Web Application Firewall:CloudMonitor 通知の設定

前提条件

開始する前に、以下を確認してください。

• WAF に Web サイトが追加されていること。詳細については、「チュートリアル」をご参照ください。

アラート連絡先とアラートグループの作成

アラート連絡先は通知を受け取る担当者です。連絡先を連絡先グループに編成し、アラートルールを作成する際にグループを割り当てます。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションウィンドウで、アラート ＞ アラート連絡先 を選択します。

3. アラート連絡先を作成します。

   1. 「アラート連絡先」タブで、「アラート連絡先の作成」をクリックします。

   2. [アラート連絡先の設定] パネルで、連絡先の名前、メールアドレス、および Webhook URL を入力します。 [アラート通知の言語] は、デフォルト値の [自動] のままにします。

      説明

      [自動] は、CloudMonitor が Alibaba Cloud アカウントの作成に使用された言語に基づいて通知言語を選択することを意味します。

   3. [OK] をクリックします。

4. アラートグループを作成します。

   1. [アラート連絡先グループ] タブで、[アラート連絡先グループの作成] をクリックします。

   2. 「アラート連絡先グループの作成」パネルで、グループ名を入力し、含める連絡先を選択してから、「確認」をクリックします。

5. (オプション) 連絡先を一括でグループに追加します。

   1. [アラート連絡先] タブで、追加する連絡先を選択し、[連絡先グループに追加] をクリックします。

   2. [連絡先グループに追加] ダイアログボックスで、対象のグループを選択し、[確認] をクリックします。

攻撃イベントのモニタリングとアラートの設定

WAF が特定の攻撃イベントを検出したときに通知を受信するため、イベントがトリガーされるアラートルールを設定します。アラートを受信した場合は、CloudMonitor コンソールの [イベント監視] タブに移動して、最近のイベントを表示し、攻撃を特定します。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[イベントセンター] > [システムイベント] を選択します。

3. [イベントモニタリング] タブで、右上隅にある [古いイベントアラートルール] をクリックし、次に [アラートルールの作成] をクリックします。

4. [イベントトリガーのアラートルールの作成/変更] パネルでパラメーターを設定し、[OK] をクリックします。

   パラメーター	説明
   アラートルール名	イベントトリガーのアラートルールの名前。
   製品タイプ	クラウドサービス。 [Web Application Firewall (WAF)] を選択します。
   イベントタイプ	モニターするイベントのカテゴリ。 有効な値：攻撃、超過、イベント。
   イベントレベル	アラートをトリガーする重大度レベル。 すべての WAF イベントは「緊急」に分類されます。
   イベント名	モニターする特定のイベント。 v3 を含むイベント名は WAF 3.0 イベントです。 それ以外のイベントはすべて WAF 2.0 イベントです。 WAF 2.0 イベントの完全なリストについては、「CloudMonitor でモニターできる攻撃イベント」をご参照ください。
   キーワードフィルタリング	アラートを送信する前に、キーワードでイベントをフィルターします。 いずれかのキーワードを含む：イベントがキーワードに一致する場合にアラートを抑制します。 いずれのキーワードも含まない：イベントがキーワードに一致しない場合にアラートを抑制します。
   SQL フィルター	追加のフィルタリングに使用される SQL ステートメント。
   リソース範囲	このルールがカバーするリソース。 有効な値：すべてのリソース、アプリケーショングループ。
   アラート連絡先グループ	アラート通知を受信する連絡先グループ。
   通知方法	通知の重大度レベルと配信チャネル。 有効な値：緊急 (電話 + SMS メッセージ + メール + Webhook)、警告 (SMS メッセージ + メール + Webhook)、情報 (メール + Webhook)。
   SMQ	アラート配信を受信する Simple Message Queue (SMQ、旧 MNS) キュー。
   Function Compute	アラート配信を受信する Function Compute 関数。
   URL コールバック	パブリックアクセス可能な HTTP URL。 CloudMonitor は、この URL にアラート通知をプッシュするために HTTP POST リクエストを送信します。 HTTP のみがサポートされています。 設定手順については、「システムイベントトリガーのアラート (旧バージョン) のコールバック設定」をご参照ください。
   Simple Log Service	アラート配信を受信する SLS Logstore。
   サイレント期間	CloudMonitor が、解消されていないアラートを再送信するまでの待機時間。 有効な値：5 分、15 分、30 分、60 分、3 時間、6 時間、12 時間、24 時間。

