Logs
Los logs muestran la actividad de log y los detalles de cada evento registrado en un periodo concreto. Los logs permiten comprender las reglas y contramedidas que las solicitudes disparan y se utilizan como base para transferir el manejo de solicitudes al modo de bloqueo. Los logs pueden provenir de eventos de control de acceso, reglas de protección o bots.
Si tiene problemas con los requisitos del Reglamento General de Protección de Datos General (RGPD), puede desactivar la opción Logs para el servicio WAF. Puede utilizar My Oracle Support para tramitar una solicitud de servicio para desactivar Logs.
Al trabajar con el servicio WAF, tenga en cuenta la siguiente información:
- La política de retención de logs para el servicio WAF es de siete días; sin embargo, puede solicitar la configuración de un cubo S3 y que se le entregue más logs. Los logs del bucket se pueden mantener siempre que lo desee.
- Solo están soportados los buckets OCI "estándar". El nivel de almacenamiento "Archivo" no está soportado.
- La entrega de logs a la pila ELK solo está soportada para los cubos OCI y S3. Los logs no procesados se envían a los buckets. Desde los buckets, puede implantarlos en una búsqueda elástica.
Visualización de logs
Describe los diferentes métodos para ver logs de una política de perímetro.
Puede filtrar los logs mediante los siguientes tipos de log:
- Reglas de acceso
- Comprobación de CAPTCHA
- Comprobación de JavaScript
- Reglas de protección
- Comprobación de interacción humana
- Comprobación de huella de dispositivo
- Fuentes de información sobre amenazas
- Limitación de frecuencia de dirección
- Acceso
Utilice uno de los siguientes métodos para ver logs de una política de perímetro.
Las entradas de log se muestran según las opciones seleccionadas. Esta tarea no se puede realizar mediante la CLI.
Ejecute la operación ListWafLogs para ver la actividad del log.
Puede filtrar los logs mediante las siguientes opciones de logType:
-
ACCESS_RULES
-
CAPTCHA_CHALLENGE
-
JAVASCRIPT_CHALLENGE
-
PROTECTION_RULES
-
HUMAN_INTERACTION_CHALLENGE
-
DEVICE_FINGERPRINT_CHALLENGE
-
THREAT_INTELLIGENCE_FEEDS
-
ADDRESS_RATE_LIMITING
-
ACCESS
Los logs se pueden filtrar por logType mediante la siguiente solicitud:
GET /20181116/waasPolicies/unique_ID/wafLogs?logType=logType&timeObservedGreaterThanOrEqualTo=timestamp&timeObservedLessThan=timestamp&compartmentId=unique_IDPor ejemplo:
GET /20181116/waasPolicies/ocid1.waaspolicy.oc1../wafLogs?logType=PROTECTION_RULES&timeObservedGreaterThanOrEqualTo=2019-10-24T13:00:00+00:00&timeObservedLessThan=2019-10-24T13:47:00+00:00&compartmentId=ocid1.compartment.oc1..Se devuelve la siguiente salida de respuesta para los logs filtrados:
[ { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" }, { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" } ]-
Entrega de logs de WAF al almacenamiento de objetos
Describe cómo entregar logs de WAF a un bucket de almacenamiento de objetos para un acceso y almacenamiento a largo plazo.
Esta tarea requiere la creación de un bucket de almacenamiento de objetos o el uso de uno existente. Familiarícese con los buckets de almacenamiento de objetos y cómo crearlos y gestionarlos antes de continuar con la entrega de datos de log de WAF. Consulte Cubos de almacenamiento de objetos.
Los logs de WAF tienen un ratio de retención limitado. Puede guardarlos de forma indefinida entregando los datos de log de WAF a un bucket de almacenamiento de objetos de su arrendamiento. Primero, cree y configure el bucket de almacenamiento de objetos y, a continuación, envíe una solicitud de soporte a Oracle con la información necesaria para que los logs de WAF se entreguen al bucket.