Web Application Firewall:CloudMonitor 通知の設定

前提条件

開始する前に、以下を確認してください：

• WAF に Web サイトが追加されていること。詳細については、「チュートリアル」をご参照ください。

連絡先と連絡先グループの作成

アラート連絡先は、通知を受け取る担当者です。連絡先を連絡先グループにまとめ、アラートルールを作成する際にグループを割り当てます。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションペインで、アラームサービス > アラーム送信先 を選択します。

3. 連絡先を作成します。

   1. アラーム送信先 タブで、送信先を作成 をクリックします。

   2. アラーム送信先の設定 パネルで、連絡先の名前、メールアドレス、および Webhook URL を入力します。[アラート通知の言語] は、デフォルト値の 自動 のままにします。

      説明

      [自動] を選択すると、Alibaba Cloud アカウントの作成時に使用した言語に基づいて、CloudMonitor が通知言語を選択します。

   3. OK をクリックします。

4. 連絡先グループを作成します。

   1. 警報接点グループ タブで、送信先グループを作成 をクリックします。

   2. 送信先グループを作成 パネルで、グループ名を入力し、含める連絡先を選択してから OK をクリックします。

5. (オプション) 連絡先を一括でグループに追加します。

   1. アラーム送信先 タブで、追加する連絡先を選択し、送信先をグループに追加 をクリックします。

   2. 確認 ダイアログボックスで、ターゲットグループを選択し、確認 をクリックします。

攻撃イベントの監視とアラートの設定

WAF が特定の攻撃イベントを検出したときに通知を受信するには、イベントトリガーのアラートルールを設定します。アラートを受信したら、CloudMonitor コンソールの イベントモニタリング タブに移動して、最近のイベントを表示し、攻撃を特定します。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションペインで、Event Center > システムイベント を選択します。

3. イベントモニタリング タブで、右上隅にある 古いイベント警報ルール をクリックし、次に アラームルールを作成 をクリックします。

4. イベントトリガーアラートルールの作成/変更 パネルで、パラメーターを設定し、確認 をクリックします。

   パラメータ	説明
   [アラームルール名称]	イベントトリガーのアラートルールの名前です。
   [プロダクトタイプ]	「クラウドサービス」では、 WAF を選択します。
   [イベントタイプ]	監視するイベントのカテゴリです。有効な値：[攻撃]、[超過]、[イベント]。
   [イベントレベル]	アラートをトリガーする重大度です。すべての WAF イベントは [緊急] に分類されます。
   [イベント名]	監視する特定のイベントです。[v3] を含むイベント名は WAF 3.0 のイベントです。その他のイベントは WAF 2.0 のイベントです。WAF 2.0 イベントの完全なリストについては、「CloudMonitor で監視できる攻撃イベント」をご参照ください。
   [キーワードフィルタリング]	アラートを送信する前に、キーワードでイベントをフィルタリングします。[いずれかのキーワードを含む]：イベントにキーワードのいずれかが含まれる場合、アラートを抑制します。[いずれのキーワードも含まない]：指定したいずれかのキーワードがイベントに含まれている場合にのみ、アラートを送信します。
   [SQL フィルター]	追加フィルタリングに使用される SQL ステートメントです。
   [リソーススコープ]	このルールが対象とするリソースです。有効な値：[すべてのリソース]、[アプリケーショングループ]。
   [連絡先グループ]	アラート通知を受信する連絡先グループです。
   [通知方法]	通知の重大度と配信チャネルです。有効な値：[緊急] (電話 + SMS メッセージ + メール + Webhook)、[警告] (SMS メッセージ + メール + Webhook)、[情報] (メール + Webhook)。
   [Simple Massage Queue (旧称 MNS)（SMQ） - キュー]	アラート通知を受信する MNS キューです。
   [関数計算]	アラート通知を受信する Function Compute 関数です。
   [URL callback]	公開アクセス可能な HTTP URL です。CloudMonitor は HTTP POST リクエストを送信して、この URL にアラート通知をプッシュします。HTTP のみサポートされます。設定手順については、「システムイベントトリガーのアラートのコールバックを設定する (旧)」をご参照ください。
   [ログサービス]	アラート通知を受信する SLS Logstore です。
   [チャンネル沈黙サイクル　→ ミュートサイクル]	クリアされていないアラートを再送信する前に CloudMonitor が待機する時間です。有効な値：5分、15分、30分、60分、3時間、6時間、12時間、24時間。

ルールが保存されると、指定されたグループの連絡先は、WAF が設定された攻撃イベントを検出するたびに通知を受け取ります。

最近の攻撃イベントを表示するには、イベントモニタリング タブで、[すべての製品] ドロップダウンリストから WAF を選択し、[イベント名の選択] ドロップダウンリストから v3 を含まないイベント名を選択し、[検索] をクリックします。

サービスメトリクスの監視とアラートの設定

しきい値ベースのアラートルールを設定すると、WAF サービスメトリックが定義した値を超えたときに通知を受け取ることができます。アラートを受信したら、アラームルール ページを確認し、どのメトリックがルールをトリガーしたかを特定します。

1. CloudMonitor コンソールにログインします。

2. 左側のナビゲーションペインで、アラームサービス > アラームルール を選択します。

3. アラームルール ページで、アラームルールを作成 をクリックします。

4. アラームルールを作成 パネルで、パラメーターを設定し、確認 をクリックします。

   パラメータ	説明
   [製品]	ドロップダウンリストからWAFを選択します。
   [リソーススコープ]	このルールが対象とするリソースです。有効な値：[すべてのリソース] (すべての WAF リソース)、[アプリケーショングループ] (指定されたアプリケーショングループ内のすべてのリソース)、[インスタンス] (特定の WAF リソース)。
   [ルールの内容]	アラート条件：ルールの追加 をクリックし、ルールの説明を追加 パネルでアラートルール、メトリックタイプ、メトリック、しきい値、およびアラートレベルを設定します。利用可能なサービスメトリックのリストについては、「CloudMonitor でモニタリング可能なサービスメトリック」をご参照ください。
   [チャンネル沈黙サイクル　→ ミュートサイクル]	アクティブなアラートを再送信する前に CloudMonitor が待機する時間です。有効な値：5分、15分、30分、60分、3時間、6時間、12時間、24時間。ミュート期間内にアラート条件が再び満たされた場合、CloudMonitor は重複した通知を抑制します。
   [有効期間]	CloudMonitor がリソースを監視してアラートを生成する時間枠です。
   [アラーム連絡先グループ]	アラート通知を受信する連絡先グループです。
   [アラームコールバック]	パブリックにアクセス可能な HTTP URL です。CloudMonitor は、この URL に HTTP POST リクエストを送信してアラート通知をプッシュします。HTTP のみがサポートされています。設定手順については、「アラートコールバック機能を使用して、閾値超過アラートに関する通知を送信する」をご参照ください。詳細設定 をクリックして、このパラメーターを設定します。
   [Auto Scaling]	有効にすると、アラートが発生したときに指定されたスケーリングルールがトリガーされます。リージョン、[ESS グループ]、および [ESS ルール] を設定します。詳細については、「スケーリンググループの管理」および「スケーリングルールの設定」をご参照ください。このパラメーターを設定するには、詳細設定 をクリックします。
   [ログサービス]	有効にすると、指定された SLS Logstore にアラートデータが書き込まれます。リージョン、[ProjectName]、および [Logstore] を設定します。詳細については、「開始方法」をご参照ください。このパラメーターは、詳細設定 をクリックして設定します。
   [Simple Massage Queue (旧 MNS)（SMQ） - トピック]	有効にすると、指定された MNS トピックにアラートデータが書き込まれます。リージョン と topicName を設定します。詳細については、「トピックの作成」をご参照ください。このパラメーターを設定するには、詳細設定 をクリックします。
   [データ処理方法なし]	データなしの場合のアラート状態の処理方法。有効な値は、何もしない (デフォルト)、アラート通知を送信、正常として扱う です。詳細設定 をクリックしてこのパラメーターを設定します。
   [タグ]	アラートルールに付加されるキーと値のタグです。

ルールを保存した後、アプリケーションのグループ化 ドロップダウンリストから Web アプリケーションファイアウォール (WAF) を選択し、モニタリング指標 ドロップダウンリストからメトリックディメンションを選択することで、アラームルール ページでルールを見つけることができます。

カスタムメトリクスの監視とアラートの設定

Simple Log Service を使用して、カスタムメトリクスの監視とアラートを設定します。詳細については、「概要」をご参照ください。

CloudMonitor で監視できる攻撃イベント

CloudMonitor は、WAF に追加されたドメイン名に対する Web 攻撃、HTTP フラッド攻撃、スキャン攻撃、およびアクセス制御イベントを監視できます。すべての WAF イベントの重大度は [緊急] です。

CloudMonitor で監視できるサービスメトリクス

CloudMonitor は、WAF に追加されたドメイン名に対する WAF サービスメトリクスを監視できます。すべてのメトリクスには [ドメイン名] ディメンションがあります。