Web 应用防火墙 攻击日志

这里说明如何使用攻击日志进行攻击日志索引、快速分析、处置攻击和下载攻击日志。

一、背景信息

Web 应用防火墙默认提供攻击日志功能，详细记录攻击产生的时间、攻击源 IP、攻击类型及攻击详情等信息。攻击日志仅支持查询或导出最近30天日志。攻击日志支持全文检索、模糊搜索和组合条件搜索等检索方式，同时支持根据检索条件下载日志，支持百万级日志下载。

当同一攻击源 IP 在短时间内（每10秒）发起多次相同攻击载荷（Payload）且命中同一条防护规则时，系统会将这些攻击记录聚合为一条日志，并通过 count 字段记录该时间窗口内的实际攻击次数。

二、检索攻击日志

1. 登录 Web 应用防火墙控制台，在左侧导航栏中，选择攻击日志。

2. 在攻击日志页面，单击日志服务，切换到日志服务页面。

3. 检索攻击日志前，请先设置检索的范围。选择实例和域名，设置时间范围，单击 。

·交互模式：根据检索条件，检索攻击日志。

a. 在攻击日志 > 日志服务页面，选择交互模式。

b. 你可通过设置逻辑关系与选择日志字段进行检索：既可直接在预设条件中配置，也可添加自定义条件后进行配置。日志详情字段说明请参考 日志详情字段说明。单击确定。

注意：说明：

注意：攻击分类中的“IP 封禁”现已细化为以下三类，你在新版日志中将会看到：

c. 重复执行上一步，直到添加完所有检索条件，单击。

·语句模式：根据检索语句，检索攻击日志。

a. 在攻击日志 > 日志服务页面，选择语句模式。

b. 你可以通过以下两种方式编写查询语句：

·在语句框中直接输入检索语句，然后单击  查询。检索语法详情说明请参考 语法规则。

·使用 AI 智能编写辅助生成查询语句，详情请参考 智能编写查询语句。

三、原始日志

1. 登录 Web 应用防火墙控制台，在左侧导航栏中，选择攻击日志。

2. 在攻击日志页面，单击日志服务 > 原始日志。

·在原始日志上方，可以查看当前检索条件下符合条件的日志总条数和时间分布等关键信息；也可以通过下方设置栏切换原始日志的展示样式。

·在原始日志数据列表左侧，单击“字段名称”，会按日志数大小排序展示与本字段匹配的 TOP 5 字段详情及日志数占比。日志详情字段说明请参考 日志详情字段说明。

·在攻击日志数据列表中，单击每条展示日志发生时间左侧的，可以查看字段详情；单击 JSON，可以查看 JSON 格式的字段详情。日志详情字段说明请参考 日志详情字段说明。

四、统计图表

1. 登录 Web 应用防火墙控制台，在左侧导航栏中选择攻击日志。

2. 在攻击日志页面，单击日志服务 > 统计图表。

3. 生成图表时，你可以选择：

·交互模式：通过添加统计语句来生成图表。单击添加统计语句，配置具体的指标、维度、排序方式、统计方法，并设定最大返回结果数量，单击确定。

·语句模式：直接使用查询语句进行绘图：

·在语句框中直接输入检索语句，然后单击  查询。检索语法详情说明请参考 语法规则。

·使用 AI 智能编写辅助生成查询语句，详情请参考 智能编写查询语句。

4. 图表生成后，你可以通过以下两种方式调整其展示效果：

·在图表配置中直接修改图表类型。

·使用图表推荐提供的样式或语句模板快速优化展示。

五、攻击处置

在攻击日志数据列表中，支持单击操作列中的误报修正、源 IP 封禁，快速添加处置规则。

·误报修正：支持一键添加对应防护模块的精准白名单规则，不再拦截对应 IP 访问，完成修改后，单击确定。

·源 IP 封禁：支持一键添加 IP 黑名单，拦截对应 IP 的访问，完成修改后，单击确定。

六、下载攻击日志

1. 登录 Web 应用防火墙控制台，在左侧导航栏中选择攻击日志。

2. 在攻击日志页面，单击日志服务 > 原始日志。

3. 在原始日志数据列表右上角，单击，侧边栏展开下载任务页面。

·单击下载日志，进入下载日志数据页面。根据需要对数据格式、日志排序、选择字段、日志数量等选项进行设置，单击导出。

·单击下载记录，进入下载记录页面。可在此查看所有的下载任务相关信息，并对已完成的下载任务进行删除或下载操作。

注意：创建成功的日志下载任务，保留3天，超过3天之后日志文件将会删除，请及时下载。

七、日志投递

日志投递支持当前 WAF 引擎采集到的全部攻击日志字段数据，用户只需要在 WAF 控制台进行简单配置，即可完成攻击日志数据准实时投递服务。日志投递相关内容请参考日志投递。

八、日志详情字段说明