Création d'une politique d'alerte de sécurité dans la console

Pour créer une politique d'alerte de sécurité dans la console, procédez comme suit :

1. Dans la console CIS, accédez à la page Compte, puis sélectionnez l'onglet Alertes.

2. Sélectionnez les politiques d'alerte, puis cliquez sur Créer.

3. Sélectionnez le type de politique d'alerte que vous souhaitez créer. Pour plus d'informations, voir Types d'alerte pour sélectionner les politiques d'alerte.

4. Entrez un nom pour votre règle d'alerte et entrez éventuellement une description.

5. Choisissez une méthode d'alerte. Vous pouvez sélectionner un ancrage web, entrer une adresse e-mail pour envoyer des alertes à, ou les deux. Une seule notification est requise pour terminer la configuration.

   • Entrez une adresse e-mail à laquelle Cloud Internet Services (CIS) envoie des alertes. Cliquez sur + pour ajouter l'adresse à l'alerte. Répétez l'opération pour toutes les adresses e-mail.
   • Cliquez sur Ajouter un point d'ancrage web et sélectionnez un ancrage web disponible. Si aucun point d'ancrage web n'est présent, cette option n'est pas disponible.

6. Cliquez sur Créer.

Par défaut, les règles d'alerte sont activées lorsqu'elles sont créées. Vous pouvez désactiver les alertes que vous avez créées en basculant le bouton dans la colonne Activé.

Création d'une politique d'alerte de sécurité avancée dans la console

Pour créer une politique d'alerte de sécurité avancée dans la console, procédez comme suit :

1. Dans la console CIS, accédez à la page Compte, puis sélectionnez l'onglet Alertes.

2. Sélectionnez les politiques d'alerte, puis cliquez sur Créer

3. Sélectionnez Alerte avancée sur les événements de sécurité, puis cliquez sur Suivant.

4. Entrez un nom pour votre règle d'alerte et entrez éventuellement une description.

5. Choisissez une méthode d'alerte. Vous pouvez soit sélectionner un webhook, soit saisir une adresse e-mail à laquelle envoyer les alertes, soit les deux. Une seule notification est requise pour terminer la configuration.

   • Entrez une adresse e-mail à laquelle Cloud Internet Services (CIS) envoie des alertes. Cliquez sur + pour ajouter l'adresse à l'alerte. Répétez l'opération pour toutes les adresses e-mail.
   • Cliquez sur Ajouter un point d'ancrage web et sélectionnez un ancrage web disponible. Si aucun point d'ancrage web n'est présent, cette option n'est pas disponible.

6. Cliquez sur Suivant.

7. Sélectionnez à quelles domaines les règles d'alerte s'appliquent.

8. Sélectionnez à quels services les règles d'alerte s'appliquent.

9. Cliquez sur Créer.

Mise à jour d'une politique d'alerte dans la console

Pour mettre à jour une politique d'alerte dans la console, procédez comme suit :

1. Dans la console CIS, accédez à la page Compte, puis sélectionnez l'onglet Alertes.
2. Dans les politiques d'alerte, localisez la politique d'alerte que vous souhaitez mettre à jour, puis cliquez sur le menu Actions pour cette ligne.
3. Cliquez sur le bouton Editer.
4. Apporter les modifications nécessaires. Vous pouvez modifier le nom et la description, ajouter ou supprimer des adresses e-mail, ainsi qu'ajouter, supprimer ou mettre à jour des webhooks.
5. Cliquez sur Sauvegarder.

Suppression d'une politique d'alerte dans la console

Pour supprimer une politique d'alerte, procédez comme suit :

1. Dans la console CIS, accédez à la page Compte, puis sélectionnez l'onglet Alertes.
2. Dans la section Politiques d'alerte, localisez la politique d'alerte que vous souhaitez supprimer, puis cliquez sur le menu Actions pour cette ligne.
3. Cliquez sur Supprimer, puis confirmez la suppression.

Vous ne pouvez supprimer que les alertes que vous avez créées.

