通过事件报警您能够获知业务遭受的DDoS攻击事件及时发现并修复问题缩短故障处理时间以便尽快恢复业务。本文介绍如何设置DDoS基础防护和原生防护攻击事件的报警通知。

报警方式说明

阿里云DDoS原生防护提供消息中心报警、云监控报警和日志分析服务报警您可以通过多个维度对比选择合适的报警方案。

配置消息中心报警DDoS基础防护、DDoS原生防护

消息中心是阿里云账号提供的消息通知服务支持配置与阿里云服务相关的各类消息通知。

1. 登录消息中心控制台。

2. 在基本接收管理页面设置邮箱通知。

   1. 在左侧导航栏单击消息接收管理 > 基本接收管理。

   2. 在基本接收管理页面选中产品消息下的云盾安全信息通知并根据需要选择邮箱。

   3. 在页面下方单击添加消息接收人然后在修改消息接收人对话框添加消息接收人并单击保存。

配置云监控报警DDoS原生防护

云监控 CloudMonitor是一项针对阿里云资源和互联网应用进行监控的服务。云监控支持监控DDoS原生防护实例上的黑洞事件和清洗事件事件发生时阿里云将向报警通知联系人组中设置的联系人发送报警通知。

1. 登录云监控控制台。

2. 创建报警联系人。如果已有联系人请跳过此步骤。

   1. 在左侧导航栏选择报警服务 > 报警联系人。

   2. 在报警联系人页签单击创建联系人然后在设置报警联系人面板填写联系人信息并完成滑块验证后单击确认。

3. 创建报警联系人组。如果已有联系人组请跳过此步骤。

   说明

   报警通知的接收对象必须是联系人组您可以在联系人组中添加一个或多个联系人。

   1. 在左侧导航栏选择报警服务 > 报警联系人。

   2. 在报警联系组页签单击新建联系组然后在新建联系组面板填写相关信息并选择联系人后单击确认。

4. 在左侧导航栏选择事件中心 > 系统事件。

5. 在事件报警规则页签单击创建报警规则。

6. 在创建/修改事件报警面板完成报警配置并单击确定。

   类型	配置项	说明
   基本信息	报警规则名称	自定义报警规则名称。
   事件报警规则	产品类型	选择DDoS原生防护。
   	事件类型	要通知的事件类型可选项DDoS攻击。
   	事件等级	选择要通知的事件等级。所有DDoS告警时间均为严重等级该参数仅支持选择严重。
   	事件名称	选择要通知的事件。可选项黑洞、清洗。
   	关键词过滤	在关键词文本框输入报警规则过滤的关键词然后在条件下拉框选择过滤方式。取值 满足包含上面任何一个关键词当您的报警规则中包含任何一个关键词时不发送报警通知。 满足不包含上面任何一个关键词当您的报警规则中不包含任何一个关键词时不发送报警通知。
   	SQL Filter	SQL过滤语句。
   	资源范围	事件报警规则作用的资源范围。选择全部资源。 全部资源任何资源发生相关事件都会按照配置发送通知。 应用分组只有指定应用分组内的资源发生相关事件才会发送通知。
   报警方式	联系人组	选择发送报警的联系人组。
   	报警通知	事件报警的级别和通知方式。取值 Critical邮件+WebHook Warning邮件+WebHook Info邮件+WebHook
   	消息服务队列、函数计算、URL回调和日志服务	无需设置。
   	通道沉默周期	报警发生后未恢复正常间隔多久重复发送一次报警通知。

日志分析服务报警DDoS原生防护

您为DDoS原生防护开启防护日志后即可使DDoS原生防护采集防护对象的业务流量及防护日志供您进行查询与分析。您可以在查询与分析日志的基础上通过条件组合等方式对需要关注的业务指标自定义报警规则使DDoS原生防护在业务指标异常时及时向您发送报警。

