查詢與分析日志

1. 登錄Web應用防火墻3.0控制臺。在頂部菜單欄，選擇WAF實例的資源組和地域（中國內地、非中國內地）。

2. 在左側導航欄，選擇檢測與響應 > 日志服務。

3. 在日志服務頁面上方，選擇要查詢日志的防護對象。

   重要

   防護對象必須已經開啟日志采集（即狀態開關已打開），否則WAF不會采集其日志數據，也不提供查詢與分析服務。如果已選擇的防護對象還沒有開啟日志采集，您可以在此處為其打開狀態開關，開啟日志采集；或者前往日志設置頁面，通過SLS投遞狀態，管理所有防護對象的日志采集狀態。相關操作，請參見管理日志投遞狀態。

   

4. 在日志查詢頁簽，通過查詢與分析語句，對WAF日志數據進行查詢與分析。

   

   具體步驟如下：

   1. 在語句輸入框（圖示①），輸入查詢語句。

      查詢語句采用阿里云日志服務專用語法，關于該語法的詳細介紹，請參見查詢語法。查詢語句中使用WAF日志包含的字段作為查詢字段，關于支持使用的查詢字段，請參見日志字段說明。

      如果您不了解日志查詢語法，推薦您使用高級搜索。您只需在語句輸入框上方展開高級搜索，設置搜索條件并單擊搜索，語句輸入框即可自動生成與搜索條件匹配的日志查詢語句。下表描述了高級搜索支持設置的搜索條件。

      搜索條件	說明
      IP	發起請求的客戶端的IP地址。
      請求ID	WAF為客戶端請求生成的唯一標識。WAF向客戶端返回攔截頁面或者滑塊驗證響應時會提供該ID，用于問題分析與故障排查。
      規則ID	請求命中的WAF防護規則的ID。您可以防護規則頁面，查詢具體規則的規則ID；或者在安全報表頁面，通過規則命中紀錄或統計數據，獲取請求命中的規則ID。更多信息，請參見安全報表。
      服務器響應狀態碼	源站服務器響應WAF回源請求的HTTP狀態碼。
      WAF返回客戶端響應碼	WAF響應客戶端請求的HTTP狀態碼。
      防護模塊	請求命中的WAF防護模塊的類型。關于WAF防護模塊的介紹及不同模塊防護規則的配置方法，請參見防護配置概述。

   2. 如果您需要對查詢結果進行計算和統計分析，可以在語句輸入框（圖示①）已輸入的查詢語句后，輸入分析語句；如果您只需要查詢滿足條件的日志數據，可以跳過該步驟。

      分析語句和查詢語句間使用豎線（|）分隔。分析語句采用標準的SQL 92語法，關于分析語句的更多介紹，請參見分析概述。

   3. 通過時間選擇器（圖示②），設置要查詢的日志的創建時間范圍。

   4. 單擊查詢/分析（圖示③）。

      查詢與分析結果（即命中查詢條件的WAF日志數據）將會顯示在頁面下方，包含日志分布直方圖、原始日志、統計圖表、日志聚類。您可以基于查詢結果進行快速分析、生成統計圖表、設置告警等，具體說明，請參見查詢與分析結果說明。

查詢與分析結果說明

直方圖

• 將鼠標懸浮在綠色數據塊上時，您可以查看該數據塊代表的時間范圍和日志命中次數。

• 雙擊綠色數據塊，您可以查看更細時間粒度的日志分布，同時原始日志頁簽中將同步展示指定時間范圍內的查詢結果。

原始日志

單擊原始日志頁簽，查看日志查詢和分析結果。