Catalog

CMC Cloud WAAP

Giúp người dùng hiểu cách gói CMC Cloud WAAP cung cấp nội dung Transformation, phát hiện và giám sát có thể tái sử dụng trong CMC SecOps.

CMC Cloud WAAP


Pack name	CMC Cloud WAAP
Version	1.1.2
Vendor	CMC Telecommunication Infrastructure Corporation
Capabilities	Transformation · Streaming Rules · Correlation Rules · Dashboard
Categories	WAAP · Web Security · Application Security · Network

Overview

Pack cung cấp giám sát bảo mật toàn diện CMC WAAP (Web Application and API Protection) trên SecOps platform, bao gồm:

Transformation — chuẩn hóa 2 loại log WAAP (JSON access log + CCLOUD_WAAP error log) sang ECS
7 streaming rules — phát hiện WAAP threat, SQL injection, XSS, path traversal, multi-threat combined, rate limit, HTTP 5xx từ external IP
4 correlation rules — phát hiện high-volume attack, multi-domain scan, error spike, persistent attacker
1 dashboard — 13 chart giám sát SOC web application security

Yêu cầu trước khi cài đặt

Yêu cầu	Chi tiết
CMC WAAP service	Active WAAP subscription với CCLOUD_WAAP
Log shipper	Filebeat (`json.keys_under_root: true` cho access log) hoặc Fluent Bit/Logstash
Tag log source	`vendor = nginx` và `service = waap`
Quyền platform	Role `Content Pack Manager`

Định dạng log bắt buộc

Loại 1 — JSON Access Log (flat JSON, không cần wrapper):

{
  "@timestamp": "2026-01-15T07:16:57.278Z",
  "timestamp": "2026-01-15T07:17:00.124Z",
  "remote_addr": "203.0.113.42",
  "request": "GET /api/v1/products HTTP/1.1",
  "status": "200",
  "host_header": "app.example.com",
  "server_name": "app.example.com"
}

Loại 2 — WAAP Error Log (raw error line wrapped trong JSON):

{
  "message": "<raw CCLOUD_WAAP error log line>",
  "timestamp": "2026-01-15T07:17:01.000Z"
}

Transformation phân biệt loại log: có remote_addr → access log; có message với CCLOUD_WAAP pattern → error log.

Ví dụ log hợp lệ

Access log — normal request:

{"@timestamp":"2026-01-15T07:16:57.278Z","timestamp":"2026-01-15T07:17:00.124Z","remote_addr":"203.0.113.42","request":"GET /api/v1/products?category=electronics HTTP/1.1","status":"200","body_bytes_sent":"183891","request_time":"1.389","http_referer":"https://example.com/products","http_user_agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64)","host_header":"app.example.com","server_name":"app.example.com","upstream_addr":"10.0.1.20:8080","request_id":"a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4"}

Access log — WAAP threat detected:

{"@timestamp":"2026-01-15T07:20:00.000Z","timestamp":"2026-01-15T07:20:00.500Z","remote_addr":"198.51.100.55","request":"GET /admin?id=1' OR '1'='1 HTTP/1.1","status":"403","body_bytes_sent":"0","request_time":"0.001","host_header":"app.example.com","server_name":"app.example.com","threat_status":"blocked","threat_type":"sql_injection","threat_rule":"SQL_INJECTION_GENERIC","threat_score":"95","request_id":"b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5"}

WAAP error log:

{"message":"2026/01/15 07:25:00 [error] 1234#1234: *5678 CCLOUD_WAAP: WAF blocked request from 198.51.100.55, rule: XSS_REFLECTED, uri: /search?q=<script>alert(1)</script>, host: app.example.com","timestamp":"2026-01-15T07:25:00.000Z"}

Access log với threat_status = "blocked" và WAAP error log đều kích hoạt WAAP detection rules.

Cài đặt

Vào Marketplace → tìm "CMC Telecom WAAP Security" → Install
Kiểm tra Transformations → waap-parser đang active
Kiểm tra Detection Rules → filter tag WAAP → 11 rules đang enabled
Mở Dashboards → CMC WAAP Security Overview

Transformation — Các trường ECS chính

ECS Field	Nguồn	Mô tả
`event.action`	`threat_status` / derived	`blocked`, `allowed`, `rate_limited`
`http.request.method`	Parsed từ `request`	HTTP method (GET, POST, PUT...)
`http.response.status_code`	`status`	HTTP response status code
`url.full`	Parsed từ `request`	Full URL của request
`url.domain`	`host_header` / `server_name`	Domain target
`source.ip`	`remote_addr`	IP client
`event.duration`	`request_time` (giây → nanoseconds)	Thời gian xử lý request
`labels.threat_type`	`threat_type`	Loại tấn công: `sql_injection`, `xss`, `path_traversal`...

