使用CES配置WAF指标异常告警

本文档介绍如何在华为云云监控服务（CES）对WAF指标配置异常告警。创建通过设置WAF告警规则，用户可自定义监控目标与通知策略，设置告警规则名称、监控对象、监控指标、告警阈值、监控周期和是否发送通知等参数，帮助您及时了解WAF防护状况，从而起到预警作用。

WAF提供的监控指标请参见WAF监控指标。

表1 资源和成本规划
资源	资源说明	每月费用
Web应用防火墙（防护域名监控告警规则）	云模式-标准版：计费模式：包年/包月域名数量：10个防护域名 QPS配额：2,000QPS业务请求支持带宽峰值：源站服务器部署在华为云内：100Mbps 源站服务器部署在华为云外：30Mbps	具体的计费方式及标准请参考计费说明。
Web应用防火墙（独享实例监控告警规则）	独享模式：计费模式：按需计费月版本规格：WI-100 吞吐量：100 Mbit/s HTTP业务：建议1,000QPS HTTPS业务：建议800QPS Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000	具体的计费方式及标准请参考计费说明。
云监控服务	云监控服务基础功能免费，包括查看监控看板、创建告警规则、添加监控项等。如果需要接收告警通知，会产生增值服务的费用。消息通知服务会从短信、邮件、HTTP、HTTPS的使用中收费，具体价格请参考产品价格说明。	-

防护域名监控告警规则适用于WAF云模式。

配置相关参数。

图1 创建防护域名告警规则

表2 告警策略配置建议
指标名称	指标含义	告警模板建议值
请求量	该指标用于统计测量对象近5分钟内WAF返回的请求量的总数。	原始值连续1次环比下降50%，则每5分钟告警。原始值连续1次环比上升50%，则每5分钟告警。
WAF返回码（5XX）	该指标用于统计测量对象近5分钟内WAF返回的5XX状态码的数量。	原始值连续1次＞=10，则每5分钟告警。
WAF熔断量	该指标用于统计测量对象近5分钟内被WAF熔断保护的请求数量。	原始值连续1次＞=1，则每5分钟告警。
业务返回码（5XX）	该指标用于统计近5分钟内业务返回的5XX系列状态响应码的数量。	原始值连续1次＞=10，则每5分钟告警。
基础防护次数	该指标用于统计近5分钟内由Web基础防护规则防护的攻击数量。	原始值连续1次环比上升50%，则每5分钟告警。
CC防护次数	该指标用于统计近5分钟内由CC防护规则防护的攻击数量。	原始值连续1次环比上升50%，则每5分钟告警。

独享实例监控告警规则适用于WAF独享模式。

配置相关参数。

图2 创建独享实例告警规则

您可以通过CES管理控制台，查看WAF的相关指标，及时了解WAF防护状况。

在左侧导航树栏，选择“云服务监控”，进入“云服务监控”页面。
在搜索框中搜索“看板名称：Web应用防火墙 WAF”，在“看板名称”列，单击“Web应用防火墙 WAF”，进入“云服务监控详情”页面。
在“云服务概览”页签，可查看资源概况、告警统计的相关指标。

图3 查看关键指标
选择“资源详情”页签，在目标实例列表的“操作”列中，单击“查看监控指标”，查看对象的指标详情。

在WAF“网站设置”列表中，目标域名所在行的“操作”列，单击“云监控”，可直接查看单个网站的监控信息。

图4 查看监控指标