コンソールでのセキュリティアラートポリシーの作成

コンソールでセキュリティ警告ポリシーを作成するには、以下の手順に従います：

1. CIS コンソールで、 Account ページに移動し、 Alerts タブを選択する。

2. アラートポリシーを選択し、［ 作成 ］をクリックします。

3. 作成したいアラートポリシーの種類を選択してください。 詳細については、アラート・ポリシーを選択する アラート・タイプを 参照してください。

4. アラート・ポリシーの名前を入力し、オプションで説明を入力します。

5. アラート方式を選択します。 Webhook を選択するか、アラートの送信先の E メール・アドレスを入力するか、またはその両方を実行できます。 構成を完了するために必要な通知は 1 つのみです。

   • Cloud Internet Services (CIS) がアラートを送信する E メール・アドレスを入力します。 +をクリックして、アラートにアドレスを追加します。 すべての E メール・アドレスについて繰り返します。
   • Webhook の追加 をクリックし、使用可能な Webhook を選択します。 Webhook が存在しない場合、このオプションは使用できません。

6. 「作成」 をクリックします。

デフォルトでは、アラート・ポリシーは作成時に有効になります。 「 有効 」列のトグルを切り替えることで、自分で作成したアラートを無効にすることができます。

コンソールでの高度なセキュリティアラートポリシーの作成

コンソールで高度なセキュリティ警告ポリシーを作成するには、以下の手順に従います：

1. CIS コンソールで、 Account ページに移動し、 Alerts タブを選択する。

2. アラートポリシーを選択し、 作成をクリックします

3. Advanced security events alert ］を選択し、［ Next］をクリックします。

4. アラート・ポリシーの名前を入力し、オプションで説明を入力します。

5. アラート方式を選択します。 Webhookを選択するか、アラートを送信するメールアドレスを入力するか、あるいはその両方を行うことができます。 構成を完了するために必要な通知は 1 つのみです。

   • Cloud Internet Services (CIS) がアラートを送信する E メール・アドレスを入力します。 +をクリックして、アラートにアドレスを追加します。 すべての E メール・アドレスについて繰り返します。
   • Webhook の追加 をクリックし、使用可能な Webhook を選択します。 Webhook が存在しない場合、このオプションは使用できません。

6. 次へ をクリックします。

7. アラート・ポリシーがモニターするドメインを選択します。

8. アラート・ポリシーがモニターするサービスを選択します。

9. 「作成」 をクリックします。

コンソールでアラートポリシーを更新する

コンソールでアラートポリシーを更新するには、以下の手順に従います：

1. CIS コンソールで、 Account ページに移動し、 Alerts タブを選択する。
2. アラートポリシーで、更新したいアラートポリシーを探し、その行のアクションメニューをクリックします。
3. 「編集」 をクリックします。
4. 必要な変更を加える。 名前や説明の変更、メールアドレスの追加や削除、およびWebhookの追加、削除、更新を行うことができます。
5. 保存 をクリックします。

コンソールでのアラートポリシーの削除

アラートポリシーを削除するには、以下の手順に従ってください：

1. CIS コンソールで、 Account ページに移動し、 Alerts タブを選択する。
2. アラートポリシーセクションで、削除したいアラートポリシーを探し、その行のアクションメニューをクリックします。
3. 削除をクリックし、削除を確認します。

自分が作成したアラートのみ削除できます。

CLI からすべてのアラートポリシーを一覧表示する

CLI からすべてのアラートポリシーを一覧表示するには、次のコマンドを実行します

ibmcloud cis alert-policy list [-i, --instance INSTANCE] [--output FORMAT]

CLI からアラートポリシーの詳細を取得する

CLI からアラートポリシーの詳細を取得するには、次のコマンドを実行します

ibmcloud cis alert-policy get POLICY_ID [-i, --instance INSTANCE] [--output FORMAT]

CLI から「 DDoS 」攻撃アラートポリシーを作成する

CLI から「 DDoS 」攻撃アラートポリシーを作成するには、次のコマンドを実行します

ibmcloud cis alert-policy ddos-attack-l7-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI からプール・トグル・アラート・ポリシーを作成する

CLI からプール・トグル・アラート・ポリシーを作成するには、次のコマンドを実行します

ibmcloud cis alert-policy pool-toggle-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --pools POOLS --trigger-condition (enabled | disabled | either) [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI からのセキュリティアラートポリシーの作成

