快速使用WAF日志服務(wù)
Web應(yīng)用防火墻（Web Application Firewall，簡(jiǎn)稱WAF）日志服務(wù)通過阿里云日志服務(wù)實(shí)時(shí)地采集已接入WAF防護(hù)的網(wǎng)站業(yè)務(wù)的全量日志，并對(duì)采集到的日志數(shù)據(jù)進(jìn)行查詢與分析，以豐富的儀表盤形式展示查詢結(jié)果，滿足等保合規(guī)要求和網(wǎng)站業(yè)務(wù)的防護(hù)及運(yùn)營(yíng)需求。本文介紹如何開通和使用WAF日志服務(wù)。
背景信息
WAF日志服務(wù)只會(huì)存儲(chǔ)已開啟日志采集的網(wǎng)站相關(guān)日志。如果網(wǎng)站未開啟日志采集，WAF不會(huì)存儲(chǔ)其日志數(shù)據(jù)。
網(wǎng)站域名開啟日志采集后，WAF將按照下表描述的默認(rèn)配置，自動(dòng)存儲(chǔ)網(wǎng)站域名的日志數(shù)據(jù)。
日志存儲(chǔ)配置 | 默認(rèn)配置 | 是否支持修改默認(rèn)配置 |
日志存儲(chǔ)時(shí)長(zhǎng) | 日志存儲(chǔ)時(shí)長(zhǎng)為180天。 | 支持修改。可選范圍：15~360天。 重要 僅包年包月WAF實(shí)例支持修改日志存儲(chǔ)時(shí)長(zhǎng)。 |
自定義字段配置 | 默認(rèn)包含全部必選字段和部分可選字段。 | 支持修改。可修改WAF日志中的可選字段。 |
存儲(chǔ)類型 | 默認(rèn)存儲(chǔ)網(wǎng)站域名的全量日志。 | 支持修改。可修改為僅存儲(chǔ)攔截日志。 |
WAF支持修改以上默認(rèn)配置。具體操作，請(qǐng)參見修改日志設(shè)置。
前提條件
已開通高級(jí)版、企業(yè)版、旗艦版或獨(dú)享版包年包月WAF實(shí)例，或者已開通按量付費(fèi)WAF實(shí)例。
已將網(wǎng)站域名接入WAF進(jìn)行防護(hù)。
如果您還沒有將網(wǎng)站域名接入WAF防護(hù)，即使開通WAF日志服務(wù)，也不會(huì)產(chǎn)生日志數(shù)據(jù)。建議您先將網(wǎng)站域名接入WAF防護(hù)，再開通WAF日志服務(wù)。關(guān)于網(wǎng)站接入的具體操作，請(qǐng)參見使用教程。
已開通阿里云日志服務(wù)。
首次登錄日志服務(wù)控制臺(tái)時(shí)，您可以根據(jù)頁(yè)面提示開通日志服務(wù)。
僅阿里云賬號(hào)下的日志服務(wù)處于正常使用狀態(tài)時(shí)，WAF日志庫(kù)才可以正常使用。
說明當(dāng)阿里云日志服務(wù)出現(xiàn)欠費(fèi)時(shí)，WAF日志采集功能將暫停工作。當(dāng)您及時(shí)補(bǔ)繳欠款后，日志采集功能將自動(dòng)恢復(fù)。
步驟一：開通WAF日志服務(wù)
開通包年包月實(shí)例的WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺(tái)，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國(guó)內(nèi)地、非中國(guó)內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
在日志服務(wù)頁(yè)面，單擊立即升級(jí)，并按照頁(yè)面提示完成升級(jí)。
說明如果您在購(gòu)買WAF實(shí)例時(shí)已經(jīng)開啟了日志服務(wù)，則無(wú)需進(jìn)行升級(jí)操作，請(qǐng)?zhí)^該步驟。
升級(jí)操作步驟：
在變配頁(yè)面，開啟日志服務(wù)，并根據(jù)您的業(yè)務(wù)需要選擇日志存儲(chǔ)容量。
單擊去支付，并完成支付。
授權(quán)WAF訪問相關(guān)云資源。具體操作，請(qǐng)參見創(chuàng)建服務(wù)關(guān)聯(lián)角色。
開通按量付費(fèi)實(shí)例的WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺(tái)，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國(guó)內(nèi)地、非中國(guó)內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
在日志服務(wù)頁(yè)面，單擊立即升級(jí)，并參照以下步驟完成升級(jí)。
在修改套餐頁(yè)面，定位到系統(tǒng)規(guī)格區(qū)域，設(shè)置日志存儲(chǔ)容量（單位：TB）。
日志存儲(chǔ)容量大于0，即表示開通日志服務(wù)。
單擊確認(rèn)修改。
授權(quán)WAF訪問相關(guān)云資源。具體操作，請(qǐng)參見創(chuàng)建服務(wù)關(guān)聯(lián)角色。
