快速使用WAF日志服務(wù)
Web應(yīng)用防火墻（Web Application Firewall，簡稱WAF）日志服務(wù)通過阿里云日志服務(wù)實(shí)時(shí)地采集已接入WAF防護(hù)的網(wǎng)站業(yè)務(wù)的全量日志，并對采集到的日志數(shù)據(jù)進(jìn)行查詢與分析，以豐富的儀表盤形式展示查詢結(jié)果，滿足等保合規(guī)要求和網(wǎng)站業(yè)務(wù)的防護(hù)及運(yùn)營需求。本文介紹如何開通和使用WAF日志服務(wù)。
背景信息
WAF日志服務(wù)只會存儲已開啟日志采集的網(wǎng)站相關(guān)日志。如果網(wǎng)站未開啟日志采集，WAF不會存儲其日志數(shù)據(jù)。
網(wǎng)站域名開啟日志采集后，WAF將按照下表描述的默認(rèn)配置，自動存儲網(wǎng)站域名的日志數(shù)據(jù)。
日志存儲配置 | 默認(rèn)配置 | 是否支持修改默認(rèn)配置 |
日志存儲時(shí)長 | 日志存儲時(shí)長為180天。 | 支持修改?？蛇x范圍：15~360天。 重要 僅包年包月WAF實(shí)例支持修改日志存儲時(shí)長。 |
自定義字段配置 | 默認(rèn)包含全部必選字段和部分可選字段。 | 支持修改。可修改WAF日志中的可選字段。 |
存儲類型 | 默認(rèn)存儲網(wǎng)站域名的全量日志。 | 支持修改?？尚薷臑閮H存儲攔截日志。 |
WAF支持修改以上默認(rèn)配置。具體操作，請參見修改日志設(shè)置。
前提條件
已開通高級版、企業(yè)版、旗艦版或獨(dú)享版包年包月WAF實(shí)例，或者已開通按量付費(fèi)WAF實(shí)例。
已將網(wǎng)站域名接入WAF進(jìn)行防護(hù)。
如果您還沒有將網(wǎng)站域名接入WAF防護(hù)，即使開通WAF日志服務(wù)，也不會產(chǎn)生日志數(shù)據(jù)。建議您先將網(wǎng)站域名接入WAF防護(hù)，再開通WAF日志服務(wù)。關(guān)于網(wǎng)站接入的具體操作，請參見使用教程。
已開通阿里云日志服務(wù)。
首次登錄日志服務(wù)控制臺時(shí)，您可以根據(jù)頁面提示開通日志服務(wù)。
僅阿里云賬號下的日志服務(wù)處于正常使用狀態(tài)時(shí)，WAF日志庫才可以正常使用。
說明當(dāng)阿里云日志服務(wù)出現(xiàn)欠費(fèi)時(shí)，WAF日志采集功能將暫停工作。當(dāng)您及時(shí)補(bǔ)繳欠款后，日志采集功能將自動恢復(fù)。
步驟一：開通WAF日志服務(wù)
開通包年包月實(shí)例的WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國內(nèi)地、非中國內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
在日志服務(wù)頁面，單擊立即升級，并按照頁面提示完成升級。
說明如果您在購買WAF實(shí)例時(shí)已經(jīng)開啟了日志服務(wù)，則無需進(jìn)行升級操作，請?zhí)^該步驟。
升級操作步驟：
在變配頁面，開啟日志服務(wù)，并根據(jù)您的業(yè)務(wù)需要選擇日志存儲容量。
單擊去支付，并完成支付。
授權(quán)WAF訪問相關(guān)云資源。具體操作，請參見創(chuàng)建服務(wù)關(guān)聯(lián)角色。
開通按量付費(fèi)實(shí)例的WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國內(nèi)地、非中國內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
在日志服務(wù)頁面，單擊立即升級，并參照以下步驟完成升級。
在修改套餐頁面，定位到系統(tǒng)規(guī)格區(qū)域，設(shè)置日志存儲容量（單位：TB）。
日志存儲容量大于0，即表示開通日志服務(wù)。
單擊確認(rèn)修改。
授權(quán)WAF訪問相關(guān)云資源。具體操作，請參見創(chuàng)建服務(wù)關(guān)聯(lián)角色。
開通WAF日志服務(wù)后，阿里云日志服務(wù)將自動為當(dāng)前阿里云賬號創(chuàng)建專屬的WAF日志項(xiàng)目和日志庫，完成日志數(shù)據(jù)采集前的準(zhǔn)備工作。關(guān)于WAF專屬日志項(xiàng)目及日志庫的默認(rèn)配置，請參見WAF專屬日志項(xiàng)目及日志庫。
