Web Application Firewall:Configure CloudMonitor notifications

Pré-requisitos

Antes de começar, verifique se você possui:

• Um site adicionado ao WAF. Para mais informações, consulte Tutorial

Criar um contato e um grupo de contatos

Os contatos de alerta são as pessoas que recebem as notificações. Organize-os em grupos de contatos e atribua um grupo ao criar qualquer regra de alerta.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Contacts.

3. Crie um contato.

   1. Na aba Alert Contacts, clique em Create Alert Contact.

   2. No painel Set Alert Contact, insira o nome, o endereço de e-mail e a URL do webhook do contato. Mantenha Language of Alert Notifications com o valor padrão Automatic.

      Nota

      Automatic significa que o CloudMonitor seleciona o idioma da notificação com base no idioma usado na criação da sua conta Alibaba Cloud.

   3. Clique em Confirm.

4. Crie um grupo de contatos.

   1. Na aba Alert Contact Group, clique em Create Alert Contact Group.

   2. No painel Create Alert Contact Group, insira um nome para o grupo, selecione os contatos a serem incluídos e clique em Confirm.

5. (Opcional) Adicione contatos a um grupo em massa.

   1. Na aba Alert Contacts, selecione os contatos desejados e clique em Add to Contact Group.

   2. Na caixa de diálogo Confirm, selecione o grupo de destino e clique em OK.

Configurar monitoramento e alertas para eventos de ataque

Defina regras de alerta acionadas por eventos para receber notificações quando o WAF detectar eventos de ataque específicos. Ao receber um alerta, acesse a aba Event Monitoring no console do CloudMonitor para visualizar eventos recentes e identificar o ataque.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Event Center > System Events.

3. Na aba Event Monitoring, clique em Old Event Alarm Rules no canto superior direito e, em seguida, clique em Create Alert Rule.

4. No painel Create/Modify Event-triggered Alert Rule, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Alert Rule Name	Nome da regra de alerta acionada por evento.
   Product	Serviço de cloud. Selecione WAF.
   Event Type	Categoria do evento a ser monitorado. Valores válidos: Attack, Exceed e Event.
   Event Level	Nível de severidade que aciona os alertas. Todos os eventos do WAF são classificados como CRITICAL.
   Event name	Evento específico a ser monitorado. Nomes de eventos que contêm v3 referem-se ao WAF 3.0. Todos os demais são eventos do WAF 2.0. Para a lista completa de eventos do WAF 2.0, consulte Eventos de ataque monitoráveis pelo CloudMonitor.
   Keyword Filtering	Filtra eventos por palavra-chave antes de enviar alertas. Contains any of the keywords: suprime alertas quando o evento corresponde a uma palavra-chave. Does not contain any of the keywords: suprime alertas quando o evento não corresponde a nenhuma palavra-chave.
   SQL Filter	Instruções SQL usadas para filtragem adicional.
   Resource Scope	Recursos abrangidos por esta regra. Valores válidos: All Resources e Application Groups.
   Contact Group	Grupos de contatos que recebem as notificações de alerta.
   Notification method	Nível de severidade e canais de entrega das notificações. Valores válidos: Critical (Phone Call + SMS Message + Email + Webhook), Warning (SMS Message + Email + Webhook), Info (Email + Webhook).
   Simple Message Queue (formerly MNS)（SMQ） - Queue	Fila do Simple Message Queue (SMQ, anteriormente MNS) para receber entregas de alertas.
   Function Compute	Função do Function Compute para receber entregas de alertas.
   URL Callback	URL HTTP acessível publicamente. O CloudMonitor envia requisições HTTP POST para entregar notificações de alerta nesta URL. Apenas HTTP é suportado. Para etapas de configuração, consulte Configure callbacks for system event-triggered alerts (old).
   Simple Log Service	Logstore do SLS para receber entregas de alertas.
   Mute Period	Tempo de espera do CloudMonitor antes de reenviar um alerta não resolvido. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours e 24 Hours.

Após salvar a regra, os contatos nos grupos especificados recebem notificações sempre que o WAF detectar os eventos de ataque configurados.

