Download de dados de eventos
Este tópico descreve como fazer o download de dados de eventos (eventos registrados e bloqueados) dos últimos cinco dias. Um ou mais arquivos CSV contendo os dados do evento do dia atual serão gerados no início do dia seguinte.
Se você ativou projetos empresariais, certifique-se de ter todas as permissões de operação para o projeto em que sua instância do WAF está localizada. Em seguida, você pode selecionar o projeto na lista suspensa Enterprise Project e fazer o download dos logs de eventos de proteção no projeto.
Pré-requisitos
- O site a ser protegido foi adicionado ao WAF.
- Um arquivo de evento foi gerado.
Limitações da especificação
- Cada arquivo pode incluir um máximo de eventos 5 000. Se houver mais de eventos 5 000, outro arquivo será gerado.
- Somente os dados de eventos dos últimos cinco dias podem ser baixados por meio do console do WAF.
Procedimento
- Efetue login no console de gerenciamento.
- Clique em
no canto superior esquerdo do console de gerenciamento e selecione uma região ou projeto. - Clique em
no canto superior esquerdo e escolha Web Application Firewall em Security & Compliance. - No painel de navegação à esquerda, escolha Events.
- Clique na guia Download Events e baixe os dados de proteção desejados. Tabela 1 descreve os parâmetros.
- Na coluna Operation, clique em Download para fazer download de dados para o PC local.
Campos em um arquivo de dados de evento de proteção
|
Campo |
Descrição |
Valor de exemplo |
|---|---|---|
|
action |
Ação de proteção tomada em resposta ao evento |
block |
|
attack |
Tipo de ataque |
SQL Injection |
|
body |
Solicitar conteúdo do ataque |
N/A |
|
cookie |
Biscoito do atacante |
N/A |
|
headers |
Cabeçalho do atacante |
N/A |
|
host |
Nome de domínio ou endereço IP do site protegido |
www.example.com |
|
id |
ID do evento. |
02-11-16-20201121060347-feb42002 |
|
payload |
A parte do ataque que causa danos ao site protegido |
python-requests/2.20.1 |
|
payload_location |
A localização do ataque que causa danos ou o número de vezes que o URL é acedido pelo atacante |
user-agent |
|
policyid |
ID da política. |
d5580c8f6cd4403ebbf85892d4bbb8e4 |
|
request_line |
Linha de pedido do ataque |
GET / |
|
rule |
ID da regra contra a qual o evento é gerado. |
81066 |
|
sip |
Endereço IP público do visitante / invasor da web |
N/A |
|
time |
Quando o evento ocorreu. |
2020/11/21 0:20:44 |
|
url |
URL do nome de domínio protegido |
N/A |
Outras Operações
Habilite o LTS no WAF para armazenamento de registros de longo prazo. No LTS, você pode exibir os detalhes do registro de ataque e acesso. Para mais detalhes, veja Ativa LTS para registro em log do WAF.