Liste de toutes les politiques d'alerte depuis l'interface de ligne de commande (CLI)

Pour répertorier toutes les politiques d'alerte à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy list [-i, --instance INSTANCE] [--output FORMAT]

Obtenir les détails d'une politique d'alerte depuis l'interface de ligne de commande (CLI)

Pour obtenir les détails d'une politique d'alerte à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy get POLICY_ID [-i, --instance INSTANCE] [--output FORMAT]

Création d'une politique d'alerte DDoS à partir de l'interface de ligne de commande (CLI)

Pour créer une politique d'alerte d'attaque de type DDoS à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy ddos-attack-l7-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Création d'une politique d'alerte de basculement de pool à partir de l'interface de ligne de commande (CLI)

Pour créer une politique d'alerte de basculement de pool à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy pool-toggle-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --pools POOLS --trigger-condition (enabled | disabled | either) [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Création d'une politique d'alerte de sécurité à partir de l'interface de ligne de commande (CLI)

Créer une stratégie d'alerte concernant les pics dans les événements de pare-feu. Les alertes relatives aux événements de pare-feu utilisent un calcul de score z portant sur les six dernières heures et des tranches de cinq minutes d'événements. Une alerte est déclenchée dès que le z-score dépasse 3.5 (le seuil). Vous ne recevez pas d'alertes en double dans le même laps de temps de deux heures.

Pour créer une alerte de sécurité à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy firewall-events-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --domains DOMAINS [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Création d'une politique d'alerte universelle SSL à partir du CLI

Pour créer une politique d'alerte pour les événements liés aux certificats à partir de l'interface de gestion, exécutez la commande suivante :

ibmcloud cis alert-policy certificate-alert-create --type (universal | dedicated | custom) --name NAME --emails EMAIL [--emails EMAIL ...] [--webhooks WEBHOOK_ID ...] [--enabled (true | false)] [--include-future-certificates (true | false)] [--certificates CERT_ID ...] [-i, --instance INSTANCE] [-o, --output FORMAT]

Création d'une politique d'alerte de contrôle de santé de l'équilibreur de charge à partir de l'interface de ligne de commande

Pour créer une politique d'alerte pour les changements dans les alertes de contrôle de santé de l'équilibreur de charge à partir de l'interface de ligne de commande, exécutez la commande suivante :

ibmcloud cis alert-policy glb-healthcheck-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --pools POOLS [--include-future-pools (true | false)] [--health-status-trigger (healthy | unhealthy | either)] [--event-source-trigger (pool | origin | either)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Mise à jour d'une politique d'alerte d'attaque DDoS depuis l'interface de ligne de commande (CLI)

Pour mettre à jour une politique d'alerte d'attaque de type DDoS à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy ddos-attack-l7-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Mise à jour d'une politique d'alerte de basculement de pool à partir de l'interface de ligne de commande (CLI)

Pour mettre à jour une politique d'alerte de basculement de pool à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy pool-toggle-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--pools POOLS] [--trigger-condition (enabled | disabled | either)] [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Mise à jour d'une politique d'alerte de sécurité à partir de l'interface de ligne de commande (CLI)

Pour mettre à jour une politique d'alerte de sécurité à partir de l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy firewall-events-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--domains DOMAINS] [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Suppression d'une politique d'alerte depuis l'interface de ligne de commande (CLI)

Pour supprimer une politique d'alerte depuis l'interface de ligne de commande (CLI), exécutez la commande suivante :

ibmcloud cis alert-policy delete POLICY_ID [-i, --instance INSTANCE] [-f, --force]

Création d'une politique d'attaque DDoS avec l'API

Pour créer une politique d'alerte de type DDoS (attaque de couche 7) à l'aide de l'API, exécutez la commande suivante :

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

Où :

• -d correspond au tableau d'attributs requis pour créer l'alerte.
  • Nom est le nom de l'alerte.
  • Activé est l'état de l'alerte (un de true, false).
  • alert_type est le type de l'alerte ( dos_attack_l7, load_balancing_pool_enablement_alert, clickhouse_alert_fw_anomaly, clickhouse_alert_fw_ent_anomaly, dedicated_ssl_certificate_event_type, universal_ssl_event_type, load_balancing_health_alert ou web_analytics_metrics_update).
  • Les mécanismes sont au moins l'un des email, webhooks.
  • Description (facultatif) est la description de l'alerte.

