Log
Log visualizza l'attività di log e i dettagli di ciascun evento registrato in un intervallo di tempo specificato. I log consentono di comprendere quali regole e contromisure vengono attivate dalle richieste e vengono utilizzati come base per spostare la gestione delle richieste in modalità blocco. I log possono provenire da controlli dell'accesso, regole di protezione o eventi bot.
In caso di dubbi sui requisiti generali del GDPR (General Data Protection Regulation), è possibile disabilitare i log per il servizio WAF. Puoi inviare una richiesta di assistenza tramite My Oracle Support per disabilitare i log.
Quando si utilizza il servizio WAF, tenere presenti le informazioni riportate di seguito.
- Il criterio di conservazione dei log per il servizio WAF dura sette giorni; tuttavia, puoi richiedere di impostare un bucket S3 e di ricevere più log. I log nel bucket possono essere conservati per tutto il tempo che si desidera.
- Sono supportati solo i bucket OCI "Standard". Il livello di storage "Archivia" non è supportato.
- La consegna dei log allo stack ELK è supportata solo per i bucket OCI e S3. I log non elaborati vengono inviati ai bucket. Dai bucket è possibile implementarli nella ricerca elastica.
Visualizzazione dei log
Descrive i diversi metodi per visualizzare i log per un criterio perimetrale.
È possibile filtrare i log in base ai tipi di log riportati di seguito.
-
Regole di accesso
-
Richiesta di verifica CAPTCHA
-
JavaScript Richiesta di verifica
-
Regole di protezione
-
Richiesta di verifica interazione umana
-
Richiesta di verifica impronta dispositivo
-
Feed intelligence sulle minacce
-
Limitazione di frequenza indirizzi
-
Accedi
Utilizzare uno dei metodi riportati di seguito per visualizzare i log per un criterio perimetrale.
Le voci di log vengono visualizzate in base alle opzioni scelte. Questo task non può essere eseguito utilizzando l'interfaccia CLI.
Eseguire l'operazione ListWafLogs per visualizzare l'attività di log.
È possibile filtrare i log in base alle seguenti opzioni logType:
-
ACCESS_RULES
-
CAPTCHA_CHALLENGE
-
JAVASCRIPT_CHALLENGE
-
PROTECTION_RULES
-
HUMAN_INTERACTION_CHALLENGE
-
DEVICE_FINGERPRINT_CHALLENGE
-
THREAT_INTELLIGENCE_FEEDS
-
ADDRESS_RATE_LIMITING
-
ACCESS
È possibile filtrare i log in base a logType effettuando la seguente richiesta:
GET /20181116/waasPolicies/unique_ID/wafLogs?logType=logType&timeObservedGreaterThanOrEqualTo=timestamp&timeObservedLessThan=timestamp&compartmentId=unique_IDAd esempio:
GET /20181116/waasPolicies/ocid1.waaspolicy.oc1../wafLogs?logType=PROTECTION_RULES&timeObservedGreaterThanOrEqualTo=2019-10-24T13:00:00+00:00&timeObservedLessThan=2019-10-24T13:47:00+00:00&compartmentId=ocid1.compartment.oc1..Viene restituito il seguente output di risposta per i log filtrati:
[ { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|fa68cab479|192.0.2.0|uwDPcqR0Qt", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" }, { "action": "BLOCK", "clientAddress": "192.0.2.0", "countryCode": "US", "countryName": "United States", "domain": "example.com", "httpHeaders": { "Accept": "*/*", "Host": "example.com", "Referer": "", "Request-Id": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "User-Agent": "curl/7.54.0", "X-Client-Ip": "192.0.2.0", "X-Country-Code": "US", "X-Forwarded-For": "192.0.2.0, 192.0.2.0" }, "httpMethod": "GET", "httpVersion": "HTTP/1.1", "incidentKey": "2019-10-24T13:46:25Z|43bd96b710|192.0.2.0|E04WECJbcY", "logType": "PROTECTION_RULES", "protectionRuleDetections": { "950002": { "Message": "System Command Access. Matched Data: cmd.exe found within ARGS:abc: cmd.exe", "Message details": "Access denied with code 403 (phase 2). Pattern match \"\\\\b(?:(?:n(?:map|et|c)|w(?:guest|sh)|telnet|rcmd|ftp)\\\\.exe\\\\b|cmd(?:(?:32)?\\\\.exe\\\\b|\\\\b\\\\W*?\\\\/c))\" at ARGS:abc." } }, "requestUrl": "/?abc=cmd.exe", "timestamp": "Thu, 24 Oct 2019 13:46:25 GMT", "userAgent": "curl/7.54.0" } ]-
Distribuzione dei log WAF nello storage degli oggetti
Descrive come distribuire i log WAF a un bucket di storage degli oggetti per garantire storage e accesso a lungo termine.
Questo task richiede la creazione di un bucket di storage degli oggetti o l'utilizzo di un bucket esistente. Acquisisci familiarità con i bucket di storage degli oggetti e come crearli e gestirli prima di procedere con la distribuzione dei dati di log WAF. Vedere Bucket di storage degli oggetti.
I log WAF hanno una frequenza di conservazione limitata. Puoi salvarli a tempo indeterminato distribuendo i dati di log WAF in un bucket di storage degli oggetti all'interno della tua tenancy. Crea e configura prima il bucket di storage degli oggetti, quindi invia una richiesta di supporto a Oracle con le informazioni necessarie per fare in modo che i log WAF vengano consegnati al bucket.