Para visualizar eventos de ataque recentes, na aba Event Monitoring, selecione WAF na lista suspensa All Products, escolha um nome de evento que não contenha v3 na lista suspensa Select Event Name e clique em Search.

Configurar monitoramento e alertas para métricas de service

Estabeleça regras de alerta baseadas em limiares para receber notificações quando uma métrica de service do WAF ultrapassar um valor definido. Ao receber um alerta, verifique a página Alert Rules para identificar qual métrica acionou a regra.

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Rules.

3. Na página Alert Rules, clique em Create Alert Rule.

4. No painel Create Alert Rule, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   Product	Selecione WAF na lista suspensa.
   Resource Scope	Recursos abrangidos por esta regra. Valores válidos: All Resources (todos os recursos do WAF), Application Groups (todos os recursos em um grupo de aplicativos especificado), Instances (recursos específicos do WAF).
   Rule Description	Condição do alerta. Clique em Add Rule e, no painel Add Rule Description, configure a regra de alerta, tipo de métrica, métrica, limiar e nível de alerta. Para a lista de métricas de service disponíveis, consulte Métricas de service monitoráveis pelo CloudMonitor.
   Mute Period	Tempo de espera do CloudMonitor antes de reenviar um alerta ativo. Valores válidos: 5 Minutes, 15 Minutes, 30 Minutes, 60 Minutes, 3 Hours, 6 Hours, 12 Hours e 24 Hours. Se a condição de alerta for atendida novamente dentro do período de silêncio, o CloudMonitor suprime a notificação duplicada.
   Effective Period	Janela de tempo durante a qual o CloudMonitor monitora os recursos e gera alertas.
   Alert Contact Group	Grupos de contatos que recebem as notificações de alerta.
   Alert Callback	URL HTTP acessível publicamente. O CloudMonitor envia requisições HTTP POST para entregar notificações de alerta nesta URL. Apenas HTTP é suportado. Para etapas de configuração, consulte Use the alert callback feature to send notifications about threshold-triggered alerts. Clique em Advanced Settings para configurar este parâmetro.
   Auto Scaling	Quando ativado, aciona a regra de dimensionamento especificada ao disparar um alerta. Configure Region, ESS Group e ESS Rule. Para detalhes, consulte Manage scaling groups e Configure scaling rules. Clique em Advanced Settings para configurar este parâmetro.
   Simple Log Service	Quando ativado, grava dados de alerta em um Logstore do SLS especificado. Configure Region, ProjectName e Logstore. Para detalhes, consulte Getting started. Clique em Advanced Settings para configurar este parâmetro.
   Simple Message Queue (formerly MNS) - Topic	Quando ativado, grava dados de alerta em um tópico MNS especificado. Configure Region e topicName. Para detalhes, consulte Create a topic. Clique em Advanced Settings para configurar este parâmetro.
   NoDataPolicy	Como tratar o status do alerta quando os dados estão indisponíveis. Valores válidos: Do not do anything (padrão), Send alert notifications, Treated as normal. Clique em Advanced Settings para configurar este parâmetro.
   Tag	Tag de nome-valor anexada à regra de alerta.

Após salvar a regra, localize-a na página Alert Rules selecionando Web Application Firewall (WAF) na lista suspensa Application grouping e escolhendo uma dimensão de métrica na lista suspensa Monitoring indicators.

Configurar monitoramento e alertas para métricas personalizadas

Utilize o Simple Log Service para configurar o monitoramento e os alertas de métricas personalizadas. Para mais informações, consulte Overview.

Eventos de ataque monitoráveis pelo CloudMonitor

O CloudMonitor pode monitorar ataques web, ataques de flood HTTP, ataques de varredura e eventos de controle de acesso em nomes de domínio adicionados ao WAF. Todos os eventos do WAF possuem nível de severidade CRITICAL.

Métricas de service monitoráveis pelo CloudMonitor

O CloudMonitor pode monitorar métricas de service do WAF para nomes de domínio adicionados ao WAF. Todas as métricas possuem a dimensão nome de domínio.