DescribeSecurityEventTopNMetric - Web Application Firewall: Central de Documentação do Alibaba Cloud

Consulta as estatísticas dos N principais tráfegos de ataque, agregadas por uma dimensão especificada, classificadas e retornadas.

Descrição da operação

O tráfego de ataque refere-se a solicitações que tiveram acertos de regras e foram identificadas como arriscadas. Os três tipos de dados a seguir são excluídos:

Solicitações que acionaram regras de lista branca.
Solicitações que acionaram regras de bot, mas cuja ação da regra está definida como "back-to-origin marking".
Solicitações que acionaram regras com ações definidas como "dynamic token", "slider", "strict slider" ou "JS authenticate", mas o usuário passou na verificação e as solicitações foram permitidas.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

yundun-waf:DescribeSecurityEventTopNMetric

get

*全部资源

*

acs:ResourceGroupId

Nenhuma

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
InstanceId	string	Sim	O ID da instância WAF. Nota Você pode chamar DescribeInstance para consultar o ID da instância WAF atual.	waf_cdnsdf3****
Filter	object	Sim	As condições de filtro da consulta. Múltiplas condições de filtro são avaliadas usando um E lógico.
DateRange	object	Sim	O intervalo de tempo da consulta.
StartDate	integer	Sim	O intervalo de dados da consulta não pode exceder os últimos 30 dias. A hora inicial usada para consultar dados, expressa como um timestamp UNIX. Unidade: segundos. Nota A hora inicial deve ser posterior à hora atual menos 30 dias.	1713888000
EndDate	integer	Sim	A hora final usada para consultar dados, expressa como um timestamp UNIX. Unidade: segundos.	1713888600
Conditions	array<object>	Não	A lista de condições de filtro. Cada nó descreve uma condição de filtro.
	object	Não	A configuração de uma única condição de consulta. Uma condição de consulta consiste em um nome de campo, um operador e valores de filtro. Para os nomes de campo e operadores suportados nas condições de consulta, consulte Descrição suplementar dos parâmetros de solicitação.
Key	string	Não	O nome do campo no qual a operação de filtro é executada. Esta operação suporta todos os campos.	matched_host
OpValue	string	Não	O operador.	eq
Values	any	Não	Os valores de filtro.	test.waf-top
Limit	integer	Sim	O número de entradas de dados a serem retornadas após a classificação das estatísticas em ordem decrescente. Valor máximo: 10.	10
Metric	string	Sim	Especifica o tipo de dados a serem retornados. Diferentes valores de Metric correspondem a diferentes conteúdos de dados. Os seguintes valores de Metric são suportados por esta operação de API: Nota A definição de "solicitação de ataque" é descrita na descrição da operação de API. As descrições a seguir referenciam este conceito. real_client_ip: realiza a agregação e classificação dos endereços IP de origem das solicitações de ataque em ordem decrescente e retorna as N principais entradas. http_user_agent: realiza a agregação e classificação dos valores User-Agent das solicitações de ataque em ordem decrescente e retorna as N principais entradas. matched_host: realiza a agregação e classificação dos objetos protegidos atingidos pelas solicitações de ataque em ordem decrescente e retorna as N principais entradas. remote_region_id: realiza a agregação e classificação dos países aos quais os endereços IP de origem das solicitações de ataque pertencem em ordem decrescente e retorna as N principais entradas. request_path: realiza a agregação e classificação das URLs (excluindo strings de consulta) das solicitações de ataque em ordem decrescente e retorna as N principais entradas. block_defense_scene: realiza a agregação e classificação dos módulos de ação final das solicitações bloqueadas (cuja ação não é "monitor") em ordem decrescente e retorna as N principais entradas. defense_scene: realiza a agregação e classificação de todos os módulos de proteção atingidos pelas solicitações de ataque em ordem decrescente e retorna as N principais entradas. defense_scene_rule_id: consulta os principais IDs de regras atingidas de regras sem monitoramento e os módulos de proteção aos quais as regras pertencem. Esta consulta retorna estatísticas apenas para regras fora do modo de monitoramento. O formato dos dados retornados é o seguinte: `{ "Attribute": "waf_base", "Value": 140, "Name": "111034" }` defense_scene_with_rule_id: retorna os N principais IDs de regras classificados pelo número de solicitações atingidas e os módulos de proteção aos quais as regras pertencem, conectados por "-". Esta consulta não distingue entre ações de regra e inclui tanto regras de monitoramento quanto regras de bloqueio. O formato retornado é o seguinte: `{ "Attribute": "", "Value": 1, "Name": "120075-waf_base" }` defense_scene_top_rule_id: consulta os principais acertos de regras de um módulo de proteção específico. Especifique as condições de filtro no campo Conditions de Filter. Por exemplo, para consultar os principais acertos de regras do módulo "custom ACL", defina o campo Conditions da seguinte forma: `{ "Key": "defense_scene_map", "OpValue": "contain", "Values": "custom_acl" }` defense_scene_rule_type: consulta os principais tipos de regras atingidas do módulo de proteção principal da web. Apenas o módulo de proteção principal da web suporta esta consulta, pois somente a proteção principal da web possui subclasses de regras. Especifique as condições de filtro no campo Conditions de Filter. O formato é o seguinte: `{ "Key": "defense_scene", "OpValue": "eq", "Values": "waf_base" }`	real_client_ip
RegionId	string	Não	A região onde a instância WAF está implantada. Valores válidos: cn-hangzhou: China continental. ap-southeast-1: fora da China continental.	cn-hangzhou
ResourceManagerResourceGroupId	string	Não	O ID do grupo de recursos do Alibaba Cloud.	rg-acfm***q

