Relatório de segurança do WAF - Web Application Firewall: Central de Documentação do Alibaba Cloud

O relatório de segurança do Web Application Firewall (WAF) fornece registros de proteção de cada módulo do WAF. Use este relatório para revisar os registros dos módulos Web Security, Bot Management e Access Control/Throttling referentes aos domínios adicionados ao WAF e obter insights para a análise de segurança do seu negócio.

Pré-requisitos

Seu site deve estar adicionado ao WAF. Para mais informações, consulte Tutorials.
A proteção do WAF deve estar ativada.

Ao adicionar um domínio ao WAF, os módulos Protection Rules Engine e HTTP Flood Protection são ativados por padrão. Ative manualmente os demais módulos conforme necessário. Para mais informações, consulte Overview.

Relatórios de segurança

As instâncias do WAF utilizam planos de controle diferentes conforme a região. Instâncias na China continental são gerenciadas pelo plano de controle na região China (Hangzhou). Já as instâncias fora da China continental são gerenciadas pelo plano de controle na região Singapore.

A página de relatórios de segurança oferece uma visualização centralizada das estatísticas de proteção e informações de log para todos os seus recursos protegidos. Os gráficos e dados exibidos baseiam-se no plano de controle correspondente à região da sua instância do WAF.

Faça login no console do Web Application Firewall (WAF). Na barra de menus superior, selecione o grupo de recursos e a região da sua instância do WAF: Chinese Mainland ou Outside Chinese Mainland.
No painel de navegação à esquerda, escolha Security Operations > Security Reports.
Na página Security Reports, selecione uma aba para visualizar o relatório correspondente: Web Security, Bot Management ou Access Control/Throttling.
Para mais detalhes sobre cada relatório, consulte as seções a seguir:

Relatório de segurança web

O relatório de Web Security exibe registros de proteção dos módulos Web Intrusion Prevention, Data Leakage Prevention, Account Security e Positive Security Model. Clique em uma aba para alternar entre os relatórios.

Web Intrusion Prevention: Exibe todos os ataques a aplicações web bloqueados pelo WAF. Este relatório contém duas seções: gráficos de análise de ataque na parte superior e registros de eventos de ataque na parte inferior.
- Os gráficos de análise de ataque incluem Attack Type Distribution, Top 5 Attack IP Addresses e Top 5 Attack Regions.
  
  Acima dos gráficos, especifique um domínio e um intervalo de tempo para filtrar os dados.
- Os registros de eventos de ataque fornecem informações detalhadas sobre ataques web, incluindo Attacker IP Address, Region, Attack Time, Attack Type, Attack URL, Request Method, Request Parameter, Action, Rule ID e Attack Probability.
  
  Acima da tabela de registros de eventos de ataque, filtre os registros usando campos como Protection Module, Attack Type, Attack IP, Rule ID e Rule Action.
  Você pode executar as seguintes operações nos registros de eventos de ataque:
  - Clique em View Details na coluna Actions de um registro de evento de ataque para visualizar os Attack Details.
  - Caso identifique que uma solicitação bloqueada é um falso positivo e deseje evitar que o WAF bloqueie solicitações semelhantes, clique em Ignore False Positives na coluna Actions.
    
    O WAF ignorará as verificações das regras de sistema correspondentes para solicitações similares. Na caixa de diálogo Create Rule exibida, defina um Rule Name para a regra gerada automaticamente e clique em Save.
    
    Nota
    Em casos raros, uma solicitação pode ser bloqueada por acionar múltiplas regras de proteção. Uma regra de lista de permissões gerada pela operação Ignore False Positives ignora apenas uma das regras de proteção acionadas. Nessa situação, modifique manualmente o parâmetro IDs of Specific Rules na regra de lista de permissões para adicionar os IDs das outras regras que você deseja ignorar.
    
    Após a criação, a regra é ativada automaticamente. Consulte, edite e exclua regras existentes na página Web Intrusion Prevention - Whitelist. Para mais informações, consulte Configure a whitelist for web intrusion prevention.
Para mais informações sobre como configurar o Web Intrusion Prevention, consulte Configure the Protection Rules Engine.
Data Leakage Prevention: Exibe registros de solicitações web que acionam regras de Data Leakage Prevention. Os registros incluem Attacker IP Address, Region, Attack Time, Attack URL, Request Method, Request Parameter, Action, Rule ID e Attack Probability. Especifique um domínio e um intervalo de tempo para filtrar os dados.

Clique em View Details na coluna Actions de um registro para visualizar os Attack Details.

Para mais informações sobre como configurar o Data Leakage Prevention, consulte Configure data leakage prevention.
Account Security: Exibe registros de eventos de risco para endpoints protegidos configurados no Account Security. As informações incluem Domain Name, Endpoint, Time Frame of Malicious Requests, Blocked Requests/Total e Alert Cause. Filtre os registros por domínio, endpoint e intervalo de tempo.

Para mais informações sobre como configurar o Account Security, consulte Configure account security.
Positive Security Model: Exibe registros de ataques a aplicações web que acionam regras de proteção geradas automaticamente pelo Positive Security Model. Os registros incluem Attacker IP Address, Region, Attack Time, Attack URL, Request Method, Action, Rule ID e Attack Probability. Especifique um domínio e um intervalo de tempo para filtrar os dados.