Création d'une politique d'alerte de basculement de pool avec l'API

Pour créer la politique d'alerte de basculement de pool avec l'API, exécutez la commande suivante :

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"load_balancing_pool_enablement_alert","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]},
       “filters”: {
       “enabled”: [
         “false”,
         “true”
       ],
       “pool_id”: [
         “6e67c08e3bae7eb398101d08def8a68a”,
         “df2d9d70fcb194ea60d2e58397cb35a6”
       ]
       },
       "conditions": {
       }}'

Où :

• -d correspond au tableau d'attributs requis pour créer l'alerte.
  • Nom est le nom de l'alerte.
  • Activé est l'état de l'alerte (un de true, false).
  • alert_type est le type de l'alerte ( dos_attack_l7, load_balancing_pool_enablement_alert, clickhouse_alert_fw_anomaly, clickhouse_alert_fw_ent_anomaly, dedicated_ssl_certificate_event_type, universal_ssl_event_type ou load_balancing_health_alert).
  • Les mécanismes sont au moins l'un des email, webhooks.
  • Description (facultatif) est la description de l'alerte.
  • Filtre est la liste de tous les statuts d'activation et tous les ID de pool pour l'alerte de basculement de pool.
  • Conditions décrit pour tous les pools si le pool est activé, désactivé ou les deux. Le contenu est généré automatiquement si la zone est vide.

Création d'une politique d'alerte de sécurité (WAF) avec l'API

Pour créer une politique d'alerte WAF avec l'API, exécutez la commande suivante :

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for any service",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
    }
  }'

Où :

• -d correspond au tableau d'attributs requis pour créer l'alerte.
  • Nom est le nom de l'alerte.
  • Description (facultatif) est la description de l'alerte.
  • Activé est l'état de l'alerte (un de true, false).
  • alert_type est le type de l'alerte ( dos_attack_l7, load_balancing_pool_enablement_alert, clickhouse_alert_fw_anomaly, clickhouse_alert_fw_ent_anomaly, dedicated_ssl_certificate_event_type, universal_ssl_event_type ou load_balancing_health_alert).
  • Les mécanismes sont au moins l'un des email, webhooks.
  • Les filtres correspondent à la liste de toutes les zones concernées par l'alerte WAF.

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for WAF or browser integrity check",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_ent_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "services": [
      "waf",
      "bic"
    ],
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
    }
  }'

Création d'une politique d'alerte universelle SSL avec l'API

Pour créer une politique d'alerte universelle SSL à l'aide de l'API, exécutez la commande suivante :

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"universal_ssl_event_type","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

Où :

• -d correspond au tableau d'attributs requis pour créer l'alerte.
  • Nom est le nom de l'alerte.
  • Activé est l'état de l'alerte (un de true, false).
  • alert_type est le type de l'alerte ( dos_attack_l7, load_balancing_pool_enablement_alert, clickhouse_alert_fw_anomaly, clickhouse_alert_fw_ent_anomaly, dedicated_ssl_certificate_event_type, universal_ssl_event_type ou load_balancing_health_alert).
  • Mécanismes est au moins l'un des email, webhooks.
  • Description (facultatif) est la description de l'alerte.

Création d'une politique d'alerte de contrôle de santé d'un équilibreur de charge avec l'API

Pour créer une politique d'alerte de contrôle de santé de l'équilibreur de charge à l'aide de l'API, exécutez la commande suivante :

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"load_balancing_health_alert","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]},
       “filters”: {
       “event_source”: [
         “pool”,
         “origin”
       ],
       “new_health”: [
         “Healthy”,
         “Unhealthy”
       ],
       “pool_id”: [
         “6e67c08e3bae7eb398101d08def8a68a”,
         “df2d9d70fcb194ea60d2e58397cb35a6”
       ]
       }}'

Où :

• -d correspond au tableau d'attributs requis pour créer l'alerte.
  • Nom est le nom de l'alerte.
  • Activé est l'état de l'alerte (un de true, false).
  • alert_type est le type de l'alerte ( dos_attack_l7, load_balancing_pool_enablement_alert, clickhouse_alert_fw_anomaly, clickhouse_alert_fw_ent_anomaly, dedicated_ssl_certificate_event_type, universal_ssl_event_type ou load_balancing_health_alert).
  • Mécanismes est au moins l'un des email, webhooks.
  • Description (facultatif) est la description de l'alerte.
  • le filtre est la liste de toutes les sources, de tous les pools et de tous les états de santé pour l'alerte de santé de l'équilibrage de charge.

Mise à jour d'une politique d'alerte avec l'API

Pour mettre à jour une politique d'alerte avec l'API, telle qu'une politique d'alerte par courrier électronique, exécutez la commande suivante :

curl -X PUT \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","conditions":{},"mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

La zone Conditions est obligatoire, même si elle peut être vide.

Suppression d'une politique d'alerte avec l'API

Pour supprimer une politique d'alerte à l'aide de l'API, exécutez la commande suivante :

curl -X DELETE \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'accept: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx'