Web Application Firewall:O que fazer quando o armazenamento de logs do WAF está cheio

Contexto

Os logs do WAF registram todas as solicitações de acesso a aplicações web e as respectivas respostas do firewall. Esses logs contêm informações detalhadas, como detecção, filtragem e bloqueio de ataques. Um armazenamento de logs adequado garante o registro completo de todos os eventos de segurança e auxilia os administradores na execução de análises e auditorias detalhadas. Se o armazenamento de logs atingir a capacidade máxima, poderão ocorrer os seguintes problemas:

• Perda de logs

  Quando o armazenamento de logs está cheio, o WAF não registra novos dados, resultando na perda de informações importantes sobre eventos de segurança.

• Atraso na detecção de ameaças

  Se você depender dos logs do WAF para outros services de análise de segurança, a impossibilidade de registrar novos logs pode impedir a detecção e a resposta oportunas a possíveis ameaças, aumentando o risco de segurança.

• Problemas de conformidade

  Caso o WAF não consiga registrar novos logs devido ao limite de armazenamento atingido, você poderá enfrentar problemas de conformidade.

Como lidar com o armazenamento de logs cheio

Quando o armazenamento de logs do WAF estiver cheio, resolva o problema de uma das quatro maneiras a seguir:

• Aumente a capacidade de armazenamento de logs

  A solução mais direta é aumentar a capacidade de armazenamento de logs. Configure mais espaço garante que o WAF tenha capacidade suficiente para registrar todos os eventos de segurança e dados de tráfego de rede. Para obter instruções, consulte Upgrade log storage capacity.

• Use configurações refinadas para reduzir o uso de armazenamento

  Configure políticas de log refinadas com base na importância dos diferentes services. Por exemplo, para services não críticos, registre apenas eventos de ataque e campos obrigatórios, ou poucos campos opcionais, para reduzir o consumo de armazenamento. Para obter instruções, consulte Use fine-grained configurations to reduce storage usage.

• Reduza o período de retenção de dados

  Otimizar o período de retenção de logs é outro método eficaz. Encurte esse período com base nas necessidades do seu negócio para reduzir o uso de armazenamento. Por exemplo, alterar a retenção de 30 dias para 7 dias economiza uma quantidade significativa de espaço, mantendo os dados críticos recentes. Para obter instruções, consulte Reduce the data retention period.

• Diminua os campos de log indexados

  É possível reduzir significativamente o uso de espaço de índice ao desativar atualizações automáticas e remover índices de campos desnecessários. Embora os índices melhorem a velocidade de consulta e análise de logs, eles também consomem espaço considerável. Ao otimizar a configuração de índice, você reduz o uso de armazenamento e mantém um desempenho de consulta eficiente. Para obter instruções, consulte Reduce indexed log fields.

Aumentar a capacidade de armazenamento de logs

1. Faça login no console do Web Application Firewall 3.0 e no painel de navegação à esquerda, selecione Detection and Response > Log Service. Clique em Upgrade Storage no canto superior direito. Na página Log Service, clique em Upgrade Capacity.

2. Selecione um plano maior de Log Storage Capacity e conclua a compra.

Reduzir o armazenamento com configurações refinadas

As configurações de campos do LogShipper permitem definir campos e a classe de armazenamento de logs para cada objeto protegido. Se você configurar campos específicos e uma classe de armazenamento para um objeto protegido, essas definições terão precedência sobre as default field settings.

1. Faça login no console do Web Application Firewall 3.0. No painel de navegação à esquerda, escolha Detection and Response > Log Service. No canto superior direito, clique em Log Configuration > Delivery Settings.

2. Na aba Delivery Settings, localize o objeto protegido desejado e clique em Field Settings na coluna Field of Delivery to Simple Log Service. Configure os parâmetros conforme descrito na tabela a seguir.

   Parâmetro	Descrição
   Required Fields	Os campos obrigatórios são sempre incluídos nos logs do WAF. Não é possível editar esses campos. Para detalhes, consulte Required log fields.
   Optional Fields	Campos opcionais podem ser selecionados manualmente para inclusão nos logs do WAF. O WAF registra apenas os campos opcionais ativados. Para detalhes, consulte Optional log fields. Nota Ativar mais campos opcionais aumenta o uso de armazenamento de logs. Se houver capacidade suficiente, recomendamos ativar mais campos opcionais para uma análise abrangente.
   Log Type	As configurações de tipo de armazenamento permitem selecionar tipos de armazenamento de logs e taxas de amostragem. A taxa de amostragem determina a porcentagem de entradas de log geradas coletadas para armazenamento e análise. Após selecionar um tipo de armazenamento, defina a taxa entre 1% e 100%. Os três tipos são: Block Logs: Registra solicitações bloqueadas por políticas de segurança, como Block, JS Challenge, Slider Challenge ou verificação de token dinâmico, que não chegam ao servidor de origem. Detection Logs: Registra apenas solicitações que acionam regras de monitoramento. Normal Request Logs: Registra apenas solicitações normais. Solicitações aprovadas na verificação JS, verificação de slider ou verificação de token dinâmico também aparecem nos logs de solicitação normal. Nota Para auditoria e análise abrangentes, recomendamos selecionar todos os tipos de armazenamento de logs para registrar logs completos.

   Para services não críticos, registre apenas eventos de ataque e campos obrigatórios, ou poucos campos opcionais, para reduzir o uso de armazenamento. Após configurar os campos do LogShipper, clique em OK. A mensagem The operation is successful. será exibida.

Reduzir o período de retenção de dados

1. Faça login no console do Web Application Firewall 3.0. No painel de navegação à esquerda, escolha Detection and Response > Log Service. No canto superior direito, clique em Storage Duration. Você será redirecionado para o console do Simple Log Service.

2. No painel Logstore Attributes, clique em Modify no canto superior direito. Diminua o Data Retention Period e clique em Save.

   Importante

   • Ao ajustar o período de retenção de dados, certifique-se de cumprir todas as leis e requisitos de conformidade relevantes para evitar problemas causados pela retenção insuficiente.

   • Quando os logs atingem o período de retenção especificado, eles são excluídos automaticamente.

Reduzir campos de log indexados

1. Faça login no console do Simple Log Service. Na lista Project, clique no Project alvo cujo nome começa com wafng.

2. No painel de navegação à esquerda, clique em Log Storage. Na lista Logstores, clique no Logstore alvo.

   Você será redirecionado para a página de consulta e análise do Logstore. A parte superior da página exibe um campo de entrada de consulta e um seletor de intervalo de tempo. A parte inferior mostra os resultados da consulta e um histograma de distribuição temporal.

3. Na página de consulta e análise do Logstore, escolha Index Attributes > Attributes.

4. Desative as atualizações automáticas de índice. Para Logstores especiais de products cloud ou Logstores internos, a chave Auto Update vem ativada por padrão, e a seção Field Search é somente leitura. No painel Search & Analysis, desative a chave Auto Update.

   Aviso

   Se você configurou relatórios e alertas personalizados no Simple Log Service, excluir índices do Logstore dedicado do WAF pode afetar esses recursos. Proceda com cautela.

5. Após desativar a chave Auto Update, remova os índices de campos desnecessários na seção Field Search e clique em OK.