Configure painéis e alertas de monitoramento personalizados para os objetos protegidos pelo Web Application Firewall (WAF) com o Simple Log Service. Isso permite acompanhar o tráfego geral e o status de segurança em tempo real. Este tópico descreve como configurar o monitoramento e os alertas personalizados do WAF por meio do Simple Log Service.
Pré-requisitos
Você concluiu o Web service provisioning na página Onboarding.
-
O Simple Log Service está ativado. Para obter mais informações, consulte Enable or disable the log service.
Após ativar o Simple Log Service, o Simple Log Service (SLS) cria automaticamente um projeto e um Logstore para a sua instância do WAF e coleta os logs dos objetos protegidos que você especifique no Logstore. Em seguida, configure o monitoramento e os alertas personalizados do WAF no console do Simple Log Service.
Procedimento
-
No console do WAF, ative a coleta de logs para um objeto protegido.
Primeiro, acesse o console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.
No painel de navegação à esquerda, escolha .
-
Na parte superior da página Log Service, selecione o objeto protegido cujos logs deseja visualizar e alterne a opção Status para ativar a coleta de logs.
O recurso entra em vigor poucos minutos após a ativação.
-
No console do Simple Log Service, configure os alertas.
-
Primeiro, crie um painel de análise de logs.
Depois, acesse o console do Simple Log Service.
Na seção Projects, localize o projeto de logs do WAF e gerencie-o, clicando no nome do projeto.
-
Agora insira uma instrução de consulta e clique em Search & Analyze. Para obter mais informações, consulte Step 4.
NotaPara instruções de consulta SQL utilizadas para monitorar e analisar métricas, consulte Query statements.
Após a conclusão da consulta, acesse a guia Graph e clique em Add to New Dashboard.
-
Na caixa de diálogo Add to New Dashboard, configure os seguintes parâmetros, clique em Confirm e confirme a ação.
Parâmetro
Descrição
Operation
Selecione Create Dashboard.
Layout Mode
Selecione um modo de layout para o painel.
Dashboard Name
Aqui, insira um nome para o painel.
Após a criação do painel, você será redirecionado para ele. Por padrão, o painel inclui o gráfico gerado a partir da instrução de consulta em Step iii, portanto, edite o gráfico existente ou adicione mais gráficos conforme necessário.
-
Configure os gráficos do painel.
No painel de navegação à esquerda do console do Simple Log Service, escolha e clique no painel de destino.
Na página do painel, clique em Edit no canto superior direito.
-
No modo de edição, modifique ou exclua gráficos existentes, ou adicione novos gráficos ao copiar os existentes.
NotaCopie um gráfico existente e personalize a configuração dele. Essa abordagem permite adicionar vários gráficos a um painel para diversas visualizações de dados e configurações de alerta.
-
Copiar um gráfico para criar um novo
-
Localize o gráfico a ser copiado, passe o mouse sobre o ícone
no canto superior direito do gráfico e clique em Copy.Uma cópia do gráfico aparece ao lado do original.
Arraste o gráfico copiado para a posição desejada no painel.
-
-
Modificar um gráfico existente
Localize o gráfico a ser modificado, passe o mouse sobre o ícone
no canto superior direito do gráfico e clique em Edit.Na página Edit, modifique a configuração do gráfico, como o nome do gráfico, a instrução de consulta SQL, o intervalo de tempo relativo e o tipo de gráfico e, em seguida, clique em OK.
-
Excluir um gráfico existente
Localize o gráfico a ser excluído, passe o mouse sobre o ícone
no canto superior direito do gráfico e clique em Delete.
-
-
Configure os alertas.
Na página do painel, escolha .
-
No painel Create Alert, configure os seguintes parâmetros e clique em OK.
A tabela a seguir descreve os parâmetros obrigatórios e fornece exemplos de configuração.
Parâmetro
Descrição
Exemplo
Rule Name
Aqui, insira um nome para a regra de monitoramento de alerta.
WebsiteLogs_AlertRule
Check Frequency
Defina a frequência com que o Simple Log Service verifica os resultados de consulta e análise. Valores válidos:
Fixed Interval: Verifica os resultados de consulta e análise em um intervalo fixo.
Cron: Verifica os resultados de consulta e análise em um intervalo especificado por uma expressão cron.
Uma expressão cron oferece precisão de até um minuto e usa o relógio de 24 horas. Por exemplo, 0 0/1 * verifica os resultados a cada hora a partir das 00:00.
Fixed Interval, 15 minutos
Advanced Settings
Clique no campo de entrada. Na caixa de diálogo Advanced Settings, configure as instruções de consulta e análise. Para limites de consulta e análise, consulte Query and analysis.
Notification Objects: Selecione um painel de monitoramento.
Advanced Settings: Na guia Advanced Settings, selecione Logstore, Metricstore ou Resource Data como o tipo de dado a ser monitorado.
Logstores: Armazena logs. Para configurações de consulta e análise, consulte Query and analysis quick start.
Metricstore: Armazena dados de séries temporais. Para configurações de consulta e análise, consulte Query and analyze metric data.
Resource Data: Associa dados externos a uma regra específica de monitoramento de alerta. Para obter mais informações, consulte Create resource data.
Se configurar várias estatísticas de consulta, especifique a Check Frequency para correlacionar os resultados de várias consultas. Para obter mais informações, consulte Query and analysis statements.
0: Selecione o gráfico request success ratio no painel SLB Operation Logs.
1: Selecione o gráfico response time trend no painel SLB Operation Logs.
