Настроить логирование через Application Load Balancer

1. В консоли управления выберите каталог, в котором находится профиль Smart Web Security.
2. Выберите сервис Application Load Balancer.
3. В списке выберите балансировщик, к которому привязан профиль безопасности.
4. Нажмите и выберите Редактировать.
5. В блоке Настройки логов:
   1. Включите опцию Запись логов.
   2. Выберите или создайте лог-группу Cloud Logging, в которую будут записываться логи балансировщика.
   3. Нажмите кнопку Добавить правило отбрасывания логов и настройте его параметры.
6. Нажмите Сохранить.

Другие способы включения логов см. в разделе Настроить запись логов L7-балансировщика.

1. В консоли управления выберите каталог, в котором находится профиль Smart Web Security.

2. Выберите сервис Application Load Balancer.

3. Выберите раздел Логи.

4. Выберите количество сообщений на одной странице и период: 1 час, 3 часа, 1 день, 1 неделя, 2 недели.

5. В строке Запрос укажите запрос на языке фильтрующих выражений и нажмите кнопку Выполнить.

   Примеры запросов приведены ниже.

6. Чтобы посмотреть содержимое лога, разверните его.

Другие способы просмотра логов см. в разделах Посмотреть логи L7-балансировщика и Чтение записей.

Примеры готовых фильтров для логовПримеры готовых фильтров для логов

Логи поставляются в формате JSON. Одна запись в логах соответствует одному запросу клиента к L7-балансировщику.

Запросы для фильтрации логов составляются исходя из взаимосвязи профилей и правил Smart Web Security. Вы можете посмотреть логи активных, работающих правил или правил в режиме Только логирование (dry run).

Фильтры для активных правилФильтры для активных правил

• Показать запросы, заблокированные базовыми правилами с определенными условиями. Например, по списку или региону IP:

  json_payload.smartwebsecurity.matched_rule.rule_type = RULE_CONDITION and json_payload.smartwebsecurity.matched_rule.verdict = DENY
  

• Показать запросы, для которых сработали правила Smart Protection с отправкой на капчу:

  json_payload.smartwebsecurity.matched_rule.rule_type = SMART_PROTECTION and json_payload.smartwebsecurity.matched_rule.verdict = CAPTCHA
  

• Показать запросы, заблокированные по профилю WAF — правилами WAF из профиля безопасности:

  json_payload.smartwebsecurity.matched_rule.rule_type = WAF and json_payload.smartwebsecurity.matched_rule.verdict = DENY
  

• Показать запросы, заблокированные правилами профиля ARL:

  json_payload.smartwebsecurity.advanced_rate_limiter.verdict = DENY
  

• Показать запросы, для которых сработало конкретное правило ARL — arl-rule-1:

  json_payload.smartwebsecurity.advanced_rate_limiter.verdict = DENY and json_payload.smartwebsecurity.advanced_rate_limiter.applied_quota_name = "arl-rule-1"
  

Таким же образом вы можете добавить в фильтры другие условия и изменять их с учетом особенностей вашего потока трафика.

Фильтры для правил в режиме логированияФильтры для правил в режиме логирования

• Показать запросы, для которых сработали правила Smart Protection с отправкой на капчу:

  json_payload.smartwebsecurity.dry_run_matched_rule.rule_type = SMART_PROTECTION and json_payload.smartwebsecurity.dry_run_matched_rule.verdict = CAPTCHA
  

• Посмотреть запросы, для которых сработали правила ARL (лимиты на запросы).

  Для режима Только логирование не подойдет запрос с фильтрацией по вердикту DENY, поскольку в этом режиме запросы не блокируются. Вердикт правил будет ALLOW даже после превышения лимита. Для отладки правил используйте параметр dry_run_exceeded_quota_names. Параметр показывает, какие правила ARL сработали на запросе. Если в этом параметре нет правил — лимиты не превышались.

  Пример фрагмента лога с параметром dry_run_exceeded_quota_names:

  "smartwebsecurity": {
    "advanced_rate_limiter": {
      "applied_quota_name": "",
      "dry_run_exceeded_quota_names": [
        "<rule_name_1>",
        "<rule_name_2>"
      ],
      "profile_id": "<profile_id>",
      "verdict": "ALLOW"
    },
  

В этом фрагменте лимиты превышены для правил <rule_name_1> и <rule_name_2> в профиле <profile_id>.