Consultar solicitações ou endereços bloqueados - Amazon Athena

Consultar solicitações ou endereços bloqueados

Os exemplos desta seção consultam solicitações ou endereços bloqueados.

exemplo
 – Extrair os 100 primeiros endereços IP bloqueados por um tipo de regra especificado

A consulta a seguir extrai e conta os 100 primeiros endereços IP que foram bloqueados pela regra de encerramento RATE_BASED durante o intervalo de datas especificado.

SELECT COUNT(httpRequest.clientIp) as count,
httpRequest.clientIp
FROM waf_logs
WHERE terminatingruletype='RATE_BASED' AND action='BLOCK' and "date" >= '2021/03/01'
AND "date" < '2021/03/31'
GROUP BY httpRequest.clientIp
ORDER BY count DESC
LIMIT 100
exemplo
 – Contar o número de vezes que uma solicitação foi bloqueada de um país especificado

A consulta a seguir conta o número de vezes que a solicitação chegou de um endereço IP pertencente à Irlanda (IE) e foi bloqueada pela regra de encerramento RATE_BASED.

SELECT 
  COUNT(httpRequest.country) as count, 
  httpRequest.country 
FROM waf_logs
WHERE 
  terminatingruletype='RATE_BASED' AND 
  httpRequest.country='IE'
GROUP BY httpRequest.country
ORDER BY count
LIMIT 100;
exemplo
 – Contar o número de vezes que uma solicitação foi bloqueada, agrupando por atributos específicos

A consulta a seguir conta o número de vezes que a solicitação foi bloqueada, com resultados agrupados por WebACL, RuleId, ClientIP e HTTP Request URI.

SELECT 
  COUNT(*) AS count,
  webaclid,
  terminatingruleid,
  httprequest.clientip,
  httprequest.uri
FROM waf_logs
WHERE action='BLOCK'
GROUP BY webaclid, terminatingruleid, httprequest.clientip, httprequest.uri
ORDER BY count DESC
LIMIT 100;
exemplo
 – Contar o número de vezes em que houve correspondência com um ID de regra de encerramento específico

A consulta a seguir conta o número de vezes que um ID de regra de encerramento específico foi correspondido (WHERE terminatingruleid='e9dd190d-7a43-4c06-bcea-409613d9506e'). A consulta agrupa os resultados por WebACL, Action, ClientIP e HTTP Request URI.

SELECT 
  COUNT(*) AS count,
  webaclid,
  action,
  httprequest.clientip,
  httprequest.uri
FROM waf_logs
WHERE terminatingruleid='e9dd190d-7a43-4c06-bcea-409613d9506e'
GROUP BY webaclid, action, httprequest.clientip, httprequest.uri
ORDER BY count DESC
LIMIT 100;
exemplo
 – Recuperar os 100 primeiros endereços IP bloqueados durante um intervalo de datas especificado

A consulta a seguir extrai os 100 primeiros endereços IP que foram bloqueados durante um intervalo de datas especificado. A consulta também lista o número de vezes que os endereços IP foram bloqueados.

SELECT "httprequest"."clientip", "count"(*) "ipcount", "httprequest"."country"
FROM waf_logs
WHERE "action" = 'BLOCK' and "date" >= '2021/03/01'
AND "date" < '2021/03/31'
GROUP BY "httprequest"."clientip", "httprequest"."country"
ORDER BY "ipcount" DESC limit 100