ルールが保存されると、WAF が設定された攻撃イベントを検出するたびに、指定されたグループの連絡先が通知を受信します。

最近の攻撃イベントを表示するには、[イベント監視] タブで、[すべての製品] ドロップダウンリストから Web Application Firewall (WAF) を選択し、[イベント名の選択] ドロップダウンリストから v3 を含まないイベント名を選択して、[検索] をクリックします。

サービスメトリックのモニタリングとアラートの設定

しきい値ベースのアラートルールを設定して、定義した値を超過した場合に WAF サービスのメトリックに関する通知を受信できるようにします。アラートを受信した場合は、[アラートルール] ページで、どのメトリックがこのルールをトリガーしたかを確認してください。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションウィンドウで、アラート ＞ アラートルール を選択します。

3. [アラートルール] ページで、[アラートルールの作成] をクリックします。

4. 「[アラートルールの作成]」パネルで、パラメーターを設定し、「[確認]」をクリックします。

   パラメーター	説明
   製品	ドロップダウンリストから Web Application Firewall (WAF) を選択します。
   リソース範囲	このルールが対象とするリソースです。有効な値： すべてのリソース（すべての WAF リソース）、アプリケーショングループ（指定されたアプリケーショングループ内のすべてのリソース）、インスタンス（特定の WAF リソース）。
   ルールの説明	アラート条件です。ルールの追加 をクリックし、ルールの構成設定 パネルでアラートルール、メトリクスタイプ、メトリック、しきい値、およびアラートレベルを設定します。利用可能なサービスメトリックの一覧については、「CloudMonitor で監視可能なサービスメトリック」をご参照ください。
   ミュート期間	CloudMonitor がアクティブなアラートを再送信するまで待機する時間です。有効な値：5 分、15 分、30 分、60 分、3 時間、6 時間、12 時間、24 時間。ミュート期間内に再度アラート条件が満たされた場合、CloudMonitor は重複通知を抑制します。
   有効期間	CloudMonitor がリソースを監視し、アラートを生成するタイムウィンドウです。
   アラート連絡先グループ	アラート通知を受信する連絡先グループです。
   アラートコールバック	公開アクセス可能な HTTP URL です。CloudMonitor は、HTTP POST リクエストを送信してアラート通知をこの URL にプッシュします。HTTP のみがサポートされます。設定手順については、「しきい値トリガー型アラートの通知をアラートコールバック機能で送信する」をご参照ください。詳細設定 をクリックして、このパラメーターを設定します。
   Auto Scaling	有効化すると、アラート発生時に指定されたスケーリングルールがトリガーされます。リージョン、ESS グループ、ESS ルール を設定します。詳細については、「スケーリンググループの管理」および「スケーリングルールの設定」をご参照ください。詳細設定 をクリックして、このパラメーターを設定します。
   Simple Log Service	有効化すると、アラートデータが指定された Simple Log Service (SLS) Logstore に書き込まれます。リージョン、ProjectName、Logstore を設定します。詳細については、「はじめに」をご参照ください。詳細設定 をクリックして、このパラメーターを設定します。
   Simple Message Queue (旧称：MNS) - Topic	有効化すると、アラートデータが指定された MNS トピックに書き込まれます。リージョン および topicName を設定します。詳細については、「トピックの作成」をご参照ください。詳細設定 をクリックして、このパラメーターを設定します。
   モニタリングデータが取得できない場合のアラート処理方法	データが利用できない場合のアラート状態の処理方法です。有効な値： 何もしない（デフォルト）、アラート通知を送信する、正常とみなす。詳細設定 をクリックして、このパラメーターを設定します。
   タグ	アラートルールにアタッチされる名前・値のペアのタグです。

ルールを保存した後、[アラートルール] ページで該当のルールを検索します。その際、[製品] のドロップダウンリストから「Web Application Firewall (WAF)」を選択し、[メトリック] のドロップダウンリストからメトリック ディメンションを選択します。

カスタムメトリックのモニタリングとアラートの設定

Simple Log Service を使用して、カスタムメトリックのモニタリングとアラートを設定します。詳細については、「概要」をご参照ください。

CloudMonitor で監視可能な攻撃イベント

CloudMonitor は、WAF に追加されたドメイン名に対する Web 攻撃、HTTP フラッド攻撃、スキャン攻撃、およびアクセスの制御イベントを監視できます。すべての WAF イベントは、重大度レベルが CRITICAL です。

CloudMonitor で監視可能なサービスメトリック

CloudMonitor は、WAF に追加されたドメイン名の WAF サービスメトリックを監視できます。すべてのメトリックには ドメイン名 ディメンションがあります。