文档中心

日志服务

WAF 日志采集

采集 WAF 日志

本文档介绍 WAF 日志相关的功能介绍、采集方法。

功能概述

火山引擎 Web 应用防火墙（Web Application Firewall，下文简称 WAF）可以有效识别 Web 业务流量的恶意特征，在对流量进行清洗和过滤后，将正常、安全的流量返回给服务器，保障网站的业务安全和数据安全。

新版日志管理功能支持为 WAF 上已添加的防护资源采集 Web 攻击及访问日志数据，并基于火山引擎日志服务提供检索分析、监控告警、数据可视化等功能，帮助您快速了解 Web 请求业务的状态和防护效果，以便及时处理异常。

相关配置如下：

配置	说明
日志类型	Web 攻击及访问日志。
日志存储位置	在 WAF 开启日志管理后，日志服务会自动创建日志项目和日志主题，管理日志资源详情请参考管理 WAF 日志资源。日志项目：tls-waf-project-<account_id>-<region_id> 日志主题：waf-log
日志存储时长	默认为 180 天。
日志分区	预设 1 个分区。默认开启自动分裂日志主题分区，在写入流量较大时分裂分区以满足数据写入需求。
索引设置	自动配置索引。
日志字段	详细的日志字段列表请参考 WAF 日志字段。

采集 WAF 日志

使用限制、开启采集 WAF 日志至日志服务操作，详情请参考查看和分析日志。

WAF 日志字段

WAF 日志字段包括必选字段和可选字段，必选字段是指 WAF 日志中默认包含的字段，可选字段是指根据您的设置决定是否在日志中包含的字段，以下为对应字段的说明和示例。

必选日志字段

字段	说明
ActionType	处置动作，包括： Pass：放行 Permit：例外 Observe：观察 Block：拦截 HumanVerify：人机验证 HumanVerifyBlock：人机验证-拦截 JS：JS 挑战 JSBlock：JS 挑战-拦截 Pow：工作量证明 PowBlock：工作量证明-拦截 Drop：丢弃 AnswerOpt：答案优化
APIID	API 资产 ID。
APIName	API 资产名称。
APIStatus	API 的状态，包括： pending：待发现 discovering：发现中 discovered：已发现 managed：已纳管 ignored：已忽略 discarded：已废弃
AttackType	攻击类型，包括： black：禁止访问名单 geo_black：地理位置封禁 httpflood：CC 攻击 web_vulnerability：Web 漏洞攻击 bot：bot 自定义规则 bot_frequency：Bot 频率限制 bot_repeat：Bot 统计防护 bot_dytoken：Bot 动态令牌 bot_sequence：Bot 行为地图 route_abnormal：API 路由异常 param_abnormal：API 参数异常 api_discarded：API 废弃资产 api_sensitive：API 敏感信息 sensitive_info：敏感信息泄露
ClientIP	客户端 IP 地址。
ClientPort	客户端发起访问的端口。
ContentType	被请求的内容类型。
EventLevel	攻击事件等级，包括： 0：低危 1：中危 2：高危
HitInfo	命中防护策略类型后的二级规则类型。
HitField	命中规则的统计对象类型及对应键值，格式为<统计对象>: <键值>，如： COOKIE: uid HEADER: User-Agent AGRGS: Param1 CLIENTIP（以客户端 IP 作为统计对象，无键值）
Host	客户端请求头部的 Host 字段，表示客户端实际访问的域名。
MatchedHost	匹配的 WAF 接入域名，例如接入域名为.test.com，而实际访问域名是 a.test.com，此字段记录.test.com。
MatchedInfo	规则匹配命中的字段值，例如敏感信息（身份证号或手机号等），漏洞规则的对应字符串。
Method	客户端请求的请求方法。
Path	被请求的相对路径，指被请求 URL 中域名后面且问号(?)前面的部分，不包含查询字符串。
Plugin	防护策略类型。 acl：访问管控 dlp：防敏感信息泄露 api_policy：API防护 bot_policy：Bot管理 cc_policy：cc防护 web_policy：漏洞防护
PolicyID	防护规则 ID。
QueryArgs	客户端请求中的查询字符串，具体指被请求 URL 中问号(?)后面的部分。
RequestBodyType	请求 Body 类型，例如：application/x-www-form-urlencoded、application/json 等。
ResponseBodyType	响应 Body 类型，例如：application/json、application/xml 等。
Referer	客户端请求头部的 Referer 字段，表示请求的来源 URL 信息。如果请求无来源 URL 信息，则该字段显示为空。
Scheme	请求协议，包括 HTTP 和 HTTPS。
ServerProtocol	源站服务器响应 WAF 回源请求的协议及版本号。
SensitiveTags	敏感信息标签。
Status	WAF 响应客户端请求的 HTTP 状态码，包括： 200：请求成功 4XX：请求失败
Time	客户端请求的发起时间。使用 UTC+8 时区表示，格式为 yyyy-MM-dd HH:mm:ss。
TraceID	WAF 为客户端请求生成的唯一标识。
UpStreamAddr	源站服务器的 IP 地址和端口。格式为 IP:Port。多个记录间使用半角逗号（,）分隔。
UpStreamResponseTime	源站服务器响应 WAF 回源请求的时间。
UpStreamStatus	源站服务器响应 WAF 回源请求的 HTTP 状态码，包括自定义设置的状态码。
UserAgent	客户端请求头部的 User-Agent 字段，包含请求来源的客户端浏览器标识、操作系统标识等信息。
VerificationStatus	执行动作（包括 JS 挑战、工作量证明、人机验证）验证通过情况。 trigger：触发验证 timeout：超时后触发 ok：验证成功 pass：验证放行 failed：验证失败 block：失败后拦截 skip：失败后观察
XForwardedFor	客户端请求头部的 X-Forwarded-For(XFF) 字段，用于识别通过 HTTP 代理或负载均衡方式连接到 Web 服务器的客户端最原始的 IP 地址。

可选日志字段

字段	说明
Cookie	客户端请求头部的 Cookie 字段，表示访问来源客户端的 Cookie 信息。
RequestBody	请求 body 内容。
ResponseBody	响应 body 内容。当 Content-Encoding 类型为 gzip 或者 deflate 时，WAF 日志将会以 Base64 编码格式返回响应 Body 内容，其余 Content-Encoding 类型将以原文内容返回。
RuleDescription	命中规则对应的描述。该字段当前仅针对访问控制黑名单规则生效，其他规则条件下，该字段值为空。
RuleName	命中规则对应的名称。该字段当前仅针对访问控制黑名单规则生效，其他规则条件下，该字段值为空。

最近更新时间：2026.02.03 14:53:42

这个页面对您有帮助吗？

有用

无用