本文中含有需要您注意的重要提示信息，忽略該信息可能對您的業務造成影響，請務必仔細閱讀。
Web應用防火墻（Web Application Firewall，簡稱WAF）日志是記錄和分析網絡流量及安全事件的重要工具，對于識別潛在威脅、進行安全審計和確保合規性至關重要。然而，當WAF日志容量達到上限時，會導致日志數據無法記錄，進而影響到安全監控和事件響應的能力。本文將為您介紹日志容量達到上限后的常用解決方法。
背景信息
WAF日志記錄了對Web應用的所有訪問請求及防火墻的響應情況。這些日志包含了攻擊檢測、過濾、阻斷等詳細信息，充足的日志容量可以確保所有安全事件被完整記錄，幫助管理員進行詳細分析和審計。如果日志容量達到上限，可能會產生以下影響：
日志丟失
當日志使用量達到日志存儲總量上限后，新的日志數據將無法記錄，導致重要的安全事件信息丟失。
安全威脅無法及時檢測
無法記錄新日志，如果您有其他安全分析類的服務依賴WAF日志，則可能會使得潛在的安全威脅無法被及時檢測和響應，增加了安全風險。
合規性問題
某些行業和法規要求企業保留日志數據以供審計，日志使用量達到日志存儲總量上限后無法記錄新的日志，可能導致合規性問題。
日志容量達到上限如何處理
WAF日志容量達到上限后，通常采用以下四種方法進行處理：
升級日志存儲容量
升級日志存儲容量是最直接的解決方案。通過配置更大的存儲空間可以確保WAF有足夠的容量來記錄所有的安全事件和網絡流量數據。具體操作請參見升級日志存儲空間
細粒度配置減少存儲空間使用量
通過針對不同業務的重要性，精細化地配置日志記錄策略。例如對于非重要業務，僅記錄攻擊日志和必選字段，或者少量可選字段降低存儲空間占用量。具體操作請參見細粒度配置減少存儲空間使用量
減少日志存儲時長
優化日志存儲時長也是一種有效的方法。根據業務需求，縮短日志保留的時間，可以減少存儲空間的占用。例如，將日志保留期限從原來的30天縮短為7天，能夠在不丟失關鍵數據的前提下，節省大量的存儲空間。具體操作請參見減少日志存儲時長
減少日志索引字段
關閉“索引自動更新”功能，并刪除部分不需要的字段索引，可以顯著減少索引空間的占用。索引雖然有助于快速查詢和分析日志，但也會消耗大量的存儲空間。通過優化索引配置，可以在保證查詢效率的同時，減少存儲空間的使用。具體操作請參見減少日志索引字段
升級日志存儲空間
僅針對包年包月高級版、企業版、旗艦版的實例，支持查看和升級日志存儲容量。按量付費實例按實際用量結算費用，并由日志服務統一出賬，因此沒有容量限制，無需單獨設置日志容量。
登錄Web應用防火墻3.0控制臺，在左側導航欄，選擇，單擊右上角的升級容量。
選擇更大的日志存儲容量規格，并完成購買。
細粒度配置減少存儲空間使用量
日志投遞字段設置允許對單個防護對象進行精細化字段配置和日志存儲類型設置，如果針對某個防護對象進行了特定的字段和日志存儲類型配置，設置后的字段優先級高于默認字段設置。
登錄Web應用防火墻3.0控制臺，在左側導航欄，選擇，單擊右上角的。
在投遞設置頁簽中，單擊目標防護對象的SLS投遞字段列的字段配置，完成如下表所示的配置操作。
配置項
配置說明
必選字段
必選字段表示WAF日志中一定包含的字段，目前不支持您對必選字段進行編輯，字段詳情請參見必選日志字段說明。
可選字段
可選字段表示您可以手動選擇是否在WAF日志中包含這些字段。WAF日志只會記錄您已啟用的可選字段，字段詳情請參見可選日志字段說明。
說明啟用更多可選字段將會增加WAF日志的存儲容量使用。如果您有足夠的日志存儲容量，建議啟用更多可選字段以便更全面地進行日志分析。
存儲類型
存儲類型配置支持您根據您購買的日志存儲容量，選擇不同的日志存儲選項：全量日志、攔截日志、攔截與觀察日志。選擇合適的存儲類型有助于平衡安全監控與日志存儲成本。
全量日志：記錄所有請求，包括正常請求、可疑請求及被攔截的攻擊請求。適用于需要全面審計和深入分析的場景。
攔截日志：僅記錄被WAF攔截的攻擊請求。適合關注安全事件并希望減少非關鍵日志存儲資源消耗的用戶。
攔截與觀察日志：記錄被WAF標記為可疑的請求和被攔截的攻擊請求。適用于希望監測潛在威脅的同時控制日志存儲使用量的用戶。
對于非重要業務，您只需記錄攻擊日志和必選字段，或少量可選字段，以降低存儲空間占用。在完成日志投遞字段的配置后，單擊確定并看到操作成功提示后，代表當前配置已對單個防護對象生效。
減少日志存儲時長
登錄Web應用防火墻3.0控制臺，在左側導航欄，選擇，單擊右上角的存儲時長設置，此時進入日志服務控制臺。
在Logstore屬性面板中單擊右上角的修改，減少數據保存時間后，單擊保存。
重要在調整日志保存時間時，務必確保符合相關法規和合規性要求，以避免因數據保留不足而導致的合規性問題。
當日志保存時間達到您所設置的限定天數時后，超期的日志將會自動刪除。
減少日志索引字段
登錄日志服務控制臺，在Project列表區域，單擊以
wafng開頭的目標Project。
在左側導航欄，單擊日志存儲
，在日志庫列表中單擊目標Logstore。
在Logstore的查詢和分析頁面，選擇。
關閉自動更新索引。當前Logstore為特殊的云產品Logstore或者內部Logstore時，默認打開索引自動更新開關，此時指定字段查詢區域為不可操作狀態，在查詢分析面板中，關閉自動更新開關。
警告如果您在SLS配置了自定義報表和告警功能，刪除WAF產品專屬Logstore的索引，可能會影響自定義報表和告警功能，請謹慎操作
刪除索引。關閉自動更新開關后，您可以在指定字段查詢區域刪除不需要的字段索引，刪除索引后單擊確認。
