边缘安全加速平台 EO Web 安全监控告警

一、配置项说明

二、场景一：监控站点遭遇 CC 攻击事件并在 5 分钟内告警

某金融业务站点为满足监管合规要求，当业务域名www.example.com被 CC 攻击时需要在 5 分钟内快速响应。因此对站点的 CC 攻击事件进行监控。当站点遭受超过 5000 QPS CC 攻击时，5 分钟内推送告警至其安全运维团队处理。

1. 登录 边缘安全加速平台 EO 控制台，在左侧菜单栏中，进入服务总览，单击网站安全加速内需配置的站点。

2. 在站点详情页面，单击安全防护 > 告警通知推送，进入告警通知推送详情页面。

3. 在 Web 安全监控规则卡片中，单击设置，进入规则管理页面。

4. 单击添加规则，配置对应的告警规则。以当前场景为例，输入规则名称后，选择监控域名为 www.example.com，监控指标为 CC 攻击防护中高频访问请求限制、智能客户端过滤和慢速攻击防护事件，当 10 秒内超出 50000 次 CC 攻击时，则立即触发告警并通过你在 消息中心控制台 配置的通知渠道发送告警消息。

5. 单击确定完成配置。

三、场景二：监控命中托管规则的疑似漏洞攻击请求，并推送 Webhook 告警

某企业页面已接入的站点域名为 www.example.com，站点包含客户敏感信息，需时刻关注 SQL 注入类型漏洞攻击情况。当有任何请求命中了 SQL 注入攻击类别的 Web 托管规则时，需要立即触发告警并通过 Webhook 推送至企业微信机器人中，进行进一步分析。

1. 登录 边缘安全加速平台 EO 控制台，在左侧菜单栏中，进入服务总览，单击网站安全加速内需配置的站点。

2. 在站点详情页面，单击安全防护 > 告警通知推送，进入告警通知推送详情页面。

3. 在 Web 安全监控规则卡片中，单击设置，进入规则管理页面。

4. 单击添加规则，配置对应的告警规则。以当前场景为例，输入规则名称后，选择监控域名为 www.example.com，监控指标为请求命中托管规则为 SQL 注入攻击防护的规则，在 10 秒内超出 1 次，则立即触发告警并通过你在 消息中心控制台 配置的通知渠道发送告警消息，同时通过 Webhook 推送至指定的 URL 地址中。

5. 单击确定完成配置。

四、Webhook 消息内容模板

消息内容模板以 Go text/template 语法定义，支持通过{{.通知变量}}引用与 Web 安全监控相关的变量。默认消息内容模板如下：

通知类型：站点安全监控通知账号ID: {{.UIN}}昵称: {{.AccountName}}站点名称: {{.Zone}}监控对象: {{.Object}}监控规则名称: {{.AlertRule}}告警时间: {{.StartTime}} (GMT +8:00)告警条件: {{.Condition.TimeSpan}}秒内超过{{.Condition.Threshold}}个请求监控项指标: {{.Condition.TimeSpan}}秒内{{.MetricValue}}个请求

注意：目前控制台不支持自助修改消息内容模板，若你有相关需求，请联系 售后支持。

五、Condition 对象结构

告警触发条件，即用户配置的静态告警条件。

Condition 对象的示例值如下：

{ "TimeSpan": 10, "Threshold": 1}