ファイアウォール・イベントのスパイクに関するアラート・ポリシーを作成します。 ファイアウォールのイベントアラートでは、過去6時間分のイベントを5分単位のバケットに分けて、Zスコアの計算が行われます。 Zスコアが 3.5 （閾値）を超えると、アラートが発動します。 同じ2時間枠内で重複してアラートを受信することはありません。

CLI からセキュリティアラートを作成するには、次のコマンドを実行します

ibmcloud cis alert-policy firewall-events-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --domains DOMAINS [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLIからユニバーサル SSL アラートポリシーを作成する

CLI から証明書イベントのアラート・ポリシーを作成するには、以下のコマンドを実行します：

ibmcloud cis alert-policy certificate-alert-create --type (universal | dedicated | custom) --name NAME --emails EMAIL [--emails EMAIL ...] [--webhooks WEBHOOK_ID ...] [--enabled (true | false)] [--include-future-certificates (true | false)] [--certificates CERT_ID ...] [-i, --instance INSTANCE] [-o, --output FORMAT]

CLIからロードバランサーのヘルスチェック警告ポリシーを作成する

CLIからロードバランサーのヘルスチェックアラートの変更に関するアラートポリシーを作成するには、次のコマンドを実行します：

ibmcloud cis alert-policy glb-healthcheck-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --pools POOLS [--include-future-pools (true | false)] [--health-status-trigger (healthy | unhealthy | either)] [--event-source-trigger (pool | origin | either)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI から「 DDoS 」攻撃アラートポリシーを更新する

CLI から「 DDoS 」攻撃アラートポリシーを更新するには、次のコマンドを実行します

ibmcloud cis alert-policy ddos-attack-l7-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI からプール切り替えアラートポリシーを更新する

CLI からプール・トグル・アラート・ポリシーを更新するには、次のコマンドを実行します

ibmcloud cis alert-policy pool-toggle-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--pools POOLS] [--trigger-condition (enabled | disabled | either)] [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI からのセキュリティアラートポリシーの更新

CLI からセキュリティアラートポリシーを更新するには、次のコマンドを実行します

ibmcloud cis alert-policy firewall-events-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--domains DOMAINS] [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

CLI からアラートポリシーを削除する

CLI からアラートポリシーを削除するには、次のコマンドを実行します

ibmcloud cis alert-policy delete POLICY_ID [-i, --instance INSTANCE] [-f, --force]

API を使って DDoS 攻撃ポリシーを作成する

API を使用して、 DDoS のレイヤー 7 攻撃アラートポリシーを作成するには、次のコマンドを実行します

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

ここで、

• -d は、アラートを作成するために必要な属性の配列です。
  • 名前 はアラートの名前です。
  • 有効 は、アラートの状態 ( true、 falseのいずれか) です。
  • alert_type は、アラートのタイプ ( dos_attack_l7、 load_balancing_pool_enablement_alert、 clickhouse_alert_fw_anomaly、 clickhouse_alert_fw_ent_anomaly、 dedicated_ssl_certificate_event_type、 universal_ssl_event_type、 load_balancing_health_alert、または web_analytics_metrics_update のいずれか) です。
  • メカニズム は、少なくとも 1 つの email、 webhooks です。
  • 説明 (オプション) は、アラートの説明です。

APIを使用してプールのトグル警告ポリシーを作成する

APIを使用してプールトグル警告ポリシーを作成するには、以下のコマンドを実行します：

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"load_balancing_pool_enablement_alert","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]},
       “filters”: {
       “enabled”: [
         “false”,
         “true”
       ],
       “pool_id”: [
         “6e67c08e3bae7eb398101d08def8a68a”,
         “df2d9d70fcb194ea60d2e58397cb35a6”
       ]
       },
       "conditions": {
       }}'

