开启WAF全量日志功能后，您可以将攻击日志、访问日志记录到云日志服务（Log Tank Service，简称LTS）中，通过LTS记录的WAF攻击日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。

本实践通过将WAF的攻击日志开启LTS快速分析，再配置告警规则，实现WAF规则拦截日志的分析及告警，实时洞察您的业务在WAF中的防护情况并作出决策分析。

前提条件

防护网站已成功接入WAF。
WAF的攻击日志流已对接到LTS。
已开通消息通知服务。

快速分析规则拦截日志

登录管理控制台。
单击管理控制台左上角的，选择区域或项目。
单击页面左上方的，选择“管理与监督 > 云日志服务”，进入“日志管理”页面。

图1 单击攻击日志流名称

在日志组列表中，展开waf日志组，选择日志流“attack”。
在左侧导航树中，选择“配置中心”，进入“结构化配置”页面。

图2 结构化配置页面

选择“JSON”日志结构化方式，单击“从已有日志中选择”，在右侧弹框中任意选择一条日志。
单击“智能提取”，筛选出需要“快速分析”的字段，打开这些字段在“快速分析”列的开关，打开后，可以对周期类日志进行统计分析。

图3 日志提取字段

找到“category”字段，单击该字段“别名”列的，修改该字段名称并单击保存设置。

该字段名称与系统内置字段 category 重复了，需要修改后才能保存成功。

在列表右下方，单击“保存”，LTS将对周期内的日志进行快速分析、统计。
在左侧导航树中，选择“可视化”，在页面右侧选择日志查询时间段，在搜索框中输入SQL语句后单击“执行查询”。

您可以根据 rule 和 uri 进行分组，在搜索框中输入如下SQL语句，查询指定规则的日志：

select rule, rui, count(*) as cnt where action = ‘block’ group by rule, uri order by cnt desc

有关SQL查询语法的详细介绍，请参见SQL查询语法。

可视化查询功能当前只针对“北京4”白名单用户可用。

配置告警规则

单击页面左上方的，选择“管理与监督 > 云日志服务”，进入“日志管理”页面。
在左侧导航树中，选择“告警”，并选择“告警规则”页签。
单击“创建”，在右侧弹框中配置相关参数，如图4所示，参数说明如表1所示。

图4 配置告警规则

表1 关键参数说明

参数名称	参数说明	样例
规则名称	自定义该规则的名称。	WAF告警
统计类型	选择“SQL统计”。	SQL统计
相关图表	单击“直接添加”。 选择需要配置拦截告警的“日志组名称”和“日志流名称”。 “查询时间”：日志统计时间周期。 “查询语句”：步骤 10中配置好的SQL语句，如select rule,uri,count(*) as cnt where action=’block’ group by rule,uri order by cnt desc	–
统计周期	告警触发的周期。一般选择“固定间隔”，5分钟。	固定间隔 5 分钟
条件表达式	配置告警阈值	cnt>5
触发告警级别	根据该拦截规则的紧急程选择告警级别，可选择“紧急”、“重要”、“次要”、“提示。”	重要
发送通知	选择“发送”。	发送
告警主题	单击下拉列表选择已创建的主题或者单击“查看主题”创建新的主题，用于配置接收告警通知的终端。 单击“查看主题”创建新主题的操作步骤如下： 参见创建主题创建一个主题。 配置接收告警通知的手机号码、邮件地址、函数、平台应用的终端、DMS或HTTP(S)终端，即为创建的主题添加一个或多个订阅，具体操作请参见添加订阅。 确认订阅。添加订阅后，完成订阅确认。 更多关于主题和订阅的信息，请参见《消息通知服务用户指南》。	–
时区/语言	可单击“修改”配置消息接收的语言和时区。	–
消息模板	在下拉框中选择已有的模板或者单击“创建消息模板”创建新的模板。	sql模板

参数配置好后，单击“确定”，告警规则配置完成。当触发该告警规则时，您会收到告警邮件或者短信。

父主题： 通过LTS分析WAF日志

同意关联代理商云淘科技，购买华为云产品更优惠（QQ 78315851）

内容没看懂？ 不太想学习？想快速解决？ 有偿解决： 联系专家