步驟二：使用WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國內(nèi)地、非中國內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
從域名下拉列表中選擇要開啟日志采集的網(wǎng)站域名，打開右側(cè)的狀態(tài)開關(guān)，開啟該網(wǎng)站域名的日志采集功能。
域名下拉列表（圖示①）僅包含已接入WAF防護(hù)的網(wǎng)站域名。如果您還未將網(wǎng)站域名接入WAF防護(hù)，請先完成網(wǎng)站接入。具體操作，請參見使用教程。
在日志查詢頁簽，通過查詢與分析語句，對WAF日志數(shù)據(jù)進(jìn)行查詢與分析。具體操作，請參見日志查詢。
更多關(guān)于日志查詢與分析的案例，請參見查詢與分析案例。
在日志分析頁簽，查看WAF基于日志數(shù)據(jù)為您整合的日志分析儀表盤。
日志分析儀表盤是WAF基于日志數(shù)據(jù)，預(yù)先設(shè)置的一系列圖形報(bào)表，方便您直接查詢網(wǎng)站業(yè)務(wù)及安全防護(hù)的相關(guān)數(shù)據(jù)。日志分析儀表盤包含：
運(yùn)營中心：展示網(wǎng)站的業(yè)務(wù)運(yùn)營指標(biāo)，包含請求趨勢、攻擊概況等。
訪問中心：展示網(wǎng)站的訪問指標(biāo)、客戶端分布、流量與性能等。
安全中心：展示網(wǎng)站的被攻擊指標(biāo)、趨勢、來源分布等。
您只需設(shè)置查詢時(shí)間，即可直接查詢相關(guān)儀表盤，并可以創(chuàng)建訂閱，通過郵件等方式定期接收儀表盤數(shù)據(jù)報(bào)表。關(guān)于日志分析儀表盤包含的具體圖表數(shù)據(jù)以及如何創(chuàng)建訂閱，請參見查看日志分析儀表盤。
WAF專屬日志項(xiàng)目及日志庫
下表描述了阿里云日志服務(wù)自動創(chuàng)建的WAF專屬日志項(xiàng)目（Project）及日志庫（Logstore）的默認(rèn)配置。
請勿隨意刪除或修改日志服務(wù)為您創(chuàng)建的默認(rèn)Project、Logstore、索引和儀表盤設(shè)置。日志服務(wù)將不定期更新、升級WAF日志查詢與分析功能，專屬日志庫中的索引與默認(rèn)報(bào)表也會自動更新。
資源類型 | 說明 |
Project | 日志服務(wù)自動為WAF創(chuàng)建一個(gè)日志項(xiàng)目（Project）。日志項(xiàng)目的具體信息如下：
您可以在日志服務(wù)控制臺的首頁查詢WAF專屬日志項(xiàng)目，單擊項(xiàng)目名稱可以進(jìn)入項(xiàng)目。關(guān)于Project的更多介紹，請參見管理Project。 |
Logstore | WAF日志項(xiàng)目下默認(rèn)已創(chuàng)建一個(gè)日志庫（Logstore）。WAF日志庫名稱為 WAF日志庫不支持通過API、SDK等方式寫入除WAF日志外的其他類型數(shù)據(jù)。該日志庫在查詢、統(tǒng)計(jì)、報(bào)警、流式消費(fèi)等功能上無特殊限制。 |
Shard | WAF日志庫默認(rèn)包含兩個(gè)分區(qū)（Shard），并開啟了自動分裂分區(qū)功能。您可以通過Logstore基本信息查詢分區(qū)屬性。 關(guān)于Shard的更多介紹，請參見管理Shard。 |
儀表盤 | WAF日志項(xiàng)目下默認(rèn)包含三個(gè)預(yù)置的儀表盤，分別為運(yùn)營中心、訪問中心、安全中心。您可以在WAF日志項(xiàng)目中查詢WAF日志儀表盤。 關(guān)于WAF日志儀表盤的更多介紹，請參見查看日志分析儀表盤。 |
更多內(nèi)容
如果您的RAM用戶需要使用WAF日志查詢與分析功能，您需要為其授予日志服務(wù)相關(guān)權(quán)限。具體操作，請參見為RAM用戶授予日志查詢分析權(quán)限。
如果您需要了解更多關(guān)于WAF日志查詢與分析的應(yīng)用，請參見日志應(yīng)用教程。
如果您需要修改WAF日志存儲規(guī)則、存儲容量等設(shè)置，請參見日志存儲管理。