Cloud Firewall:Log Audit

Tipos de log

O recurso Log Audit é compatível com os seguintes tipos de log:

• Flow Logs: Inclui Traffic Logs e Event Logs gerados por todos os firewalls de borda habilitados.

  • Traffic Logs: Registra os detalhes de todo o tráfego de rede que passa pelo cloud Firewall, incluindo endereços IP de source e destino, portas de source e destino, protocolos de transporte e volume de tráfego.

  • Event Logs: Registra possíveis ameaças à segurança ou tráfego anômalo identificado pelo cloud Firewall. Esses logs são categorizados por módulo de proteção, como IPS, Threat Intelligence e TLS Inspection. Cada log traz informações essenciais para rastrear e analisar eventos de segurança, incluindo o horário do ataque, tipo de ameaça, endereços IP de source e destino, tipo de aplicativo, gravidade e a ação executada.

• Proxy Logs: Se um firewall de proxy explícito estiver configurado, este log contém o Outbound Access Log e o Event Log referentes ao tráfego que passa pelo firewall.

  • Outbound Access Log: Registra os detalhes do tráfego de rede que passa pelo firewall de proxy, incluindo a instância de proxy, o ID da solicitação, IDs de source e destino, portas de source e destino, nome de domínio, url e código de status.

  • Event Logs: Registra os possíveis eventos de ameaça à segurança que passam pelo firewall de proxy e acionam as políticas de AI Security Guardrail e TLS Inspection.

• Operation Logs: Registra todas as ações dos usuários no console do cloud Firewall, como alterações na configuração de regras, ajustes nas configurações do sistema e outras intervenções administrativas. Use os logs de operação para auditar o comportamento do usuário e garantir a rastreabilidade das alterações no sistema.

Consultar logs de auditoria

1. acesse o console do cloud Firewall.

2. No painel de navegação à esquerda, escolha Detection & Response > Log Audit.

3. acesse a guia do tipo de log que deseja consultar.

   Flow Logs

   defina as condições de filtro e o intervalo de tempo e clique em Search para visualize os logs. A tabela a seguir descreve alguns dos campos principais.

   Campo	Descrição
   Rule Module/Rule Name/Rule ID	Exibe o nome da política de controle de acesso ou da regra de proteção contra ataques que correspondeu ao tráfego. Um campo vazio indica que o tráfego não correspondeu a nenhuma regra.
   Application Protocol Detection Status	O status de identificação do aplicativo do tráfego ao corresponder a uma política de controle de acesso. Valores válidos: Identified Blocked by Policy TCP Connection Failed Payload Not Received Analyzing Not Identified in Strict Mode Not Identified in Loose Mode Stateless: Indica que o tráfego foi processado sem inspeção profunda de pacotes (DPI).
   Pre-match Access Control Policy Status e Pre-match Access Control Policy	O cloud Firewall compara o tráfego com as políticas de controle de acesso por prioridade. Se o cloud Firewall não conseguir identificar o aplicativo ou o nome de domínio, o campo Pre-match Access Control Policy Status exibirá o status não identificado, e o campo Pre-match Access Control Policy mostrará o nome da política. Valores válidos para Pre-match Access Control Policy Status: Application Unidentified: O cloud Firewall não consegue identificar o aplicativo do tráfego. Domain Name Unidentified: O cloud Firewall não consegue identificar o nome de domínio do tráfego. Normal: O cloud Firewall consegue identificar tanto o aplicativo quanto o nome de domínio do tráfego.
   Actions	Para eventos bloqueados por correção virtual e proteção básica de IPS, clique em Actions na coluna Obtain Attack Sample para gerar uma amostra de ataque dos últimos 7 dias e visualize dados detalhados. O sistema retém a amostra gerada por um mês.

   Proxy Logs

   defina as condições de filtro e o intervalo de tempo e clique em Search para visualize os logs. A tabela a seguir descreve alguns dos campos principais.

   Campo	Descrição
   Account UID/Proxy Instance	O ID da instância do firewall de proxy explícito e o UID da conta Alibaba Cloud proprietária.
   Region	A região de implantação da instância do firewall de proxy explícito.
   Application Name	O tipo de aplicativo que gera o log, como Windows atualize.
   Security Detection Module	O tipo de política correspondente, como Access Control, Threat Intelligence ou AI Security Guardrail.
   Actions	clique em Actions na coluna Details para visualize informações detalhadas de Request e Response.

   Operation Logs

   defina as condições de filtro e o intervalo de tempo e clique em Search para visualize os logs. A tabela a seguir descreve alguns dos campos principais.

   Campo	Descrição
   Risk Level	A gravidade que o sistema atribui ao evento. Se confirme que o evento é uma operação comercial normal, ignore o alerta.
   Operator	A conta de usuário que executou a ação, que pode ser uma conta principal ou um usuário RAM.
   Log Content	A ação específica que o usuário executou.