Logs
In Logs werden die Logaktivität und die Details jedes protokollierten Ereignisses innerhalb eines bestimmten Zeitrahmens angezeigt. Logs enthalten Informationen dazu, welche Regeln und Gegenmaßnahmen von Anforderungen ausgelöst werden, und dienen als Basis für die Verarbeitung von Anforderungen im Blockmodus. Logs können aus der Zugriffskontrolle, aus Schutzregeln oder Botereignissen stammen.
Wenn Sie Bedenken hinsichtlich der Datenschutz-Grundverordnung haben, können Logs für den WAF-Service deaktiviert werden. Über My Oracle Support können Sie eine Serviceanfrage einreichen, um Logs zu deaktivieren.
Beachten Sie bei der Arbeit mit dem WAF-Service die folgenden Informationen:
- Die Logaufbewahrungs-Policy für den WAF-Service beträgt sieben Tage. Sie können jedoch die Einrichtung eines S3-Buckets anfordern und weitere Logs dorthin übermitteln. Die Logs im Bucket können beliebig lange aufbewahrt werden.
- Nur "Standard"-OCI-Buckets werden unterstützt. Die Storage Tier "Archiv" wird nicht unterstützt.
- Die Logübermittlung an ELK Stack wird nur an OCI- und S3-Buckets unterstützt. Raw-Logs werden an die Buckets gesendet. Aus den Buckets können Sie diese in Elasticsearch implementieren.
Logs anzeigen
Beschreibt die verschiedenen Methoden zum Anzeigen von Logs für eine Edge Policy.
Sie können Logs nach den folgenden Logtypen filtern:
-
Zugriffsregeln
-
CAPTCHA-Challenge
-
JavaScript-Challenge
-
Schutzregeln
-
Challenge für menschliche Interaktion
-
Challenge für Gerätefingerprinting
-
Threat-Intelligence-Feeds
-
Adressratenbegrenzung
-
Zugriff
Mit einer der folgenden Methoden können Sie Logs für eine Edge Policy anzeigen.
Logeinträge werden basierend auf den gewählten Optionen angezeigt. Diese Aufgabe kann nicht mit der CLI ausgeführt werden.
Führen Sie den Vorgang ListWafLogs aus, um die Logaktivität anzuzeigen.
Sie können Logs nach den folgenden logType-Optionen filtern:
-
ACCESS_RULES
-
CAPTCHA_CHALLENGE
-
JAVASCRIPT_CHALLENGE
-
PROTECTION_RULES
-
HUMAN_INTERACTION_CHALLENGE
-
DEVICE_FINGERPRINT_CHALLENGE
-
THREAT_INTELLIGENCE_FEEDS
-
ADDRESS_RATE_LIMITING
-
ACCESS
Logs können mit der folgenden Anforderung nach logType gefiltert werden:
GET /20181116/waasPolicies/unique_ID/wafLogs?logType=logType&timeObservedGreaterThanOrEqualTo=timestamp&timeObservedLessThan=timestamp&compartmentId=unique_IDBeispiel:
GET /20181116/waasPolicies/ocid1.waaspolicy.oc1../wafLogs?logType=PROTECTION_RULES&timeObservedGreaterThanOrEqualTo=2019-10-24T13:00:00+00:00&timeObservedLessThan=2019-10-24T13:47:00+00:00&compartmentId=ocid1.compartment.oc1..Die folgende Antwortausgabe wird für die gefilterten Logs zurückgegeben:
[ { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" }, { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" } ]-
WAF-Logs an Objektspeicher übermitteln
Beschreibt, wie Sie WAF-Logs für längerfristigen Speicher und Zugriff an einen Objektspeicher-Bucket übermitteln.
Für diese Aufgabe muss ein Objektspeicher-Bucket erstellt oder ein vorhandener Bucket verwendet werden. Machen Sie sich mit Objektspeicher-Buckets vertraut, und erfahren Sie, wie Sie diese erstellen und verwalten, bevor Sie mit der Übermittlung von WAF-Logdaten fortfahren. Siehe Object Storage-Buckets.
WAF-Logs weisen eine begrenzte Aufbewahrungsrate auf. Sie können sie unbegrenzt speichern, indem Sie Ihre WAF-Logdaten an einen Objektspeicher-Bucket in Ihrem Mandanten übermitteln. Erstellen und konfigurieren Sie zunächst den Objektspeicher-Bucket, und reichen Sie dann eine Supportanfrage bei Oracle mit den erforderlichen Informationen ein, damit die WAF-Logs an den Bucket zugestellt werden.