Detection Rules

Streaming Rules (7 rules — real-time)

#	Rule	Severity	Mô tả
1	WAAP Threat Detected	High	WAAP phát hiện request độc hại bất kỳ loại nào
2	WAAP SQL Injection Detected	High	WAAP phát hiện SQL injection attempt trong request
3	WAAP XSS Attack Detected	High	WAAP phát hiện Cross-Site Scripting attack trong request
4	WAAP Path Traversal Attack	High	WAAP phát hiện path traversal (`../`) attempt
5	WAAP Multi-Threat Combined Attack	Critical	Một request kích hoạt nhiều loại WAAP rule cùng lúc — advanced attack
6	WAAP Rate Limit Triggered	Medium	Request bị chặn do vượt rate limit — brute-force hoặc DDoS
7	WAAP HTTP 5xx Error from External IP	Medium	Nhiều lỗi server từ external IP — probe exploit hoặc backend instability

Correlation Rules (4 rules — pattern)

#	Rule	Severity	Mô tả	Ngưỡng	Lookback
8	WAAP High Volume Threat	High	Nhiều WAAP block từ cùng IP trong thời gian ngắn — sustained attack campaign	> 10 lần	15 phút
9	WAAP Threat Scanning Multiple Domains	High	Cùng IP tấn công nhiều domain — cross-domain scanning hoặc bulk exploit	≥ 3 threat trên ≥ 3 domain	15 phút
10	WAAP HTTP Error Spike	Medium	Đột biến HTTP 4xx/5xx từ cùng IP — probe hoặc fuzzing	> 20 lần	15 phút
11	WAAP Persistent Attacker	Critical	Cùng IP vừa bị rate limit VÀ kích hoạt WAAP rules — persistent attack không dừng	≥ 3 rate-limit + ≥ 3 threat	30 phút

Dashboard — CMC WAAP Security Overview

#	Chart	Loại	Mô tả
1	WAAP Events Trendline	LINE	Trend threat events theo thời gian
2	Total Threats	METRIC	Tổng WAAP threat events
3	Rate Limited Requests	METRIC	Tổng request bị rate limit
4	Unique Attacker IPs	METRIC	Số IP unique tạo ra threats
5	Targeted Domains	METRIC	Số domain bị tấn công
6	Top Attacker IPs	BAR	IP tấn công nhiều nhất
7	Threat Type Distribution	PIE	SQL Injection vs XSS vs Path Traversal...
8	HTTP Error Status Distribution	PIE	400 vs 403 vs 404 vs 500...
9	Top Targeted URLs	BAR	URL bị tấn công nhiều nhất
10	Attacks by Target Domain	BAR	Domain bị tấn công nhiều nhất
11	Top Rate Limit Zones Triggered	BAR	Zone rate limit kích hoạt nhiều nhất
12	Recent Threat Events	TABLE	20 WAAP threat gần nhất
13	Recent Rate Limit Events	TABLE	20 rate limit events gần nhất

SOC Triage nhanh:

Metric 2 → threats cao → ứng dụng đang bị tấn công chủ động
Chart 7 → SQL Injection chiếm đa số → nhắm vào database, kiểm tra WAAP bypass
Rule 11 alert (persistent) → xử lý ngay — attacker không bị deterred bởi WAAP
Table 12 → xác nhận URL và IP tấn công, escalate nếu cần

Troubleshooting

Triệu chứng	Nguyên nhân	Cách xử lý
Không có event	Sai tag log source	Kiểm tra `vendor = nginx` và `service = waap`
Access log không parse	JSON format sai	Filebeat cần `json.keys_under_root: true` để flatten JSON
`threat_type` trống	WAAP chưa bật threat logging	Kiểm tra CCLOUD_WAAP config — phải bật threat metadata logging
WAAP error log không hiển thị	Thiếu `message` field	Error log wrapper phải có `message` chứa raw CCLOUD_WAAP log line
Transformation không khớp	Transformation bị tắt	Kiểm tra `waap-parser.yaml` đang active trong Transformations

Checklist transformation:

Tag vendor = nginx + service = waap
Access log: JSON flat với remote_addr, request, status, timestamp
Error log: JSON có message chứa raw CCLOUD_WAAP log
waap-parser.yaml đang active

Hỗ trợ

Lỗi platform: Mở ticket tại SecOps support portal
Góp ý pack: Dùng tính năng feedback trên trang Marketplace
Tuning rule: Slack #detection-engineering

Last updated: 2026-06-04 · Vendor: CMC Telecommunication Infrastructure Corporation · Author: secops-team

SentinelOne Singularity

Pack cung cấp giám sát endpoint toàn diện từ nền tảng SentinelOne Singularity trên SecOps platform.

Delinea PAM

Giúp người dùng hiểu cách gói Delinea PAM cung cấp nội dung Transformation, phát hiện và giám sát có thể tái sử dụng trong CMC SecOps.

CMC PLATFORMby CMC Telecom

CMC Cloud WAAP

CMC Cloud WAAP

Overview

Yêu cầu trước khi cài đặt

Định dạng log bắt buộc

Ví dụ log hợp lệ

Cài đặt

Transformation — Các trường ECS chính

Detection Rules

Streaming Rules (7 rules — real-time)

Correlation Rules (4 rules — pattern)

Dashboard — CMC WAAP Security Overview

Troubleshooting

Hỗ trợ

CMC Telecom
Aspire to Inspire the Digital World

CMC Cloud WAAP

CMC Cloud WAAP

CMC TelecomAspire to Inspire the Digital World

CMC Telecom
Aspire to Inspire the Digital World