Descrição do operador

Operador	Significado	Descrição
all-not-match	Diferente de qualquer valor	O valor do campo não é igual a nenhum valor no conjunto de dados. Por exemplo, para filtrar real_client_ip diferente de qualquer valor no conjunto: `{"Key":"real_client_ip","OpValue":"all-not-match","Values":["1.1.1.1","2.2.2.2","3.3.3.3"]}`
contain	Contém	O valor do campo contém uma string específica. Por exemplo, para filtrar dados onde a URL contém "test": `{"Key":"request_path","OpValue":"contain","Values":"test"}`
eq	Igual a	O valor do campo é igual a uma string específica. Por exemplo, para filtrar dados onde a URL é "/testcase": `{"Key":"request_path","OpValue":"eq","Values":"/testcase"}`
match-one	Igual a um de vários valores	O valor do campo é igual a qualquer valor no conjunto de dados. Por exemplo, para filtrar real_client_ip igual a qualquer valor no conjunto: `{"Key":"real_client_ip","OpValue":"match-one","Values":["1.1.1.1","2.2.2.2","3.3.3.3"]}`
ne	Diferente de	O valor do campo não é igual a uma string específica. Por exemplo, para filtrar estatísticas onde a URL não é "/testcase": `{"Key":"request_path","OpValue":"ne","Values":"/testcase"}`
not-contain	Não contém	O valor do campo não contém uma string específica. Por exemplo, para filtrar dados onde a URL não contém "test": `{"Key":"request_path","OpValue":"not-contain","Values":"test"}`
prefix-match	Correspondência de prefixo	O valor do campo começa com uma string específica. Por exemplo, para filtrar dados onde a URL começa com "/testcase": `{"Key":"request_path","OpValue":"prefix-match","Values":"/testcase"}`
suffix-match	Correspondência de sufixo	O valor do campo termina com uma string específica. Por exemplo, para filtrar dados onde a URL termina com "/testcase": `{"Key":"request_path","OpValue":"suffix-match","Values":"/testcase"}`

