Download de dados de eventos
Este tópico descreve como fazer o download de dados de eventos (eventos registrados e bloqueados) dos últimos cinco dias. Um ou mais arquivos CSV contendo os dados do evento do dia atual serão gerados no início do dia seguinte.
Se você ativou projetos empresariais, certifique-se de ter todas as permissões de operação para o projeto em que sua instância do WAF está localizada. Em seguida, você pode selecionar o projeto na lista suspensa Enterprise Project e fazer o download dos logs de eventos de proteção no projeto.
Pré-requisitos
- O site a ser protegido foi adicionado ao WAF.
- Um arquivo de evento foi gerado.
Limitações da especificação
- Cada arquivo pode incluir um máximo de eventos 5 000. Se houver mais de eventos 5 000, outro arquivo será gerado.
- Somente os dados de eventos dos últimos cinco dias podem ser baixados por meio do console do WAF.
Procedimento
- Efetue login no console de gerenciamento.
- Clique em
no canto superior esquerdo do console de gerenciamento e selecione uma região ou projeto. - Clique em
no canto superior esquerdo e escolha Web Application Firewall em Security & Compliance. - No painel de navegação à esquerda, escolha Events.
- Clique na guia Download Events e baixe os dados de proteção desejados. Tabela 1 descreve os parâmetros.
- Na coluna Operation, clique em Download para fazer download de dados para o PC local.
Campos em um arquivo de dados de evento de proteção
| Campo | Descrição | Valor de exemplo |
|---|---|---|
| action | Ação de proteção tomada em resposta ao evento | block |
| attack | Tipo de ataque | SQL Injection |
| body | Solicitar conteúdo do ataque | N/A |
| cookie | Biscoito do atacante | N/A |
| headers | Cabeçalho do atacante | N/A |
| host | Nome de domínio ou endereço IP do site protegido | www.example.com |
| id | ID do evento. | 02-11-16-20201121060347-feb42002 |
| payload | A parte do ataque que causa danos ao site protegido | python-requests/2.20.1 |
| payload_location | A localização do ataque que causa danos ou o número de vezes que o URL é acedido pelo atacante | user-agent |
| policyid | ID da política. | d5580c8f6cd4403ebbf85892d4bbb8e4 |
| request_line | Linha de pedido do ataque | GET / |
| rule | ID da regra contra a qual o evento é gerado. | 81066 |
| sip | Endereço IP público do visitante / invasor da web | N/A |
| time | Quando o evento ocorreu. | 2020/11/21 0:20:44 |
| url | URL do nome de domínio protegido | N/A |
Outras Operações
Habilite o LTS no WAF para armazenamento de registros de longo prazo. No LTS, você pode exibir os detalhes do registro de ataque e acesso. Para mais detalhes, veja Ativa LTS para registro em log do WAF.