1. 登录流量安全产品控制台。

2. 在左侧导航栏选择网络安全 > DDoS原生防护 > 防护日志。

3. 在顶部菜单栏左上角处选择实例所在资源组和地域。

   • 原生防护1.0实例或DDoS防护增强EIP请选择其所在的地域。

   • 原生防护2.0实例请选择全球。

4. 按照页面提示开通SLS日志服务并完成RAM授权。如果您之前已完成开通和授权操作请跳过本步骤。

5. 为实例开启防护日志功能。如果您之前已开启请跳过本步骤。

   1. 在防护日志页面选择目标实例单击立即升级。

   2. 在变配页面设置防护日志为开启仔细阅读并勾选服务协议。

   3. 单击立即购买后单击订购为实例开启防护日志功能。

6. 为实例创建日志告警监控。

   1. 在防护日志页面选择目标实例单击页面右上角的另存为告警。

   2. 单击新版告警并在告警监控规则页签完成配置项设置。

      配置项	说明
      规则名称	自定义告警监控规则名称。
      检查频率	根据您配置的频率对查询和分析结果进行检查。 每小时每小时检查一次查询和分析结果。 每天在每天的某个固定时间点检查一次查询和分析结果。 每周在周几的某个固定时间点检查一次查询和分析结果。 固定间隔按照固定间隔检查查询和分析结果。 Cron通过Cron表达式指定时间间隔按照该指定的时间间隔检查查询和分析结果。Cron表达式的最小精度为分钟24小时制例如0 0/1 * * *表示从00:00开始每隔1小时检查一次。
      查询统计	单击输入框在查询统计对话框中设置查询和分析语句。 关联报表选择DDoS原生防护事件报表或DDoS原生清洗分析报表。 高级配置无需修改默认选择日志库。
      分组评估	日志服务支持对查询和分析结果进行分组。 不分组在每个检查周期内满足触发条件时只产生一条告警。 标签自定义日志服务根据您配置的字段对查询和分析结果进行分组。分组后每个组单独评估触发条件。在每个检查周期内查询和分析结果满足触发条件时各个分组各自产生一条告警。
      触发条件	告警的触发条件及严重度。 触发条件 有数据当查询和分析结果中存在数据时触发告警。 有特定条数据当查询和分析结果中存在N条数据时触发告警。 有数据匹配当查询和分析结果中存在数据满足告警表达式时触发告警。 有特定条数据匹配当查询和分析结果中存在N条数据满足告警表达式时触发告警。 严重度您可以将某一规则产生的告警设置为同一严重度也可以将同一规则满足不同条件时单击添加设置为不同的严重度。
      添加标签	日志服务允许您给产生的告警添加标识性属性键值对格式。主要用于告警降噪控制和告警通知控制即您在创建告警策略或行动策略时可添加关于标签的判断条件。
      添加标注	日志服务允许您给产生的告警添加非标识性属性键值对格式。主要用于告警降噪控制和告警通知控制即您在创建告警策略或行动策略时可添加关于标注的判断条件。 您还可以打开自动添加标注开关系统自动在告警中添加__count__等信息。
      恢复通知	打开恢复通知开关后告警恢复时触发一条恢复告警。其严重度与触发的告警保持一致。
      高级配置	连续触发阈值当累计的触发次数达到该值时产生一条告警。不满足触发条件时不计入统计。 无数据告警开关开启后如果查询和分析的结果有多个时进行集合操作后的结果为无数据的次数超过连续触发阈值则产生一条告警。
      告警策略	告警策略用于合并、静默和抑制已产生的告警。 选择极简模式和普通模式时您无需配置告警策略。日志服务默认使用SLS内置动态告警策略sls.builtin.dynamic进行告警管理。 选择高级模式时您可以选择内置的或自定义的告警策略进行告警管理。
      行动组	将告警集合按配置通过各个渠道在发送时间符合时以内容模板发送给接收人。 当告警策略选择极简模式时您需要配置 仅当告警策略选择极简模式时需要配置该参数。 您也可以打开开启智能合并开关用于将重复、冗余、相关联的告警合并为一组每个分组中的告警在一段时间内只会通知一次达到告警降噪的效果。
      行动策略	行动策略用于控制告警通知渠道和频率等。 当告警策略选择为普通模式或高级模式时您可以选择内置的或自定义的行动策略进行告警通知。 其中告警策略选择为高级模式时还可以开启或关闭自定义行动策略。
      重复等待	在重复等待时间内重复的告警只触发一次行动策略即只发送一次告警通知。