開通WAF日志服務(wù)后，阿里云日志服務(wù)將自動(dòng)為當(dāng)前阿里云賬號(hào)創(chuàng)建專屬的WAF日志項(xiàng)目和日志庫(kù)，完成日志數(shù)據(jù)采集前的準(zhǔn)備工作。關(guān)于WAF專屬日志項(xiàng)目及日志庫(kù)的默認(rèn)配置，請(qǐng)參見WAF專屬日志項(xiàng)目及日志庫(kù)。
步驟二：使用WAF日志服務(wù)
登錄Web應(yīng)用防火墻控制臺(tái)，在頂部菜單欄，選擇WAF實(shí)例的資源組和地域（中國(guó)內(nèi)地、非中國(guó)內(nèi)地）。
在左側(cè)導(dǎo)航欄，選擇。
從域名下拉列表中選擇要開啟日志采集的網(wǎng)站域名，打開右側(cè)的狀態(tài)開關(guān)，開啟該網(wǎng)站域名的日志采集功能。
域名下拉列表（圖示①）僅包含已接入WAF防護(hù)的網(wǎng)站域名。如果您還未將網(wǎng)站域名接入WAF防護(hù)，請(qǐng)先完成網(wǎng)站接入。具體操作，請(qǐng)參見使用教程。
在日志查詢頁(yè)簽，通過查詢與分析語(yǔ)句，對(duì)WAF日志數(shù)據(jù)進(jìn)行查詢與分析。具體操作，請(qǐng)參見日志查詢。
更多關(guān)于日志查詢與分析的案例，請(qǐng)參見查詢與分析案例。
在日志分析頁(yè)簽，查看WAF基于日志數(shù)據(jù)為您整合的日志分析儀表盤。
日志分析儀表盤是WAF基于日志數(shù)據(jù)，預(yù)先設(shè)置的一系列圖形報(bào)表，方便您直接查詢網(wǎng)站業(yè)務(wù)及安全防護(hù)的相關(guān)數(shù)據(jù)。日志分析儀表盤包含：
運(yùn)營(yíng)中心：展示網(wǎng)站的業(yè)務(wù)運(yùn)營(yíng)指標(biāo)，包含請(qǐng)求趨勢(shì)、攻擊概況等。
訪問中心：展示網(wǎng)站的訪問指標(biāo)、客戶端分布、流量與性能等。
安全中心：展示網(wǎng)站的被攻擊指標(biāo)、趨勢(shì)、來(lái)源分布等。
您只需設(shè)置查詢時(shí)間，即可直接查詢相關(guān)儀表盤，并可以創(chuàng)建訂閱，通過郵件等方式定期接收儀表盤數(shù)據(jù)報(bào)表。關(guān)于日志分析儀表盤包含的具體圖表數(shù)據(jù)以及如何創(chuàng)建訂閱，請(qǐng)參見查看日志分析儀表盤。
WAF專屬日志項(xiàng)目及日志庫(kù)
下表描述了阿里云日志服務(wù)自動(dòng)創(chuàng)建的WAF專屬日志項(xiàng)目（Project）及日志庫(kù)（Logstore）的默認(rèn)配置。
請(qǐng)勿隨意刪除或修改日志服務(wù)為您創(chuàng)建的默認(rèn)Project、Logstore、索引和儀表盤設(shè)置。日志服務(wù)將不定期更新、升級(jí)WAF日志查詢與分析功能，專屬日志庫(kù)中的索引與默認(rèn)報(bào)表也會(huì)自動(dòng)更新。
資源類型 | 說明 |
Project | 日志服務(wù)自動(dòng)為WAF創(chuàng)建一個(gè)日志項(xiàng)目（Project）。日志項(xiàng)目的具體信息如下：
您可以在日志服務(wù)控制臺(tái)的首頁(yè)查詢WAF專屬日志項(xiàng)目，單擊項(xiàng)目名稱可以進(jìn)入項(xiàng)目。關(guān)于Project的更多介紹，請(qǐng)參見管理Project。 |
Logstore | WAF日志項(xiàng)目下默認(rèn)已創(chuàng)建一個(gè)日志庫(kù)（Logstore）。WAF日志庫(kù)名稱為 WAF日志庫(kù)不支持通過API、SDK等方式寫入除WAF日志外的其他類型數(shù)據(jù)。該日志庫(kù)在查詢、統(tǒng)計(jì)、報(bào)警、流式消費(fèi)等功能上無(wú)特殊限制。 |
Shard | WAF日志庫(kù)默認(rèn)包含兩個(gè)分區(qū)（Shard），并開啟了自動(dòng)分裂分區(qū)功能。您可以通過Logstore基本信息查詢分區(qū)屬性。 關(guān)于Shard的更多介紹，請(qǐng)參見管理Shard。 |
儀表盤 | WAF日志項(xiàng)目下默認(rèn)包含三個(gè)預(yù)置的儀表盤，分別為運(yùn)營(yíng)中心、訪問中心、安全中心。您可以在WAF日志項(xiàng)目中查詢WAF日志儀表盤。 關(guān)于WAF日志儀表盤的更多介紹，請(qǐng)參見查看日志分析儀表盤。 |
更多內(nèi)容
如果您的RAM用戶需要使用WAF日志查詢與分析功能，您需要為其授予日志服務(wù)相關(guān)權(quán)限。具體操作，請(qǐng)參見為RAM用戶授予日志查詢分析權(quán)限。
如果您需要了解更多關(guān)于WAF日志查詢與分析的應(yīng)用，請(qǐng)參見日志應(yīng)用教程。
如果您需要修改WAF日志存儲(chǔ)規(guī)則、存儲(chǔ)容量等設(shè)置，請(qǐng)參見日志存儲(chǔ)管理。