查询WAF日志

1. 登录天翼云控制中心。

2. 单击页面顶部的区域选择框，选择区域。

3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。

4. 在左侧导航栏，选择“防护事件 > 日志分析”，进入日志分析页面。

5. 选择需要查询日志的实例及防护对象。

   

   下表描述了高级搜索支持设置的搜索条件。

    

   搜索条件	说明
   IP	发起请求的客户端的IP地址。
   请求ID	WAF为客户端请求生成的唯一标识。WAF向客户端返回拦截页面或者滑块验证响应时会提供该ID，用于问题分析与故障排查。
   规则ID	请求命中的WAF防护规则的ID。
   请求端口	源站服务器响应WAF回源请求的端口
   响应状态码	WAF响应客户端请求的HTTP状态码。

6. 在交互式搜索栏中，通过查询与分析语句，对WAF日志数据进行查询与分析。

   

页面概览

日志直方图

• 将鼠标悬浮在蓝色柱状图上可查看其代表的时间范围和日志命中次数。

• 双击蓝色数据块则可查看更细时间粒度的日志分布，此时原始日志页签将同步展示该时间范围内的查询结果。

原始数据

• 通过切换原始或表格按钮，可切换日志格式显示。

• 展开按钮可将日志展开显示。

• 换行按钮可将日志信息换行显示。

• 紧凑布局按钮可将日志信息和时间整合显示。

• 下载按钮可下载日志信息。

显示字段

• 可单击页面上的来开启或关闭字段的显示占比。

• 单击页面上的可快速分析字段分布统计值或智能聚合时间折线图。

• 单击页面上的可将索引字段从显示字段中清除，右侧的日志信息中不再显示。

索引字段

• 单击页面上的可快速分析字段分布统计值或智能聚合时间折线图。

• 单击页面上的可将索引字段添加至显示字段中，右侧的日志信息中显示相关信息。

统计图表

统计图表是日志服务根据查询与分析语句渲染出的结果。

WAF日志分析提供表格、线图、柱状图等多种图表类型，具体使用方法请参考：云日志服务-统计图表。

• 添加到仪表盘：仪表盘是日志服务提供的实时数据分析大盘。单击添加到仪表盘，将查询和分析结果以图表形式保存到仪表盘中。具体操作，请参见可视化概述。

• 图表配置：在右侧选择需要展示的图标类型。

日志查询案例

该查询执行语句执行以后，生成的图表包含以下字段：总请求数、200比例、302比例、404比例、、499比例、500比例，分别表示域名选择时间范围内的总请求量和各类型响应状态码的占比。

图表预览：

* |
SELECT
  remote_host AS "域名",
  Rate_200 AS "200比例",
  Rate_302 AS "302比例", 
  Rate_404 AS "404比例",
  Rate_499 AS "499比例", 
  Rate_500 AS "500比例",
  Rate_502 AS "502比例",
  Rate_503 AS "503比例",
  Rate_504 AS "504比例",
  countall AS "总请求数",
  code_200,
  code_302, 
  code_404,
  code_499,
  code_500,
  code_502,
  code_503,
  code_504
FROM(
  SELECT
    remote_host,
    round(round(code_200 * 1.0000 / countall, 4) * 100, 2) AS Rate_200,
    round(round(code_302 * 1.0000 / countall, 4) * 100, 2) AS Rate_302,
    round(round(code_404 * 1.0000 / countall, 4) * 100, 2) AS Rate_404,
    round(round(code_499 * 1.0000 / countall, 4) * 100, 2) AS Rate_499,
    round(round(code_500 * 1.0000 / countall, 4) * 100, 2) AS Rate_500,
    round(round(code_502 * 1.0000 / countall, 4) * 100, 2) AS Rate_502,
    round(round(code_503 * 1.0000 / countall, 4) * 100, 2) AS Rate_503,
    round(round(code_504 * 1.0000 / countall, 4) * 100, 2) AS Rate_504,
    countall,
    code_200,
    code_302,
    code_404,
    code_499,
    code_500,
    code_502,
    code_503,
    code_504
  FROM (
    SELECT
      remote_host,
      count_if(resp_code='200') AS code_200,
      count_if(resp_code='302') AS code_302,
      count_if(resp_code='404') AS code_404,
      count_if(resp_code='499') AS code_499,
      count_if(resp_code='500') AS code_500,
      count_if(resp_code='502') AS code_502,
      count_if(resp_code='503') AS code_503,
      count_if(resp_code='504') AS code_504,
      COUNT(*) AS countall
    FROM log
    WHERE is_attack = 'false'
    GROUP BY remote_host
  )
)
WHERE countall > 10
ORDER BY Rate_200 DESC
LIMIT 5