Os relatórios de segurança do Web Application Firewall (WAF) apresentam dados de proteção dos diversos módulos do WAF. Esses relatórios ajudam você a analisar a segurança dos seus serviços, exibindo dados das regras ativadas, como regras de proteção principal, listas de bloqueio de endereços IP e regras personalizadas.
Pré-requisitos
Você adicionou seus serviços web ao WAF 3.0 como protected objects and protected object groups.
configure manualmente os demais módulos de proteção para que as regras entrem em vigor. Por padrão, o módulo Core Protection Rule já vem ativado sem necessidade de configuração manual. Para mais informações, consulte Protection configuration overview.
Visualizar relatórios de segurança
Em períodos de alto tráfego, os relatórios de segurança utilizam um mecanismo dinâmico de amostragem e restauração de dados. O sistema ajusta automaticamente a taxa de amostragem com base na média de requisições por segundo (QPS) e usa essa taxa para estimar os dados totais de tráfego. Os relatórios exibem esses dados totais estimados, que refletem com precisão as tendências e distribuições de ataques. Ative o Log service para obter logs completos e brutos para análises aprofundadas ou auditorias de conformidade.
Os planos de controle do WAF estão localizados em China (Hangzhou) e Singapore. O plano de controle de China (Hangzhou) gerencia instâncias na China continental, enquanto o plano de controle de Singapore gerencia instâncias em todas as demais regiões.
Na página Security Reports do console do Web Application Firewall 3.0, os dados dos relatórios estão organizados em quatro seções principais: tendências de ataque, tipos de ataque, top 5 correspondências e logs. Utilize Basic Search ou Advanced Search para definir condições de filtro e consultar os dados dos relatórios de segurança.
Pesquisa básica | Pesquisa avançada |
|
|
Intervalo de tempo (Figura ①): por padrão, os dados de Today são exibidos. Você pode consultar dados dos períodos Last 15 Minutes, Last 30 Minutes, Last 1 Hour, Last 24 Hours, Today, Yesterday, Last 7 days ou Last 30 days. | |
Intervalo de datas personalizado (Figura ②): selecione um período específico para visualizar os dados do relatório de segurança com maior precisão. | |
Objetos protegidos (Figura ③): por padrão, All está selecionado, o que consulta os dados de todos os objetos protegidos adicionados ao WAF. Também é possível consultar dados de um objeto específico. | defina condições de filtro (Figura ③): você pode adicionar até 10 condições de filtro. |
insira um endereço IP do atacante ou um ID de rastreamento (Figura ④). | N/D |
Os relatórios de segurança permitem consultar dados dos últimos 30 dias. Para visualizar dados de um período mais longo, consulte-os no Simple Log service. Por padrão, os logs são retidos por 180 dias. Você pode ajustar a duração de armazenamento dos logs nas configurações de retenção de logs.
Tendências de ataque
No gráfico de tendências de ataque, você pode visualizar as tendências de alertas e requisições bloqueadas. Por padrão, o gráfico exibe dados de todos os objetos protegidos e é atualizado dinamicamente conforme as condições de filtro. Passe o cursor sobre qualquer ponto do gráfico para ver a quantidade de alertas e requisições bloqueadas naquele momento.
Blocked Requests: inclui requisições interrompidas pela ação Block ou requisições que falharam em verificações de segurança como JavaScript validation, slider CAPTCHA, strict slider CAPTCHA e dynamic token.
Alerts: inclui requisições que corresponderam a uma regra e acionaram a ação Monitor.
Tipos de ataque
Este gráfico mostra o número total de correspondências com regras de proteção. Uma única requisição pode corresponder a vários módulos ou regras de proteção. Você pode visualizar dados de Core Protection Rule, IP Address Blacklist, Custom Rule, Scanning Protection, HTTP Flood Protection, Geo-blocking, Bot Management, Data Leakage Prevention, Peak Traffic Throttling, Account Security e AI Application Protection.
clique em a seção Core Protection Rule do gráfico de pizza para ver a distribuição dos tipos de ataque (como injeção SQL, XSS e execução de código) dentro das regras principais.
clique em outros módulos de proteção no gráfico de pizza para ver a distribuição das respectivas regras de ataque.
Top 5 correspondências
Visualize as estatísticas de correspondências para Attacker IP Address, Protected Objects, Rules Matched, Protection URL, Attack Source Areas e Attack User-Agent Header.
Tipo | Descrição | Ações |
Attacker IP Address | Os 5 endereços IP que originaram o maior número de requisições de ataque e suas respectivas áreas geográficas. | Passe o cursor sobre um item de dados e clique em Filter ou Exclude para crie uma condição de filtro. |
Protection URL | As 5 URLs que mais frequentemente corresponderam a regras de proteção. | |
Attack Source Areas | As 5 áreas geográficas que originaram o maior número de requisições de ataque. | |
Attack User-Agent Header | Os 5 cabeçalhos User-Agent que originaram o maior número de requisições de ataque. | |
Protected Objects | Os 5 objetos protegidos que acionaram regras de proteção com maior frequência. | Passe o cursor sobre um item de dados e clique em Filter ou Exclude para crie uma condição de filtro. clique em View Protection Rule para ver as regras de proteção específicas desse objeto. |
Rules Matched | Os ID das 5 regras de proteção correspondidas com maior frequência. Nota Uma única requisição pode corresponder a várias regras. |
Logs
Visualize informações detalhadas de Attacker IP Address, Area, Protected Objects, Attack Time, host, Attack URL, Protocol, Port, Request Method, Request Parameter, Rule Action, Protection Module, Rule ID e AI Analysis. clique em o ícone 
no canto superior direito para personalizar as colunas exibidas.
Localize um evento de ataque e clique em View Details na coluna Actions para visualizar o painel Attack Details, que fornece detalhes sobre o ataque e a regra correspondida.
-
Caso confirme que uma entrada de log é um falso positivo, clique em Suppress False Positive na coluna Actions do respectivo evento. Após confirme as condições da regra de lista de permissões, clique em OK.
Após a criação da regra, o WAF cria automaticamente um modelo de regra chamado AutoTemplate e adiciona uma whitelist rule. A origem dessa regra é Custom.
clique em o ícone na coluna AI Analysis para analisar uma entrada de log individual com o assistente de IA. Atualmente, este recurso está disponível apenas para logs gerados pelas regras de proteção principal. Não há suporte para outros tipos de log nem para logs de implantações em cloud híbrida.
Uma única requisição pode corresponder a vários módulos ou regras de proteção. Passe o cursor sobre um valor na coluna Rule ID ou clique em View Details para ver os ID das regras correspondidas.
