查询防护事件

Web应用防火墙会对在所选时间段的攻击事件、受攻击对象、攻击源IP、受攻击URL的TOP 10网站进行统计，并将拦截或者仅记录攻击事件记录在“防护事件”页面。您可以查看最近30天的WAF防护日志，包括事件发生的时间、客户端IP、客户端IP所在地理位置、恶意负载、命中规则等信息。

由于访问日志数量庞大，为避免影响WAF引擎性能，WAF默认不记录访问日志。如果您有安全要求，可配置隐私屏蔽规则，设置“屏蔽字段”为“Params”，“屏蔽字段名”为“token”、“password”等，屏蔽token和password等信息。

如果您希望存储更长时间的详细防护日志，可开启WAF全量日志，将攻击日志、访问日志记录到云日志服务（Log Tank Service，简称LTS），或通过云日志服务LTS，将日志转储至对象存储服务OBS或者数据接入服务DIS中长期保存。

在WAF控制台只能查看所有防护域名最近30天的防护事件数据。您可以通过开启全量日志长期保存日志，并查看攻击日志和访问日志的详细信息。有关开启全量日志的详细操作，请参见通过LTS记录WAF全量日志。
如果您将防护网站的工作模式切换为“暂停防护”模式，WAF将对该防护网站所有的流量请求只转发不检测，同时日志也不会记录。
攻击产生后，上报到防护事件的时延约为2~3分钟。

防护事件统计图表展示指定防护域名、实例、时间范围内容防护事件趋势图、TOP10统计信息。

图1 统计图表

设置查询条件。
- 防护域名（图1①）：支持查看全部防护域名、指定一个或多个防护域名的安全统计信息。
- 实例（图1②）：支持查看全部实例、指定实例的安全统计信息。
- 查询时间（图1③）：支持查看昨天、今天、3天、7天、30天或自定义30天任意时间段的安全统计信息。

查看统计图表信息。

功能模块	说明	相关操作
防护事件趋势图（图1④）	展示所选网站在选择的时间段内WAF的防护情况。	--
TOP10统计（图1⑤）	展示所选时间段TOP10的攻击事件、受攻击对象、攻击源IP、受攻击URL。	单击“TOP攻击事件（1~5）”、“TOP受攻击对象（1~5）”、“TOP攻击源IP（1~5）”、“TOP受攻击URL（1~5）”后的，可查看“TOP攻击事件（6~10）”、“TOP受攻击对象（6~10）”、“TOP攻击源IP（6~10）”、“TOP受攻击URL（6~10）”的攻击数据。单击“TOP攻击事件”、“TOP受攻击对象”、“TOP攻击源IP”、“TOP受攻击URL”后的，可复制统计图表的数据。单击“TOP受攻击对象”、“TOP攻击源IP”、“TOP受攻击URL”区域对应的域名、客户端IP、URL后，可在防护事件列表自动添加对应筛选条件，快速定位事件详情。

控制台最多可以查看10,000条防护事件日志，如果想要查询更多日志，请调整时间间隔或者将日志转储到LTS进行查看。

图2 防护事件列表

根据筛选条件字段匹配值设置多项匹配条件（图2①）。完成后，匹配条件会展示在事件列表的上方，条件字段参数说明如表1所示。

表1 支持筛选搜索的条件字段
参数名称	参数说明
客户端IP	Web访问者的公网IP地址（攻击者IP地址）。默认选择“全部”，查看所有的日志信息，也可以根据需要，选择或者自定义攻击者IP地址查看攻击日志信息。
host	被攻击的防护域名。
规则ID	内置Web基础防护规则ID。
URL	攻击的防护域名的URL。
事件类型	发生攻击的类型。默认选择“全部”，查看所有攻击类型的日志信息，也可以根据需要，选择攻击类型查看攻击日志信息。
防护动作	防护配置中设置的防护动作，包含：拦截、仅记录、人机验证、不匹配等。人机验证：CC防护规则中，“防护动作”支持配置“人机验证”。即当访问的请求频率超过设定的“限速频率”后将弹出验证码提示，输入正确的验证码，请求将不受访问限制。不匹配：配置网页防篡改、防敏感信息泄露、隐私屏蔽防护规则后，如果访问请求命中这些防护规则，则防护日志中记录的防护事件，“防护动作”显示为“不匹配”。
状态码	拦截页面返回的HTTP状态码。
事件ID	标识该防护事件的ID。

单击防护事件列表右上角的

（图2②），设置防护事件列表展示字段，字段参数说明表2所示。

表2 防护事件列表可展示字段参数说明
参数	说明	示例
时间	本次攻击发生的时间。	2021/02/04 13:20:04
客户端IP	Web访问者的公网IP地址（攻击者IP地址）。单击“客户端IP”列的，可对事件列表进行升序或降序重新排序。	-
host	被攻击的防护域名。	www.example.com
地理位置	客户端IP所在地区。	-
规则ID	内置Web基础防护规则ID。	-
URL	攻击的防护域名的URL。	/admin
事件类型	发生攻击的类型。	SQL注入攻击
应用组件	被攻击的应用组件。	pgAdmin4
防护动作	防护配置中设置的防护动作，包含：拦截、仅记录、人机验证等。说明：配置网页防篡改、防敏感信息泄露、隐私屏蔽防护规则后，如果访问请求命中防护规则，则防护动作显示为“不匹配”。	拦截
状态码	拦截页面返回的HTTP状态码。	418
恶意负载	本次攻击对防护域名造成伤害的位置、组成部分或访问URL的次数。说明：对于CC攻击事件，恶意负载表示当时访问URL的次数。对于黑名单防护事件，恶意负载为空。	id=1 and 1='1
接入模式	网站接入WAF的方式。	云模式-CNAME接入
ELB名称	云模式-ELB接入模式下，防护域名关联的“ELB（负载均衡器）”名称。	elb-18ce
企业项目	网站所在的企业项目。单击“企业项目”列的，可对事件列表进行升序或降序重新排序。	default