Web Application Firewall:Configurar notificações do CloudMonitor

Pré-requisitos

Antes de começar, verifique se você tem:

• Um site adicionado ao WAF. Para mais informações, consulte Tutorial

Crie um contato de alerta e um grupo de contatos de alerta

Contatos de alerta são as pessoas que recebem as notificações. Organize-os em grupos de contatos e atribua um grupo ao crie qualquer regra de alerta.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Contacts.

3. Crie um contato de alerta.

   1. Na aba Alert Contacts, clique em Create Alert Contact.

   2. No painel Set Alert Contact, insira o nome, o endereço de e-mail e a URL do webhook do contato. Mantenha Language of Alert Notifications com o valor padrão Automatic.

      Nota

      Automatic significa que o CloudMonitor selecione o idioma da notificação com base no idioma usado na criação da sua conta Alibaba Cloud.

   3. Clique em OK.

4. Crie um grupo de contatos de alerta.

   1. Na aba Alert Contact Group, clique em Create Alert Contact Group.

   2. No painel Create Alert Contact Group, insira um nome para o grupo, selecione os contatos a serem incluídos e clique em Confirm.

5. (Opcional) Adicione contatos a um grupo em massa.

   1. Na aba Alert Contacts, selecione os contatos desejados e clique em Add to Contact Group.

   2. Na caixa de diálogo Add to Contact Group, selecione o grupo de destino e clique em Confirm.

Configure monitoramento e alertas para eventos de ataque

Defina regras de alerta acionadas por eventos para receber notificações quando o WAF detectar eventos de ataque específicos. Ao receber um alerta, acesse a aba Event Monitoring no console do CloudMonitor para visualize eventos recentes e identificar o ataque.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Event Center > System Event.

3. Na aba Event Monitoring, clique em Old Event Alarm Rules no canto superior direito e, em seguida, clique em Create Alert Rule.

4. No painel Create/Modify Event-triggered Alert Rule, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Alert Rule Name	Nome da regra de alerta acionada por evento.
   Product Type	Serviço de nuvem. Selecione Web Application Firewall (WAF).
   Event Type	Categoria de evento a ser monitorada. Valores válidos: Attack, Exceed e Event.
   Event Level	Nível de severidade que aciona os alertas. Todos os eventos do WAF são classificados como CRITICAL.
   Event Name	Evento específico a ser monitorado. Nomes de eventos que contêm v3 referem-se ao WAF 3.0. Todos os demais são eventos do WAF 2.0. Para a lista completa de eventos do WAF 2.0, consulte Eventos de ataque monitoráveis pelo CloudMonitor.
   Keyword Filtering	Filtra eventos por palavra-chave antes de enviar alertas. Contains any of the keywords: suprime alertas quando o evento corresponde a uma palavra-chave. Does not contain any of the keywords: suprime alertas quando o evento não corresponde a nenhuma palavra-chave.
   SQL Filter	Instruções SQL usadas para filtragem adicional.
   Resource Range	Recursos abrangidos por esta regra. Valores válidos: All Resources e Application Groups.
   Alert Contact Group	Grupos de contatos que recebem as notificações de alerta.
   Notification Method	Nível de severidade e canais de entrega das notificações. Valores válidos: Critical (Phone Call + SMS Message + Email + Webhook), Warning (SMS Message + Email + Webhook), Info (Email + Webhook).
   SMQ	Fila do Simple Message Queue (SMQ, anteriormente MNS) para receber entregas de alertas.
   Function Compute	Função do Function Compute para receber entregas de alertas.
   URL Callback	URL HTTP acessível publicamente. O CloudMonitor envia requisições HTTP POST para enviar notificações de alerta para esta URL. Apenas HTTP é suportado. Para etapas de configuração, consulte Configure callbacks para alertas acionados por eventos de sistema (antigo).
   Simple Log Service	Logstore do SLS para receber entregas de alertas.
   Mute Period	Tempo de espera do CloudMonitor antes de reenviar um alerta não resolvido. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours e 24 Hours.

Após salvar a regra, os contatos nos grupos especificados recebem notificações sempre que o WAF detectar os eventos de ataque configurados.

