan API berisiko rendah dan menengah (CloudMonitor hanya mencakup peringatan berisiko tinggi), lihat Praktik terbaik untuk mendorong peringatan keamanan API.