云防火墙 日志审计

这篇档将指导你查看云防火墙相关日志。

一、查看访问控制日志

3. 同时，在互联网边界防火墙、NAT 边界防火墙页面下，访问控制日志会根据入站以及出站方向生成两张规则命中列表，方便用户区分查看。

4. 在规则命中列表的右侧操作栏，单击查看。

5. 在命中规则详情页面，可查看针对该条规则的详细命中情况。

注意：说明：

6. 为了进一步加快对访问控制日志的检索及过滤，可以通过单击访问源或访问目的右侧的，查看这两个 IP 地址之间的全部规则命中情况。

7. 单击页面右侧的，可以手动下载日志，页面可以做条件筛选。每次下载限6万条记录。

二、查看入侵防御日志

1. 登录 云防火墙控制台，在左侧导航栏中，选择日志审计 > 入侵防御日志。

2. 在入侵防御日志页面，可查看云防火墙基于“观察模式”和“拦截模式”所产生和记录的所有安全事件，有“外部入侵，主机失陷，横向移动，网络蜜罐”四个列表，分别查看入站和出站的安全事件详细情况。

三、查看全流量检测与响应日志

全流量检测与响应日志包含流量分析日志、流量告警日志、流量风险日志、AI 流量日志、文件检测日志。

1. 登录 云防火墙控制台，在左侧导航栏中，选择日志审计 > 全流量检测与响应日志。

2. 在全流量检测与响应日志页面，你可以进行如下操作：

·流量分析日志：支持查看全流量检测与响应的分析日志，包含入向流量、出向流量、内网流量。

·单击右上角的日志解析设置，选择目标自定义解析字段，单击编辑，即可对 HTTP Header 中的特殊字段进行自定义解析，并将其新增至流量日志中。最多可解析3个自定义字段。

·勾选只看解密检测，页面将只显示经全流量检测与响应解密并完成检测的日志。

·流量告警日志：支持查看全流量检测与响应的告警日志，包含外部入侵、主机失陷、横向移动，支持攻击结果筛选查询。

·勾选只看解密检测，页面将只显示经全流量检测与响应解密并完成检测的日志。

·单击查看详情，可查看流量告警日志详情。

·流量风险日志：支持查看全流量检测与响应的风险日志，包含弱口令风险、敏感数据泄露。

·在敏感数据泄露页面，你可单击入站流量、出站流量或文件泄露，查看对应的风险日志。

·单击查看详情，支持查看流量风险日志详情。

·AI 流量日志：支持查看 AI 应用的南北向与东西向全流量日志，包含 AI 应用调用记录、流量详情等信息，支持攻击溯源。

·单击查看详情，查看完整的 AI 流量日志详情。

注意：说明：

注意：若该流量为大模型调用场景，且已生成对应的审计日志，NDR 支持对话还原，可在日志详情中查看完整对话内容。

·文件检测日志：全流量检测与响应（NDR）的文件检测日志，包含文件告警日志和检出文件列表。同时支持 AI 应用 Skill 文件检测能力，可识别潜在恶意行为，支持按 Skill 文件类型和风险状态进行筛选查看。告警日志详情及归并告警中均会展示 Skill 标签标识，便于快速识别和定位 AI 相关的文件威胁。

注意：说明：

注意：使用 Skill 文件恶意检测能力前，需先开启文件沙箱检测。具体操作请参见 全流量检测与响应能力。

·文件告警日志：

·支持勾选只看恶意 Skill 进行筛选。

·单击查看详情，支持查看文件告警日志详情和下载完整文件，日志详情中新增 Skill 标签标识。

·检出文件列表：

·支持勾选只看 Skill 文件进行筛选，并可通过风险状态联动筛选恶意 Skill 文件。

·支持查看文件具体信息，并可单击查看流量日志或查看告警日志跳转到对应日志具体界面；也可单击下载下载此文件。

注意：说明：

注意：检出文件将保存最长30天，请及时查看或处理。

四、查看流量日志

1. 登录 云防火墙控制台，在左侧导航栏中，选择日志审计 > 流量日志。

2. 在流量日志页面，可以查看互联网边界防火墙和 NAT 边界防火墙基于出站和入站所产生的南北向流量十元组信息，以及 VPC 边界的东西向流量情况。

3. 在流量日志页面，可通过最终动作列和访问控制规则列查看会话的实际访问结果与命中规则。如列表中未显示这两列，可单击右上角设置自定义列表字段后显示：

·最终动作：标记会话经多模块流控（封禁列表 → 访问控制 → 白名单策略 → 入侵防御）后的最终结果。

·访问控制规则：展示该会话命中的 ACL 规则描述，点击可查看命中规则详情。

4. 使用资产实例名进行日志的查询和过滤。为了方便通过资产的粒度和角度去全局查看流量情况，可在流量日志页面左上角，单击全部资产，在搜索下拉框中输入资产实例名，筛选该资产的所有流量日志

5. 单击访问源或访问目的右侧的，可查看两个 IP 地址之间的全部流量情况。

五、内网流量日志授权

1. 登录 访问管理控制台，在左侧导航栏中选择角色。

2. 在角色页面，单击新建角色，选择腾讯云账号，进入新建自定义角色页面。

3. 在新建自定义角色页面，选择其他主账号，并输入流日志公共账号 91000000202，单击下一步。


4. 检索关键字“日志服务”，授权日志服务全读写权限 QcloudCLSFullAccess，单击下一步。


5. 配置角色标签，可以为子用户设置不同维度的标签，也可以跳过不配置。单击下一步。


6. 输入角色名称 FlowLogClsRole，单击完成，完成新建角色。


六、查看操作日志

1. 登录 云防火墙控制台，在左侧导航栏中，选择日志审计 > 操作日志。

2. 在操作日志页面，可以查看基于该账号内，用户针对安全策略以及开关页所进行的所有操作行为以及操作详情。

七、相关信息

如遇到日志审计相关问题，可参见 日志相关 文档。