文档中心

飞连

风险监测与洞察

查看 Web 数据外发日志

Web 数据外发日志记录员工在网站、云应用中命中 Web 数据保护策略的行为。您可以查看外发人员、目标应用、命中策略和处置结果，追溯敏感文本、文件外发及文件下载行为。

日志记录范围

日志由实际行为触发。创建或启用策略不会直接产生数据外发日志；需要员工行为被策略检测到并上报后，才能在此查看。

外发行为	日志关注内容
文本外发	员工向网站、云应用提交文本时，命中了哪些敏感数据规则，以及是否被阻断。
文件外发	员工上传了什么文件、文件命中了哪些敏感数据规则。文件外发只支持审计，日志不表示上传已被拦截。
文件下载	员工从哪个应用下载了什么文件。按文件大小和类型检测，不扫描下载文件中的敏感内容。

查看记录时，应结合处置方式判断结果。审计表示记录行为且不拦截本次操作；阻断表示拦截命中的行为。

日志使用说明

未找到预期记录时，先检查查询时间、人员及设备条件，再检查策略状态、生效范围、排除对象和目标应用。涉及内容检测时，还需检查引流、HTTPS 解密及分类分级规则。文件外发采用异步检测，检测结果和日志可能稍后出现；上传后立即查不到日志，不代表文件未命中规则。

前提条件

已配置并启用 Web 数据保护策略，且已有员工行为命中策略并上报日志。策略配置方法请参见配置 Web 数据保护策略。

查询日志

列表中的主要字段如下。您可以单击自定义列调整展示字段。

字段	说明
外发时间	外发行为发生的时间。
员工	触发行为的员工及所属部门信息。
处置方式	本次行为采用审计还是阻断。
命中敏感数据	本次检测命中的敏感数据。文件下载不做敏感内容检测，该字段可能显示为“-”。
外发行为	文本外发、文件外发或文件下载。
命中策略	触发本条日志的策略名称。
命中对象	本次行为涉及的网站或云应用。

查看日志详情

在目标记录的操作列单击详情，查看本次行为的信息。

事件详情

外发信息：查看事件 ID、外发时间、上报时间、处置方式、命中策略、应用分类、访问云应用、触发 URL 和外发行为。外发时间用于定位员工操作，上报时间用于核对日志到达后台的时间。

原始日志

需要进一步排查时，切换至原始日志页签查看上报记录。可结合事件 ID、时间及触发 URL，与相关人员核对同一次行为。

在请求字段中切换基本信息与更多信息，查看请求的时间、目标地址、HTTP 信息及网络连接信息。字段值为“-”时，表示该条记录没有展示对应值。

字段	说明
timestamp_ms（请求时间）	请求发生时间，页面精确展示到毫秒。
user（用户）	发起请求的员工。
status（状态码）	HTTP 响应状态码。不能仅凭状态码判断策略是否阻断，应结合事件详情的处置方式。
host（应用 host）	请求的目标主机名。
uri（HTTP URL）	请求地址和路径，用于定位具体资源。
method（请求方法）	HTTP 方法，例如 GET、POST。
level（日志状态）	上报记录的日志状态，不等同于策略的审计或阻断动作。
duration（请求往返时间）	请求往返耗时，单位为毫秒。
user_agent（User Agent）	发起请求的软件、浏览器或运行环境标识。
sip（源 IP）	本条请求记录的源 IP。
sport（源端口）	源连接使用的端口。
size（请求大小）	本条请求记录的大小，单位为字节（Byte）。
protocol（HTTP 版本）	HTTP 版本，例如 HTTP/1.1、HTTP/2.0。
scheme（协议）	协议，例如 http、https。
intranet_ip（网关内网 IP 地址）	网关相关地址字段，用于排查请求经过的网关。

导出日志

在列表中设置筛选条件后，单击导出列表，按页面提示导出 CSV 文件。下载时支持自定义选择列表项，完整日志文件包含以下字段。

最近更新时间：2026.10.09 11:13:36

这个页面对您有帮助吗？

有用

无用