ここで、

• -d は、アラートを作成するために必要な属性の配列です。
  • 名前 はアラートの名前です。
  • 有効 は、アラートの状態 ( true、 falseのいずれか) です。
  • alert_type は、アラートのタイプ ( dos_attack_l7、 load_balancing_pool_enablement_alert、 clickhouse_alert_fw_anomaly、 clickhouse_alert_fw_ent_anomaly、 dedicated_ssl_certificate_event_type、 universal_ssl_event_type、または load_balancing_health_alert のいずれか) です。
  • メカニズム は、少なくとも 1 つの email、 webhooks です。
  • 説明 (オプション) は、アラートの説明です。
  • フィルター は、プール・トグル・アラートのすべての使用可能化状況およびプール ID のリストです。
  • 条件 は、プールが使用可能、使用不可、またはその両方のいずれであるかをすべてのプールについて記述します。 フィールドが空の場合、コンテンツは自動的に生成されます。

APIを使ったセキュリティ(WAF)警告ポリシーの作成

APIを使ってWAFアラートポリシーを作成するには、以下のコマンドを実行する：

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for any service",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
    }
  }'

ここで、

• -d は、アラートを作成するために必要な属性の配列です。
  • 名前 はアラートの名前です。
  • 説明 (オプション) は、アラートの説明です。
  • 有効 は、アラートの状態 ( true、 falseのいずれか) です。
  • alert_type は、アラートのタイプ ( dos_attack_l7、 load_balancing_pool_enablement_alert、 clickhouse_alert_fw_anomaly、 clickhouse_alert_fw_ent_anomaly、 dedicated_ssl_certificate_event_type、 universal_ssl_event_type、または load_balancing_health_alert のいずれか) です。
  • メカニズム は、少なくとも 1 つの email、 webhooks です。
  • filters は、WAF アラートに関連するすべてのゾーンのリストです。

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for WAF or browser integrity check",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_ent_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "services": [
      "waf",
      "bic"
    ],
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
    }
  }'

APIを使用してユニバーサル SSL アラートポリシーを作成する

APIを使ってユニバーサル SSL アラートポリシーを作成するには、以下のコマンドを実行する：

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"universal_ssl_event_type","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

ここで、

• -d は、アラートを作成するために必要な属性の配列です。
  • 名前 はアラートの名前です。
  • 有効 は、アラートの状態 ( true、 falseのいずれか) です。
  • alert_type は、アラートのタイプ ( dos_attack_l7、 load_balancing_pool_enablement_alert、 clickhouse_alert_fw_anomaly、 clickhouse_alert_fw_ent_anomaly、 dedicated_ssl_certificate_event_type、 universal_ssl_event_type、または load_balancing_health_alert のいずれか) です。
  • メカニズム は、 email、 webhooksの少なくとも 1 つです。
  • 説明 (オプション) は、アラートの説明です。

APIを使ってロードバランサーのヘルスチェック警告ポリシーを作成する

APIを使ってロードバランサーのヘルスチェック警告ポリシーを作成するには、次のコマンドを実行します：

curl -X POST \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"load_balancing_health_alert","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]},
       “filters”: {
       “event_source”: [
         “pool”,
         “origin”
       ],
       “new_health”: [
         “Healthy”,
         “Unhealthy”
       ],
       “pool_id”: [
         “6e67c08e3bae7eb398101d08def8a68a”,
         “df2d9d70fcb194ea60d2e58397cb35a6”
       ]
       }}'

ここで、

• -d は、アラートを作成するために必要な属性の配列です。
  • 名前 はアラートの名前です。
  • 有効 は、アラートの状態 ( true、 falseのいずれか) です。
  • alert_type は、アラートのタイプ ( dos_attack_l7、 load_balancing_pool_enablement_alert、 clickhouse_alert_fw_anomaly、 clickhouse_alert_fw_ent_anomaly、 dedicated_ssl_certificate_event_type、 universal_ssl_event_type、または load_balancing_health_alert のいずれか) です。
  • メカニズム は、 email、 webhooksの少なくとも 1 つです。
  • 説明 (オプション) は、アラートの説明です。
  • フィルタは、ロードバランシングヘルスアラートのすべてのソース、プール、ヘルスステータスのリストです。

APIを使用してアラートポリシーを更新する

電子メールアラートポリシーなど、APIを使用してアラートポリシーを更新するには、次のコマンドを実行します：

curl -X PUT \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","conditions":{},"mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

条件 フィールドは、空の場合もありますが、必須です。

APIを使用してアラートポリシーを削除する

API を使用してアラートポリシーを削除するには、次のコマンドを実行します

curl -X DELETE \
https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'accept: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx'