Creación de una política de alertas de seguridad en la consola

1. Pulse Crear.
2. Seleccione el tipo de política de alertas que desea crear:
   • Alerta de ataque DDoS HTTP, que detecta y mitiga un ataque DDoS HTTP a uno de sus dominios.
   • Alertas dedicadas/avanzadas, que le alertan cuando los certificados dedicados han caducado y cuando se renuevan.
   • Alerta SSL universal, que le avisa cuando los certificados universales se renuevan automáticamente.
   • Alerta TLS mutua, que le avisa cuando caduca un certificado TLS mutuo.
   • Alerta de trabajo Logpush, que le avisa cuando falla cualquier trabajo Logpush configurado.
   • Informe de métricas web, que es un informe semanal que ayuda a identificar los cambios en el tráfico y el rendimiento de la aplicación a lo largo del tiempo.
   • Informe de mantenimiento de Cloudflare, que informa sobre las ventanas de mantenimiento de Cloudflare planificadas, cambiadas o canceladas.
   • Informe de incidencias de Cloudflare, que informa sobre incidencias de Cloudflare en curso.
   • Alerta de eventos de seguridad, que le avisa en las 2 horas siguientes a la detección de un pico en todos los eventos de seguridad.
   • Alerta avanzada de eventos de seguridad, que le avisa en los 5 minutos siguientes a la detección de un pico de eventos de seguridad con filtro de servicio opcional.
   • Alertas de comprobación de estado de equilibrio de carga, que le avisan cuando el estado de salud cambia para una comprobación de estado de agrupación u origen de agrupación.
   • Alerta de habilitación de agrupación, que son alertas basadas en el estado de conmutación habilitado o inhabilitado de la agrupación.
3. Especifique un nombre para la política de alertas y, opcionalmente, especifique una descripción.
4. Elija un método de alerta. Puede seleccionar un webhook, especificar una dirección de correo electrónico a la que enviar alertas o ambas cosas. Sólo es necesaria una notificación para completar la configuración.
   • Especifique una dirección de correo electrónico a la que Cloud Internet Services (CIS) envía alertas. Pulse + para añadir la dirección a la alerta. Repetir para todas las direcciones de correo electrónico.
   • Pulse Añadir webhook y seleccione un webhook disponible. Si no hay webhooks, esta opción no está disponible.
5. Pulse Crear

De forma predeterminada, las políticas de alerta se habilitan cuando se crean. Puede desactivar las alertas que haya creado cambiando el conmutador de la columna Activado.

Creación de una política avanzada de alertas de seguridad en la consola

Para crear una alerta de seguridad avanzada en la consola, siga estos pasos:

1. Pulse Crear.
2. Seleccione Alerta de sucesos de seguridad avanzada.
3. Especifique un nombre para la política de alertas y, opcionalmente, especifique una descripción.
4. Elija un método de alerta. Puede seleccionar un webhook o introducir una dirección de correo electrónico a la que enviar las alertas, o ambas cosas. Sólo es necesaria una notificación para completar la configuración.
   • Especifique una dirección de correo electrónico a la que Cloud Internet Services (CIS) envía alertas. Pulse + para añadir la dirección a la alerta. Repetir para todas las direcciones de correo electrónico.
   • Pulse Añadir webhook y seleccione un webhook disponible. Si no hay webhooks, esta opción no está disponible.
5. Pulse Siguiente.
6. Seleccione qué dominios supervisa la política de alerta.
7. Seleccione qué servicios supervisa la política de alerta.
8. Pulse Crear.

Editar una política de alertas en la consola

Para editar una política de alerta:

1. Haga clic en el menú Acciones de la alerta en la sección Alertas y seleccione Editar.
2. Realice los cambios que desee en el nombre y la descripción, añada o elimine direcciones de correo electrónico y añada, elimine o edite webhooks.
3. Pulse Editar para guardar los cambios.

Eliminación de una política de alertas en la consola

Para suprimir una política de alerta:

1. Haga clic en el menú Acciones de la alerta en la sección Alertas y seleccione Eliminar.
2. Pulse Suprimir en el mensaje de confirmación.

Sólo puede suprimir las alertas que ha creado.

Listado de todas las políticas de alerta desde la CLI

Para listar todas las políticas de alerta desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy list [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Obtención de los detalles de una política de alertas desde la CLI

Para obtener los detalles de una política de alertas desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy get POLICY_ID [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• POLICY_ID es el ID de la política de alerta.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Creación de una alerta de ataque DDoS desde la CLI

Para crear una política de alerta de ataque DDoS desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy ddos-attack-l7-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• • el valor -enabled determina si la política de alertas está activada.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Creación de una alerta de conmutación de grupo desde la CLI

Para crear una alerta de cambio de pool desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy pool-toggle-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --pools POOLS --trigger-condition (enabled | disabled | either) [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• • el valor -enabled determina si la política de alertas está activada.
• --pools value es el ID de la agrupación de origen. Si se establece en todos, se utilizan todos los ID de agrupación.
• --trigger-condition value es la condición de estado de conmutador de agrupación.
• --include-future-pools value determina si se deben incluir las agrupaciones futuras.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Creación de una alerta de seguridad desde la CLI

Para crear una alerta de seguridad desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy firewall-events-alert-create --name NAME (--emails EMAILS | --webhooks WEBHOOKS) --enabled (true | false) --domains DOMAINS [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• --domains value son los ID de dominio para la política de alerta. Por ejemplo, --domains domainID1,domainID2.
• --services value especifica qué servicios supervisa la alerta (para alertas de seguridad avanzadas). Servicios válidos: country-access-rules, waf, firewall-rules, ratelimit, securitylevel, ip-access-rules, browser-integrity-check, ua-rules,lockdowns, iprange-access-rules, asn-access-rules, managed-firewall, hotlink, ssl-validation. (Solo plan de Empresa.)
• • el valor -enabled determina si la política de alertas está activada.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Las alertas de seguridad y las alertas de seguridad avanzadas utilizan el mismo mandato. Cuando cree un comando de alerta de eventos de seguridad avanzados en la CLI, especifique los servicios para la alerta. Si no especifica los servicios para la alerta, el tiempo medio de detección cambia de 5 minutos a 2 horas.

Actualización de una política de alerta de ataque DDoS desde la CLI

Para actualizar una política de alerta de ataque DDoS desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy ddos-attack-l7-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• POLICY_ID es el ID de la política de alerta.
• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• • el valor -enabled determina si la política de alertas está activada.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Actualización de una política de alertas de conmutación de grupos desde la CLI

Para actualizar una política de alerta de conmutación de grupo desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy pool-toggle-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--pools POOLS] [--trigger-condition (enabled | disabled | either)] [--include-future-pools (true | false)] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• • el valor -enabled determina si la política de alertas está activada.
• --pools value es el ID de la agrupación de origen. Si se establece en todos, se utilizan todos los ID de agrupación.
• --trigger-condition value es la condición de estado de conmutador de agrupación.
• --include-future-pools value determina si se deben incluir las agrupaciones futuras.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Actualización de una política de alertas de seguridad desde la CLI

Para actualizar una política de alertas de seguridad desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy firewall-events-alert-update POLICY_ID [--name NAME] [--emails EMAILS] [--webhooks WEBHOOKS] [--enabled (true | false)] [--domains DOMAINS] [--services SERVICES] [--description DESCRIPTION] [-i, --instance INSTANCE] [--output FORMAT]

Donde:

• --name value es el nombre de la política de alerta.
• --description value es la descripción de la política de alerta.
• --emails value son las direcciones de correo electrónico a las que enviar una notificación de alerta. Por ejemplo, --emails test1@cn.ibm.com,test2@cn.ibm.com.
• --webhooks value son los ID de webhook a los que enviar una notificación de alerta. Por ejemplo, --webhooks webhookID1,webhookID2.
• --domains value son los ID de dominio para la política de alerta. Por ejemplo, --domains domainID1,domainID2.
• --services value especifica qué servicios supervisa la alerta (sólo el plan Enterprise). Servicios válidos: country-access-rules, waf, firewall-rules, ratelimit, securitylevel, ip-access-rules, browser-integrity-check, ua-rules, lockdowns, iprange-access-rules, asn-access-rules, managed-firewall, hotlink, ssl-validation.
• • el valor -enabled determina si la política de alertas está activada.
• -i, --instance value es el nombre o ID de la instancia.
• --output value especifica el formato de salida; sólo se da soporte a JSON.

Eliminación de una política de alertas desde la CLI

Para eliminar una política de alertas desde la CLI, ejecute el siguiente comando:

ibmcloud cis alert-policy delete POLICY_ID [-i, --instance INSTANCE] [-f, --force]

Donde:

• POLICY_ID es el ID de la política de alerta.
• -f, --force intenta suprimir la política de alerta sin solicitar confirmación.
• -i, --instance value es el nombre o ID de la instancia.

Mandatos de alerta

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"load_balancing_pool_enablement_alert","mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]},
       “filters”: {
       “enabled”: [
         “false”,
         “true”
       ],
       “pool_id”: [
         “6e67c08e3bae7eb398101d08def8a68a”,
         “df2d9d70fcb194ea60d2e58397cb35a6”
       ]
       },
       "conditions": {
       }}'

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for any service",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
  }
}'

curl -X POST \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies \
  -H 'Content-Type: application/json' \
  -H 'X-Auth-User-Token: Bearer xxxxxx' \
  -d '{
  "name": "WAF Alerter",
  "description": "Send an email on spike in firewall events for WAF or browser integrity check",
  "enabled": true,
  "alert_type": "clickhouse_alert_fw_ent_anomaly",
  "mechanisms": {
    "email": [
      {
        "id": "sreteam@techcompany.com"
      }
    ]
  },
  "filters": {
    "services": [
      "waf",
      "bic"
    ],
    "zones": [
      "123456ab7d8e9f0g12h2j34l5mn6op78"
    ]
  }
}'

Edición de políticas de alerta con la API

Para editar una alerta de correo electrónico, ejecute el mandato siguiente:

curl -X PUT \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx' \
  -d '{"name":"Example Policy","enabled":true,"alert_type":"dos_attack_l7","conditions":{},"mechanisms":{"email":[{"id":"cistestemail@ibm.com"}],"webhooks":[]}}'

El campo conditions es necesario, aunque puede estar vacío.

Eliminación de políticas de alerta con la API

Para suprimir una alerta de correo electrónico, ejecute el mandato siguiente:

curl -X DELETE \
  https://api.cis.cloud.ibm.com/v1/:crn/alerting/policies/:policy_id \
  -H 'content-type: application/json' \
  -H 'accept: application/json' \
  -H 'x-auth-user-token: Bearer xxxxxx'