Clique em View Details na coluna Actions de um registro para visualizar os Attack Details.

Para mais informações sobre como configurar o Positive Security Model, consulte Configure the positive security model.

Relatório de gerenciamento de bots

O relatório de Bot Management mostra dados de monitoramento de solicitações de crawlers e o desempenho das regras anti-bot do seu site. Selecione um domínio na lista de domínios protegidos no canto superior esquerdo e especifique um intervalo de tempo para visualizar os dados de proteção. O WAF fornece um relatório separado de desempenho de proteção para cada regra anti-bot baseada em cenário configurada.

O relatório de Bot Management divide-se em duas seções: Overview of Protection Effects e Scenario-specific Protection Effect. A seção Overview of Protection Effects exibe gráficos de tendência para o número total de solicitações, o número de solicitações de bot identificadas e o número de solicitações de bot que acionaram diferentes regras de proteção.
Bot Requests: Número total de solicitações geradas por máquina identificadas por meio de análise de tráfego multidimensional. Essa métrica ajuda a avaliar a eficácia das suas regras anti-bot. Se o número de solicitações bloqueadas for muito menor que o número de solicitações de bot identificadas, suas regras podem precisar de otimização. Se os números forem próximos, a proteção está tendo um bom desempenho.
Requests Detected in Monitoring Mode: Quantidade de solicitações que corresponderam a uma regra anti-bot no modo Monitor. Se você alterar o modo para Block, essas solicitações serão bloqueadas ou desafiadas, por exemplo, com um CAPTCHA deslizante.
Blocked Requests: Total de solicitações que corresponderam a uma regra anti-bot com a ação definida como Block.

Para mais informações sobre como configurar o Bot Management, consulte os seguintes tópicos:

Relatório de Access Control/Throttling

O relatório de Access Control/Throttling exibe registros de solicitações web que acionaram regras de HTTP Flood Protection, Scan Protection e Access Control. Especifique um domínio e um intervalo de tempo para pesquisar dados correspondentes. Para registros de interesse, consulte também os logs relacionados com um único clique.

HTTP Flood Protection: Exibe tendências de proteção contra flood HTTP. Inclui gráficos de tendência para Total QPS, Alert Rule of Custom HTTP Flood Protection, Block Rule of Custom HTTP Flood Protection e Block Rule of Default HTTP Flood Protection, além do No. of matches para diferentes Rule Type, como Alert Rule of Custom HTTP Flood Protection, Block Rule of Custom HTTP Flood Protection e Block Rule of Default HTTP Flood Protection.

Clique no Rule Type de um No. of matches. Você será redirecionado para a página Log Service, onde uma instrução de consulta de log relacionada ao módulo HTTP Flood Protection é inserida automaticamente para ajudar na consulta dos logs relevantes. Para mais informações, consulte Log Query. Na página Log Query do WAF, em waf-logstore, use a instrução de consulta matched_host:"domain_name" and block_action: tmd para filtrar logs de bloqueio do HTTP Flood Protection, onde block_action: tmd é a condição de filtro para bloqueios de HTTP Flood Protection.

Para mais informações sobre como configurar a proteção contra flood HTTP, consulte Configure HTTP flood protection.

Para mais informações sobre como configurar regras personalizadas de proteção contra flood HTTP, consulte Create a custom protection policy.
Scan Protection: Exibe tendências de proteção contra varredura. Inclui gráficos de tendência para Total QPS, Directory Traversal Prevention, Collaborative Protection, High-frequency Web Attack Blocking e Scanner Blocking, além do No. of matches para diferentes Rule Type, como Directory Traversal Prevention, Collaborative Protection, High-frequency Web Attack Blocking e Scanner Blocking.

Clique no No. of matches de um Rule Type para acessar a página Log Service. Uma instrução de consulta para logs relacionados ao módulo Scan Protection é preenchida automaticamente, permitindo que você consulte os logs. Para mais informações, consulte Query logs. Na página Query Logs do WAF, no logstore chamado waf-logstore, adicione a condição block_action: antiscan à sua consulta para filtrar logs de solicitações bloqueadas pela proteção contra varredura.

Para mais informações sobre como configurar a proteção contra varredura, consulte Configure scan protection.
Access Control: Exibe tendências de controle de acesso. Inclui gráficos de tendência para Total QPS, proteção por Alert Rules of ACL, Block Rules of ACL e Blacklist, além de um registro de contagens de correspondência para regras personalizadas.

Clique no Rule ID de uma regra personalizada para abrir a caixa de diálogo Modify Rule, onde é possível visualizar e modificar sua configuração. Para mais informações, consulte Parameters for custom rules.

Clique no No. of matches de uma regra personalizada. Você será redirecionado para a página Log Service, e uma instrução de consulta de log relacionada ao módulo Access Control é inserida automaticamente para ajudar na consulta adicional dos logs relacionados. Para mais informações, consulte Log Query. Na página Log Query do WAF, no waf-logstore, use a instrução de consulta matched_host:"domain_name" and block_action: acl para filtrar logs de bloqueio de controle de acesso, onde block_action: acl é a condição principal para filtrar registros de bloqueio de ACL.

Para mais informações sobre como configurar regras de controle de acesso, consulte Create a custom protection policy.

Para mais informações sobre como configurar uma lista de bloqueios de endereços IP, consulte Configure an IP address blacklist.