Journaux
Les journaux affichent l'activité de journal et les détails de chaque événement journalisé dans une période spécifiée. Les journaux vous permettent de comprendre quelles règles et quelles contre-mesures sont déclenchées par des demandes et servent de base pour déplacer le traitement des demandes en mode de blocage. Les journaux peuvent provenir des événements de contrôle de l'accès, des règles de protection ou des robots.
Si vous avez des préoccupations concernant les exigences du Règlement général sur la protection des données (RGPD), vous pouvez désactiver les journaux pour le service WAF. Vous pouvez utiliser My Oracle Support pour enregistrer une demande de service pour désactiver les journaux.
Lorsque vous utilisez le service WAF, tenez compte des informations suivantes :
- La politique de conservation des journaux pour le service WAF est de sept jours. Toutefois, vous pouvez demander la configuration d'un seau S3 auquel transmettre d'autres journaux. Vous pouvez conserver les journaux de votre seau aussi longtemps que vous le souhaitez.
- Seuls les seaux OCI "Standard" sont pris en charge. Le niveau de stockage "Archive" n'est pas pris en charge.
- La transmission de journaux à la pile ELK n'est prise en charge que pour les seaux OCI et S3. Les journaux bruts sont envoyés aux seaux. À partir des seaux, vous pouvez mettre en oeuvre les journaux bruts dans une recherche élastique.
Consultation des journaux
Cette section décrit les différentes méthodes d'affichage des journaux pour une politique de périphérie de réseau.
Vous pouvez filtrer les journaux en fonction des types suivants :
-
Règles d'accès
-
Identification CAPTCHA
-
Identification JavaScript
-
Règles de protection
-
Identification d'interaction humaine
-
Identification de l'empreinte numérique d'un appareil
-
Flux d'informations sur les menaces
-
Limitation du débit par adresse
-
Accès
Utilisez l'une des méthodes suivantes pour afficher les journaux d'une politique de périphérie de réseau.
Les entrées de journal affichées varient en fonction des options que vous avez sélectionnées. Cette tâche ne peut pas être effectuée à l'aide de l'interface de ligne de commande.
Exécutez l'opération ListWafLogs pour voir l'activité du journal.
Vous pouvez filtrer les journaux en fonction des options de type de journal suivantes :
-
ACCESS_RULES
-
CAPTCHA_CHALLENGE
-
JAVASCRIPT_CHALLENGE
-
PROTECTION_RULES
-
HUMAN_INTERACTION_CHALLENGE
-
DEVICE_FINGERPRINT_CHALLENGE
-
THREAT_INTELLIGENCE_FEEDS
-
ADDRESS_RATE_LIMITING
-
ACCESS
Les journaux peuvent être filtrés par type à l'aide de la demande suivante :
GET /20181116/waasPolicies/unique_ID/wafLogs?logType=logType&timeObservedGreaterThanOrEqualTo=timestamp&timeObservedLessThan=timestamp&compartmentId=unique_IDPar exemple :
GET /20181116/waasPolicies/ocid1.waaspolicy.oc1../wafLogs?logType=PROTECTION_RULES&timeObservedGreaterThanOrEqualTo=2019-10-24T13:00:00+00:00&timeObservedLessThan=2019-10-24T13:47:00+00:00&compartmentId=ocid1.compartment.oc1..La sortie de réponse suivante pour les journaux filtrés est retournée :
[ { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" }, { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" } ]-
Transmission des journaux WAF au service de stockage d'objets
Cette section décrit comment transmettre les journaux WAF à un seau de stockage d'objets pour un stockage et un accès à plus long terme.
Cette tâche nécessite de créer un seau de stockage d'objets ou d'en utiliser un qui existe déjà. Familiarisez-vous avec les seaux de stockage d'objets et voyez comment les créer et les gérer avant de transmettre des données de journal WAF. Voir Seaux de stockage d'objets.
Les journaux WAF ont un taux de conservation limité. Vous pouvez les enregistrer indéfiniment en transmettant vos données de journal WAF à un seau de stockage d'objets de votre location. Créez et configurez d'abord votre seau de stockage d'objets, puis soumettez une demande de soutien à Oracle avec les informations requises pour que vos journaux WAF soient transmis au seau.