Chaves suportadas para condições de filtro

Nome do campo	Descrição do campo	Operadores suportados
action	A ação de proteção, que é a ação final executada na solicitação.	ne, eq
cluster	O cluster de proteção.	ne, eq, match-one, all-not-match
defense_scene	O módulo de proteção. Uma solicitação pode corresponder a múltiplos módulos de proteção. Solicitações filtradas por este campo também podem corresponder a outros módulos.	ne, eq
host	O host no cabeçalho HTTP.	contain, not-contain, ne, eq, match-one, all-not-match, prefix-match, suffix-match
http_cookie	O cookie no cabeçalho HTTP.	contain, not-contain, ne, eq, match-one, all-not-match, prefix-match, suffix-match
http_user_agent	O User-Agent obtido do cabeçalho HTTP.	contain, not-contain, ne, eq, match-one, all-not-match, prefix-match, suffix-match
matched_host	O objeto protegido.	ne, eq, match-one, all-not-match
real_client_ip	O endereço IP de origem da solicitação. O parâmetro após o operador pode ser apenas uma string de endereço IP ou uma lista de strings de endereços IP. Consultas de bloco CIDR não são suportadas.	ne, eq, match-one, all-not-match
remote_country_id	O país ao qual o endereço IP de origem da solicitação HTTP pertence.	ne, eq, match-one, all-not-match
remote_region_id	A província ou cidade à qual o endereço IP de origem da solicitação HTTP pertence.	ne, eq, match-one, all-not-match
request_method	O método de solicitação HTTP.	ne, eq, match-one, all-not-match
request_path	A URL da solicitação HTTP, excluindo a string de consulta.	contain, not-contain, ne, eq, match-one, all-not-match, prefix-match, suffix-match
request_traceid	O ID exclusivo que identifica a solicitação.	ne, eq, match-one, all-not-match
rule_id	O ID da regra. Uma solicitação pode corresponder a múltiplas regras. Solicitações filtradas por este campo também podem corresponder a outras regras.	ne, eq

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object	O resultado dos dados retornados. Para exemplos de formato, consulte Exemplos.
RequestId	string	O ID da solicitação.	D827FCFE-90A7-4330-9326-*****B4C7726
SecurityEventTopNValues	array<object>	O array de estatísticas dos N principais.
	object	Cada elemento corresponde a uma entrada de estatística dos N principais.
Name	string	O valor de um campo específico. O significado varia dependendo da Metric consultada.	10000
Attribute	string	As informações adicionais, como o módulo de proteção ao qual um ID de regra pertence.	waf_base
Value	integer	A contagem estatística usada para a classificação dos N principais.	1111
TopNMetaData	object	Os metadados dos dados retornados.
DateRange	object	O intervalo de tempo usado para a consulta.
StartDate	integer	O início do intervalo de tempo consultado. O valor é um timestamp UNIX. Unidade: segundos. Este valor é o mesmo que o parâmetro de solicitação `StartDate`.	1713888000
EndDate	integer	O fim do intervalo de tempo consultado. O valor é um timestamp UNIX. Unidade: segundos. Este valor é o mesmo que o parâmetro de solicitação `EndDate`.	1713888600
Units	string	A unidade das estatísticas retornadas.	requests

Exemplos

Resposta de sucesso

JSON formato

{
  "RequestId": "D827FCFE-90A7-4330-9326-*****B4C7726\n",
  "SecurityEventTopNValues": [
    {
      "Name": "10000",
      "Attribute": "waf_base\n",
      "Value": 1111
    }
  ],
  "TopNMetaData": {
    "DateRange": {
      "StartDate": 1713888000,
      "EndDate": 1713888600
    },
    "Units": "requests\n"
  }
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro	Descrição
400	Waf.Report.%s	Invalid parameter:%s.	Parâmetro inválido: %s.
400	Waf.Report.InternalError	Server error occurred in report service.	Ocorreu um erro interno no serviço de relatórios.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.