Defina Set Operations como CROSS JOIN.
Group Evaluation
O Simple Log Service pode agrupar os resultados de consulta e análise. Valores válidos:
Custom Label: O Simple Log Service agrupa os resultados com base nos campos que você especificar. Cada grupo é avaliado separadamente em relação à condição de gatilho. O sistema gera um alerta para cada grupo que atender à condição de gatilho dentro de um período de verificação.
É possível configurar vários campos.
No Grouping: O sistema gera apenas um alerta por período de verificação quando a condição de gatilho é atendida.
No Grouping
Trigger Condition
Defina a condição de gatilho e a gravidade.
Condição de gatilho
Data is returned: Aciona um alerta quando os resultados de consulta e análise contêm dados.
The query result contains: Aciona um alerta quando os resultados de consulta e análise contêm N entradas de dados.
Data matches the expression: Aciona um alerta quando os dados nos resultados de consulta e análise correspondem a uma expressão especificada.
The query result contains and matches: Aciona um alerta quando N entradas de dados nos resultados de consulta e análise correspondem a uma expressão especificada.
Gravidade
Usada para redução de ruído de alertas e controle de notificações. Ao criar uma política de alerta ou de ação, adicione condições baseadas em gravidade. Para obter mais informações, consulte Set alert severity.
Configuração simples: selecione diretamente uma gravidade de alerta. Todos os alertas gerados por esta regra terão a mesma gravidade.
Configuração condicional: clique em Add para definir diferentes gravidades para diferentes condições.
Para a sintaxe das expressões condicionais nas regras de alerta, consulte Syntax of trigger conditions in alert rules.
Data matches the expression
$0.success_ratio <90&&$1.Average response time\(s\) >60
Gravidade: Média
NotaSe o nome de um campo contiver parênteses (), escape-os com uma barra invertida (\).
Add Annotation
O Simple Log Service permite adicionar atributos de chave-valor não identificadores aos alertas gerados. Eles são usados para redução de ruído de alertas e controle de notificações. Ao criar uma política de alerta ou de ação, adicione condições baseadas em anotações. Para obter mais informações, consulte Add labels and annotations.
Ative Add Annotation para adicionar automaticamente campos como __count__ aos alertas. Para obter mais informações, consulte Automatic annotations.
Título: Monitor website request success ratio and average response time
Descrição: Request success ratio: ${success_ratio}, Average response time: ${Average response time(s)}
Auto-Add Annotations: Enabled
Threshold of Continuous Triggers
Defina o limite de gatilhos consecutivos. O sistema gera um alerta quando o número acumulado de correspondências da condição de gatilho atinge esse valor. Ocorrências que não atendem à condição de gatilho não são contadas.
1
Destination
O destino de envio dos alertas. Selecione Simple Log Service Notification.
Simple Log Service Notification
Alert Policy
As políticas de alerta servem para mesclar, silenciar e suprimir alertas gerados.
Se selecionar Simple Mode ou Standard Mode, não será necessário configurar uma política de alerta. O Simple Log Service usa a política de alerta dinâmica integrada
sls.builtin.dynamicpor padrão.Se selecionar Advanced Mode, selecione uma política de alerta integrada ou personalizada. Para obter mais informações sobre como criar uma política de alerta, consulte Create an alert policy.
Simple Mode
Action Policy
As políticas de ação controlam os canais e a frequência de notificação de alertas.
Quando a Alert Policy está definida como Simple Mode, configure apenas um grupo de ações.
Após configurar o grupo de ações, o Simple Log Service cria automaticamente uma política de ação chamada
Rule name-Action policy. Todos os alertas acionados por esta regra de monitoramento de alerta enviam notificações por meio desta política de ação. Para obter detalhes de configuração, consulte Notification channels.ImportanteModifique a política de ação na página de gerenciamento de Action Policy. Para obter mais informações, consulte Action policies. Se adicionar condições ao modificar a política de ação, a configuração de Alert Policy mudará automaticamente para Standard Mode.
Quando a Alert Policy está definida como Standard Mode ou Advanced Mode, selecione uma política de ação integrada ou personalizada para enviar notificações de alerta. Para obter mais informações sobre como criar uma política de ação, consulte Action policies.
Se a Alert Policy estiver definida como Advanced Mode, ative ou desative a Custom Action Policy. Para obter mais informações, consulte Dynamic action policy mechanism.
Channel: SMS
Recipient: LogServiceOperations
Alert Template: SLS built-in content template
Period: Any Time
Check Frequency
Durante o período de espera de repetição, alertas duplicados acionam a política de ação selecionada apenas uma vez e enviam apenas uma notificação.
5 Minutes
-
No painel de navegação à esquerda, clique no ícone
para e visualize as regras de alerta criadas e configure Notification Objects, Notification Management, entre outros. Para obter mais informações, consulte Step 1: Configure recipients e Create an alert policy.Após criar uma regra de monitoramento de alerta, o Simple Log Service monitora os resultados de consulta e análise com base na regra. Quando os resultados atendem à condição de gatilho, o sistema gera um alerta. Agora visualize os registros de alerta no painel Alert Rule Center. Para obter mais informações, consulte Step 4: View alert history.
-
Referências
Para obter informações sobre os gráficos de logs do WAF e exemplos de configurações de alerta — incluindo alertas para proporções anormais de 4xx (exceto solicitações bloqueadas), proporções anormais de 5xx, QPS anormal e atividade de bloqueio de regras de proteção nos últimos 5 minutos —, consulte Alert configuration examples for WAF logs.