以下部分详细介绍了 WAF 日志分析。
日志字段
以下是 WAF 日志条目中的字段。
Timestamp
:捕获日志的时间。WAF
:WAF 评估结果。有关更多信息,请参阅 WAF 状态部分。Client IP
:客户端的 IP 地址。URI
:评估的流量的 URL。Request
:请求类型。Response
:响应代码。Length
:响应正文的大小。Duration/Timeline
:流量的持续时间。
WAF 状态
WAF 日志条目中的该列表示 WAF 评估结果。以下是可能的结果:
REJECTED
:策略处于“实施”模式并拒绝了请求。FLAGGED
:策略处于“检测”模式并记录了请求,但未拒绝请求。PASSED
:请求通过了 WAF 策略,而没有任何匹配。-
:WAF 未评估请求。BYPASSED
:请求与允许列表匹配并绕过了该请求。
日志建议用于帮助修复误报(如果有)。这些建议对应于每个 REJECTED
或 FLAGGED
日志条目。
注:
系统会生成建议,指示您可以执行哪些操作来缓解误报。但是,日志条目是否表示误报完全由您自行决定。
详细日志信息
单击每个日志条目末尾的 + 号,将展开面板以提供更多详细信息。
重要性:指示 WAF 策略匹配情况。
注:
这是匹配的 WAF 策略的第一个指标,并不指示是否拒绝了请求。
![](images/GUID-93F9959A-0670-4181-87E3-3E997F1B3B77-low.png)
WAF 响应时间:显示所有四个 WAF 评估阶段的执行时间。
![](images/GUID-261EE1D3-F3B7-4896-8190-B0622942D1D4-low.png)
WAF 命中数:显示所有匹配的规则。所有匹配的规则将具有一个包含以下字段的条目:
组名称
规则名称
规则 ID
规则消息
匹配的请求或响应的一部分,以及违规字符串
匹配阶段
分配给规则的标记
添加例外:在 WAF 命中数部分下,单击 + 添加例外,为误报修复创建例外。
可以在组级别或规则级别创建例外。系统将立即激活创建的例外。