Para visualize eventos de ataque recentes, na aba Event Monitoring, selecione Web Application Firewall (WAF) na lista suspensa All Products, escolha um nome de evento que não contenha v3 na lista suspensa Select Event Name e clique em Search.

Configure monitoramento e alertas para métricas de serviço

Estabeleça regras de alerta baseadas em limiares para receber notificações quando uma métrica de serviço do WAF ultrapassar um valor definido. Ao receber um alerta, verifique a página Alert Rules para identificar qual métrica acionou a regra.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Rules.

3. Na página Alert Rules, clique em Create Alert Rule.

4. No painel Create Alert Rule, configure os parâmetros e clique em Confirm.

   Parâmetro	Descrição
   Product	Selecione Web Application Firewall (WAF) na lista suspensa.
   Resource Range	Recursos abrangidos por esta regra. Valores válidos: All Resources (todos os recursos do WAF), Application Groups (todos os recursos em um grupo de aplicativos especificado), Instances (recursos específicos do WAF).
   Rule Description	Condição do alerta. Clique em Add Rule e, no painel Config Rule Description, configure a regra de alerta, tipo de métrica, métrica, limiar e nível de alerta. Para a lista de métricas de serviço disponíveis, consulte Métricas de serviço monitoráveis pelo CloudMonitor.
   Mute Period	Tempo de espera do CloudMonitor antes de reenviar um alerta ativo. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours e 24 Hours. Se a condição de alerta for atendida novamente dentro do período de silêncio, o CloudMonitor suprime a notificação duplicada.
   Effective Period	Janela de tempo durante a qual o CloudMonitor monitora os recursos e gera alertas.
   Alert Contact Group	Grupos de contatos que recebem as notificações de alerta.
   Alert Callback	URL HTTP acessível publicamente. O CloudMonitor envia requisições HTTP POST para enviar notificações de alerta para esta URL. Apenas HTTP é suportado. Para etapas de configuração, consulte Usar o recurso de callback de alerta para enviar notificações sobre alertas acionados por limiar. Clique em Advanced Settings para configure este parâmetro.
   Auto Scaling	Quando ativado, aciona a regra de dimensionamento especificada ao disparar um alerta. Configure Region, ESS Group e ESS Rule. Para detalhes, consulte Gerencie grupos de dimensionamento e Configure regras de dimensionamento. Clique em Advanced Settings para configure este parâmetro.
   Simple Log Service	Quando ativado, grava dados de alerta em um Logstore do SLS especificado. Configure Region, ProjectName e Logstore. Para detalhes, consulte Introdução. Clique em Advanced Settings para configure este parâmetro.
   Simple Message Queue (formerly MNS) - Topic	Quando ativado, grava dados de alerta em um tópico MNS especificado. Configure Region e topicName. Para detalhes, consulte Crie um tópico. Clique em Advanced Settings para configure este parâmetro.
   Method to handle alerts when no monitoring data is found	Como tratar o estado do alerta quando os dados estão indisponíveis. Valores válidos: Do not do anything (padrão), Send alert notifications, Treated as normal. Clique em Advanced Settings para configure este parâmetro.
   Tag	Tag de nome-valor anexada à regra de alerta.

Após salvar a regra, localize-a na página Alert Rules selecionando Web Application Firewall (WAF) na lista suspensa Product e escolhendo uma dimensão de métrica na lista suspensa Metric.

Configure monitoramento e alertas para métricas personalizadas

Utilize o Simple Log Service para configure o monitoramento e os alertas de métricas personalizadas. Para mais informações, consulte Visão geral.

Eventos de ataque monitoráveis pelo CloudMonitor

O CloudMonitor pode monitorar ataques web, ataques de flood HTTP, ataques de varredura e eventos de controle de acesso em nomes de domínio adicionados ao WAF. Todos os eventos do WAF possuem nível de severidade CRITICAL.

Métricas de serviço monitoráveis pelo CloudMonitor

O CloudMonitor pode monitorar métricas de serviço do WAF para nomes de domínio adicionados ao WAF. Todas as métricas possuem a dimensão nome de domínio.