更新时间:2022-09-07 GMT+08:00
分享

查看防护日志

Web应用防火墙将拦截或者仅记录攻击事件记录在“防护事件”页面。您可以查看WAF的防护日志,包括事件发生的时间、源站IP、源站IP所在地理位置、恶意负载、命中规则等信息。

  • 在WAF控制台只能查看所有防护域名最近30天的防护事件数据。您可以通过开启全量日志长期保存日志,并查看攻击日志和访问日志的详细信息。有关开启全量日志的详细操作,请参见开启全量日志
  • 如果您将防护网站的“工作模式”切换为“暂停防护”模式,WAF将对该防护网站所有的流量请求只转发不检测,同时,日志也不会记录。
  • 如果您已开通企业项目,您可以在“企业项目”下拉列表中选择您所在的企业项目,查看该企业项目的防护日志。

前提条件

防护网站已接入WAF。

约束条件

下载防护事件文件时,如果您本地安装的安全软件拦截了下载文件,请关闭该软件后重新下载防护事件文件。

操作步骤(新版)

  1. 登录管理控制台
  2. 单击管理控制台左上角的,选择区域或项目。
  3. 单击页面左上方的,选择安全与合规 > Web应用防火墙 WAF
  4. 在左侧导航树中,选择“防护事件”,进入“防护事件”页面。
  5. 选择“查询”页签,在网站或实例下拉列表中选择待查看的防护网站,可查看“昨天”“今天”“3天”“7天”“30天”或者自定义时间范围内的防护日志。

    • “防护事件趋势图”:展示所选网站在选择的时间段内WAF的防护情况。
    • “TOP10统计”:针对当前所选时间段的TOP10网站统计。
    图1 防护事件

  6. “防护事件列表”中,查看防护详情。

    • 根据筛选条件字段匹配值进行筛选,可设置多项匹配条件,单击“添加”后,匹配条件会展示在事件列表的上方,确认后单击“查询”,条件字段参数说明如表1所示。
    • 在事件列表的右上角,单击,可导出防护事件列表数据,防护事件数据小于200条将直接导出到本地;防护事件数据大于等于200条时,将在“下载”页面生成一条防护事件数据,您可以在下载页面去下载防护事件数据。
    • 单击,可选择防护事件列表展示的字段。
    • 在目标事件的“操作”列单击“详情”,可查看目标域名攻击事件详情。
    图2 防护事件列表
    表1 条件字段参数说明

    参数名称

    参数说明

    事件ID

    标识该防护事件的ID。

    事件类型

    发生攻击的类型。

    默认选择“全部”,查看所有攻击类型的日志信息,也可以根据需要,选择攻击类型查看攻击日志信息。

    规则ID

    内置Web基础防护规则ID。

    防护动作

    防护配置中设置的防护动作,包含:拦截、仅记录、人机验证等。

    源IP

    Web访问者的公网IP地址(攻击者IP地址)。

    默认选择“全部”,查看所有的日志信息,也可以根据需要,选择或者自定义攻击者IP地址查看攻击日志信息。

    URL

    攻击的防护域名的URL。

    表2 防护事件列表参数说明

    参数

    说明

    示例

    时间

    本次攻击发生的时间。

    2021/02/04 13:20:04

    源IP

    Web访问者的公网IP地址(攻击者IP地址)。

    -

    防护域名

    被攻击的防护域名。

    www.example.com

    地理位置

    攻击者来源IP所在地区。

    -

    事件类型

    发生攻击的类型。

    SQL注入攻击

    防护动作

    防护配置中设置的防护动作,包含:拦截、仅记录、人机验证等。

    说明:

    配置网页防篡改、防敏感信息泄露、隐私屏蔽防护规则后,如果访问请求命中防护规则,则防护动作显示为“不匹配”

    拦截

操作步骤(旧版)

  1. 登录管理控制台
  2. 进入防护事件页面入口,如图3所示。

    图3 防护事件页面入口

  3. 选择“查询”页签,在网站或实例下拉列表中选择待查看的防护网站,可查看“昨天”“今天”“3天”“7天”“30天”或者自定义时间范围内的防护日志,参数说明如表4

    图4 查看防护事件
    表3 防护事件参数说明

    参数名称

    参数说明

    事件类型

    发生攻击的类型。

    默认选择“全部”,查看所有攻击类型的日志信息,也可以根据需要,选择攻击类型查看攻击日志信息。

    防护动作

    防护配置中设置的防护动作,包含:拦截、仅记录、人机验证等。

    源IP

    Web访问者的公网IP地址(攻击者IP地址)。

    默认选择“全部”,查看所有的日志信息,也可以根据需要,选择或者自定义攻击者IP地址查看攻击日志信息。

    URL

    攻击的防护域名的URL。

    事件ID

    标识该防护事件的ID。

    表4 防护事件字段参数说明

    参数

    说明

    示例

    时间

    本次攻击发生的时间。

    2021/02/04 13:20:04

    源IP

    Web访问者的公网IP地址(攻击者IP地址)。

    -

    地理位置

    攻击者来源IP所在地区。

    -

    防护域名

    被攻击的防护域名。

    www.example.com

    URL

    攻击的防护域名的URL。

    /admin

    恶意负载

    本次攻击对防护域名造成伤害的位置、组成部分或访问URL的次数。

    说明:
    • 对于CC攻击事件,恶意负载表示当时访问URL的次数。
    • 对于黑名单防护事件,恶意负载为空。

    id=1 and 1='1

    事件类型

    发生攻击的类型。

    SQL注入攻击

    命中规则

    本次攻击事件命中的内置Web基础防护规则ID。

    当攻击为Web基础防护所防护的攻击事件时显示该字段。例如,SQL注入攻击、XSS攻击、文件包含等。

    223633

    防护动作

    防护配置中设置的防护动作,包含:拦截、仅记录、人机验证等。

    说明:

    配置网页防篡改、防敏感信息泄露、隐私屏蔽防护规则后,如果访问请求命中防护规则,则防护动作显示为“不匹配”

    拦截

    状态码

    拦截页面返回的HTTP状态码。

    418

    如果需要查看目标域名攻击事件详情,可在事件列表中的“操作”列,单击“详情”

分享:

    相关文档

    相关产品

close