Web Application Firewall:Configure Cloud Monitor notifications

Pré-requisitos

Adicione seus serviços da web ao WAF na página Onboarding. Para mais informações, consulte Add a domain name.

Criar contatos de alerta e grupos de contatos de alerta

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Contacts.

3. Crie um contato de alerta.

   1. Na guia Alert Contacts, clique em Create Alert Contact.

   2. No painel Set Alert Contact, configure os parâmetros do contato de alerta.

      Parâmetro	Descrição
      Nome	O nome do contato de alerta. Deve ter de 2 a 40 caracteres, começar com uma letra ou um caractere chinês e pode conter caracteres chineses, letras, dígitos, pontos (.) e sublinhados (_).
      Região do serviço de notificação	A região selecionada armazena e processa os dados do serviço de notificação, como nome e endereço de e-mail.
      Celular	Os alertas por SMS são compatíveis apenas com números de celular com o código de país e região +86.
      E-mail	O endereço de e-mail do contato de alerta.
      Descrição	Uma descrição personalizada.
      DingTalk | Lark | WeCom | Slack Webhook (http|https)	Uma URL de webhook personalizada. A URL deve começar com http:// ou https://. Nota Para testar a URL do webhook, clique em Test. O painel Webhook Test exibe o código de status e os resultados do teste para verificar a conectividade. Também é possível definir o Callback Template Type e o Language do webhook e, em seguida, clicar em Test novamente para visualizar os resultados.
      Idioma da notificação de alerta	O valor padrão é Automatic, o que significa que o CloudMonitor define automaticamente o idioma da notificação com base no idioma de registro da sua conta Alibaba Cloud.

   3. Após verificar as informações, clique em Confirm.

4. Crie um grupo de contatos de alerta.

   1. Na guia Alert Contact Group, clique em Add Contact Group.

   2. No painel Add Contact Group, insira um nome para o grupo, selecione os contatos de alerta a serem incluídos e clique em Confirm.

5. Adicione vários contatos de alerta a um grupo de contatos de alerta.

   1. Na guia Alert Contacts, selecione os contatos de alerta a serem adicionados e clique em Add to Contact Group.

   2. Na caixa de diálogo Add to Contact Group, selecione o grupo de contatos de alerta de destino e clique em OK.

   Após a criação dos contatos e grupos, os contatos do grupo especificado receberão as notificações de alerta do WAF. Eles são responsáveis por revisar e tratar esses alertas prontamente.

Configurar o monitoramento de eventos de segurança do WAF

1. No painel de navegação à esquerda, escolha Event Center > Event Subscription.

2. Na guia Subscription Policy, clique em Create Subscription Policy.

3. Na página Create Subscription Policy, configure os seguintes parâmetros.

   Seção	Parâmetro	Descrição
   Basic Info	Name	Nome da política de assinatura.
   	Description	Descrição da política de assinatura.
   Alert Subscription	Subscription Type	Selecione System Events e configure os seguintes parâmetros na seção Subscription Scope. Product: Selecione WAF. Event Type: Valores válidos: Attack, Exceed ou Event. Event name: Na lista suspensa, os eventos sem o sufixo V3 são compatíveis com o WAF 2.0. Os eventos com o sufixo V3 são compatíveis com o WAF 3.0. Event Level: O nível de evento para todos os eventos do WAF 3.0 é CRITICAL. Mantenha os valores padrão para os outros parâmetros. Para mais informações, consulte Manage event subscriptions (Recommended).
   Combined Noise Reduction	Merge Content	Selecione uma dimensão de agregação na seção Subscription Scope do Subscription Type.
   	Noise Reduction	Configure como reduzir a frequência das notificações de alerta: Acionar na condição e depois suprimir: após um alerta ser acionado um número específico de vezes (padrão: 5) dentro de um período definido (padrão: 5 minutos), as notificações são silenciadas no período seguinte (padrão: 5 minutos). Acionar diretamente e depois suprimir: envia uma notificação imediatamente quando um alerta é acionado e, em seguida, silencia as notificações no período seguinte (padrão: 5 minutos). Acionar diretamente, sem supressão (usa a configuração padrão antitempestade do sistema): envia uma notificação imediatamente para cada alerta acionado, sujeito às configurações padrão antitempestade do sistema. Nota A configuração padrão antitempestade é de no máximo 50 e-mails a cada 5 minutos.
   Notification	Upgrade strategy	Selecione uma configuração existente ou clique em Create Notification Configuration para criar uma nova. Em seguida, selecione o grupo de contatos de alerta criado. Name: Nome da configuração de notificação. Notification Settings: Set Notification Group Directly: Selecione diretamente um grupo de notificação de alerta. Set the notification group by severity: Selecione grupos de notificação de alerta com base no nível do alerta: Critical, Warning, Notification (Info) e Resolved.
   	Custom Notification Method	Personalize os métodos de notificação de alerta. Clique em Modify ao lado de um método de notificação para alterar o Notification Template e o Alert Level.
   Push and Integration	Push Channel	Canal para envio de notificações de alerta. Para criar um canal de push: Clique em Create new push. Selecione um canal de push existente ou clique em Add Channel para criar um novo. Para obter informações sobre como definir os parâmetros dos canais de push, consulte Notification push channel parameters.

Visualizar métricas de monitoramento

Após a conexão do WAF 3.0 ao CloudMonitor, o CloudMonitor fornece 38 métricas básicas de monitoramento para o WAF 3.0. Essas métricas incluem QPS, as porcentagens de respostas 4xx e 5xx e o número de ataques web bloqueados. O CloudMonitor Basic suporta dois intervalos de coleta para essas métricas: 1 minuto (60 segundos) e 5 minutos (300 segundos). Não há intervalo de coleta de 15 minutos, e não é necessário ativar o Managed Service for Prometheus para usar o intervalo de 1 minuto.

Para visualizar todas as métricas de monitoramento do WAF 3.0, faça login no console do CloudMonitor. No painel de navegação à esquerda, escolha Cloud Product Monitoring > Security > Web Application Firewall 3.0.

O Managed Service for Prometheus é um serviço de valor agregado que fornece dimensões de métricas e recursos de agregação mais abrangentes. Ele também é compatível com um intervalo de coleta de 1 minuto.

Configurar o monitoramento de métricas do WAF

1. Faça login no console do CloudMonitor.

2. No painel de navegação à esquerda, escolha Alerts > Alert Rules.

3. Na página Alert Rules, clique em Create Alert Rule.

4. No painel Create Alert Rule, configure os seguintes parâmetros e clique em Confirm.

   Parâmetro	Descrição
   Product	Selecione WAF3.0.
   Resource Scope	Os recursos aos quais a regra de alerta se aplica. Valores válidos: All Resources: A regra de alerta se aplica a todos os recursos do WAF 3.0. Application grouping: A regra de alerta se aplica a todos os recursos em um grupo de aplicativos especificado do WAF 3.0. Instance: A regra de alerta se aplica a uma instância especificada do WAF 3.0.
   Rule Description	A condição que aciona um alerta. Para adicionar uma condição: Clique em Add Rule. No painel Configure Rule Description, defina parâmetros como nome da regra, tipo de métrica, métrica, limiar e nível de alerta. Clique em OK. Nota Para mais informações sobre as métricas do WAF 3.0 disponíveis para monitoramento, consulte Supported metrics.
   Mute Period	O período de silêncio após um alerta ser acionado. Valores válidos: 1 minuto, 5 minutos, 15 minutos, 30 minutos, 60 minutos, 3 horas, 6 horas, 12 horas e 24 horas. Quando uma métrica ultrapassa o limiar, o CloudMonitor envia um alerta. Durante o período de silêncio subsequente, nenhum outro alerta é enviado para essa métrica. Se a métrica continuar excedendo o limiar após o fim do período de silêncio, o CloudMonitor envia uma nova notificação.
   Effective Period	Período em que a regra de alerta está ativa. O CloudMonitor avalia a regra e envia alertas apenas durante esse período.
   Alert Contact Group	Selecione o grupo de contatos de alerta que receberá as notificações. Para mais informações, consulte Create alert contacts and alert contact groups.
   Alert Callback	URL publicamente acessível para a qual o CloudMonitor envia informações de alerta por meio de requisições POST. Apenas o protocolo HTTP é compatível. Para mais informações sobre como configurar um callback de alerta, consulte Use alert callbacks for threshold-triggered alerts. Nota Clique em Advanced Settings para configurar este parâmetro.
   Auto Scaling	Se o Auto Scaling estiver ativado, a regra de dimensionamento correspondente será acionada quando ocorrer um alerta. Configure a Region, o ESS Group e a ESS Rule para o Auto Scaling. Para mais informações sobre como criar um grupo de dimensionamento, consulte Manage scaling groups. Para mais informações sobre como criar uma regra de dimensionamento, consulte Manage scaling rules. Nota Clique em Advanced Settings para configurar este parâmetro.
   Simple Log Service	Se a opção Simple Log Service estiver ativada, as informações de alerta serão gravadas em um Logstore no Log Service quando um alerta for acionado. Especifique a Region, o ProjectName e o Logstore para o Log Service. Para mais informações sobre como criar um Project e um Logstore, consulte Collect and analyze ECS text logs by using LoongCollector. Nota Clique em Advanced Settings para configurar este parâmetro.
   Simple Message Queue (formerly MNS) - Topic	Se o Simple Message Queue (formerly MNS) - Topic estiver ativado, as informações de alerta serão gravadas em um tópico no Simple Message Queue (MNS) quando ocorrer um alerta. Defina a região e o tópico para o Simple Message Queue (MNS). Para mais informações sobre como criar um tópico, consulte Create a topic. Nota Clique em Advanced Settings para configurar este parâmetro.
   NoDataPolicy	Especifica como lidar com casos em que não há dados de monitoramento relatados. Valores válidos: Do not do anything (Padrão) Send alert notifications Treat as normal Nota Clique em Advanced Settings para configurar este parâmetro.
   Tag	Tag da regra de alerta, que consiste em um par chave-valor.

   Após a criação da regra, visualize-a na página Alert Rules. Para encontrar a regra, defina Product como WAF3.0 no filtro e, em seguida, selecione a métrica na guia resource em Metric Name.

   Nota

   As métricas do WAF disponíveis para monitoramento são descritas da seguinte forma:

   • As métricas na guia domain são para o WAF 2.0.

   • As métricas na guia resource são para o WAF 3.0. Para mais informações sobre as métricas do WAF 3.0, consulte Supported metrics.

   • As métricas na guia Instance são para o Hybrid Cloud WAF. As métricas sem o sufixo V3 são para o WAF 2.0, enquanto aquelas com o sufixo V3 são para o WAF 3.0.

Eventos de segurança compatíveis

O CloudMonitor permite o monitoramento e o envio de alertas para os seguintes eventos de segurança em objetos protegidos no WAF.

Métricas compatíveis

O CloudMonitor permite configurar alertas para as seguintes métricas do WAF a fim de monitorar anomalias. Personalize as condições que acionam esses alertas.

Referências

O API Security envia apenas alertas de alta gravidade por meio do CloudMonitor. Para enviar alertas de gravidade baixa ou média, consulte Best practices for pushing API Security alerts.