Journaux
La fonction Journaux affiche l'activité de journalisation et les détails de chaque événement journalisé au cours d'une période donnée. Les journaux permettent de comprendre quelles règles et contre-mesures sont déclenchées par les demandes et servent de base pour passer le traitement des demandes en mode bloc. Les journaux peuvent provenir d'événements de contrôle d'accès, de règle de protection ou de bot.
Si vous êtes préoccupé par les exigences relatives au règlement général sur la protection des données (RGPD), vous pouvez désactiver les journaux pour le service WAF. Vous pouvez utiliser My Oracle Support pour enregistrer une demande de service afin de désactiver les journaux.
Lorsque vous utilisez le service WAF, tenez compte des informations suivantes :
- La stratégie de conservation de journal pour le service WAF est de sept jours. Toutefois, vous pouvez demander à configurer un bucket S3 et y transmettre un plus grand nombre de journaux. Les journaux du bucket peuvent être conservés aussi longtemps que vous le souhaitez.
- Seuls les buckets OCI Standard sont pris en charge. Le niveau de stockage Archive n'est pas pris en charge.
- La transmission de journaux à ELK Stack est uniquement prise en charge pour les buckets OCI et S3. Les journaux bruts sont envoyés vers les buckets. A partir des buckets, vous pouvez les implémenter dans Elasticsearch.
Visualisation des journaux
Décrit les différentes méthodes d'affichage des journaux d'une stratégie en périphérie.
Vous pouvez filtrer les journaux selon les types suivants :
-
Règles d'accès
-
Question de vérification CAPTCHA
-
Question de vérification JavaScript
-
Règles de protection
-
Question de vérification avec interaction humaine
-
Question de vérification avec empreinte d'appareil
-
Flux d'informations sur les menaces
-
Limitation de débit d'adresse
-
Accès
Utilisez l'une des méthodes suivantes pour afficher les journaux d'une stratégie en périphérie.
Les entrées de journal sont affichées en fonction des options choisies. Cette tâche ne peut pas être effectuée à l'aide de l'interface de ligne de commande.
Exécutez l'opération ListWafLogs pour visualiser l'activité de journalisation.
Vous pouvez filtrer les journaux selon les options logType suivantes :
-
ACCESS_RULES
-
CAPTCHA_CHALLENGE
-
JAVASCRIPT_CHALLENGE
-
PROTECTION_RULES
-
HUMAN_INTERACTION_CHALLENGE
-
DEVICE_FINGERPRINT_CHALLENGE
-
THREAT_INTELLIGENCE_FEEDS
-
ADDRESS_RATE_LIMITING
-
ACCESS
Les journaux peuvent être filtrés sur une valeur logType via la demande suivante :
GET /20181116/waasPolicies/unique_ID/wafLogs?logType=logType&timeObservedGreaterThanOrEqualTo=timestamp&timeObservedLessThan=timestamp&compartmentId=unique_IDPar exemple :
GET /20181116/waasPolicies/ocid1.waaspolicy.oc1../wafLogs?logType=PROTECTION_RULES&timeObservedGreaterThanOrEqualTo=2019-10-24T13:00:00+00:00&timeObservedLessThan=2019-10-24T13:47:00+00:00&compartmentId=ocid1.compartment.oc1..La sortie de réponse suivante est renvoyée pour les journaux filtrés :
[ { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" }, { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" } ]-
Transmission de journaux WAF vers Object Storage
Explique comment transmettre des journaux WAF vers un bucket de stockage d'objet pour un stockage et un accès à plus long terme.
Cette tâche nécessite la création d'un bucket de stockage d'objet ou l'utilisation d'un bucket existant. Familiarisez-vous avec les buckets de stockage d'objet, notamment leur création et leur gestion, avant de passer à la transmission de données de journal WAF. Reportez-vous à Buckets Object Storage.
Le délai de conservation des journaux WAF est limité. Pour les conserver indéfiniment, vous pouvez transmettre les données de journal WAF vers un bucket de stockage d'objet de votre location. Commencez par créer et configurer le bucket de stockage d'objet, puis soumettez à Oracle une demande d'assistance avec les informations requises pour que les journaux WAF soient transmis vers le bucket.