ESA盗刷SOP

日志统计脚本参考

创建脚本：

nano log_stats.sh

复制以下脚本内容并保存：

#!/usr/bin/env bash
# 日志统计脚本 (macOS/Linux 通用)
# 依赖: jq + awk
# 用法: ./log_multi_stats.sh <文件路径> [TopN]
# 示例:./log_multi_stats.sh /path/to/log.txt 10
# ==============================================
FILE="$1"
TOP_N="${2:-10}"  
if [[ -z "$FILE" ]]; then
    echo "用法: $0 <文件路径> [TopN]" >&2
    exit 1
fi
# 检查依赖
if ! command -v jq >/dev/null; then
    echo "[错误] 需要安装 jq" >&2
    exit 1
fi
# 统计函数 - 频次
stat_count() {
    local field="$1"
    echo "=== ${field} 频次 TOP${TOP_N} ==="
    jq -r --arg f "$field" '.[$f]' "$FILE" \
    | sort \
    | uniq -c \
    | sort -nr \
    | head -"$TOP_N" \
    | awk '{print $2, $1}'
    echo
}
# 统计函数 - 流量
stat_sum() {
    local field="$1"
    echo "=== ${field} 对应 EdgeResponseBytes 总和 TOP${TOP_N} ==="
    jq -r --arg f "$field" '.[$f] + " " + (.EdgeResponseBytes|tostring)' "$FILE" \
    | awk '{sum[$1] += $2} END {for (k in sum) printf "%s %d\n", k, sum[k]}' \
    | sort -k2,2nr \
    | head -"$TOP_N"
    echo
}
# 要统计的字段列表
FIELDS=(
    "ClientIP"
    "ClientRequestReferer"
    "ClientRequestURI"
    "ClientRequestUserAgent"
)
# 循环统计
for f in "${FIELDS[@]}"; do
    stat_count "$f"
    stat_sum "$f"
done

保存脚本操作：

• 按Control + O保存

• 按Enter确认文件名

• 按Control + X退出 nano

赋予脚本执行权限：

chmod +x log_stats.sh

运行脚本，以统计/path/to/log.txt 日志文件中客户端ip、referer、User-Agent、URL频次和流量top5信息为例：

./log_stats.sh /path/to/log.txt 5

客户端ip/ip段相对集中的高频次访问的恶意请求

referer集中的盗刷场景

聚集性UA高频次访问

除ip/referer特征外，如果您的异常流量产生伴随着User-Agent聚集性异常访问，您也可以针对异常User-Agent请求进行防护。

1. 登录ESA控制台。

2. 在左侧菜单栏，选择站点管理，单击目标站点详情。

3. 在左侧菜单栏，选择安全防护 > WAF > 自定义规则。

4. 配置User-Agent规则：

   • 输入规则名称

   • 在如果请求匹配以下规则...位置配置规则：

     • 当异常UA可判断，比如大量携带"spider"的异常请求访问，您可以拦截包含"spider"的User-Agent访问您的站点，配置User Agent包含 spider，执行动作拦截/挑战。

     • 如占比较大的UA看起来无明显异常，比如正常的浏览器访问，建议您挑战此UA访问，比如占比最大的UA为标准ua格式配置User Agent等于 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/xx.xx.xx.x Safari/537.36，执行动作挑战。

特殊静态文件频繁异常访问

当您的某些静态文件出现大量超预期访问时，您可以结合上述访问特征，针对特定的URL进行访问频次的限制。

1. 登录ESA控制台。

2. 在左侧菜单栏，选择站点管理，单击目标站点详情。

3. 在左侧菜单栏，选择安全防护 > WAF > 频次控制规则。

4. 配置对应的频次控制规则：

   • 输入规则名称

   • 在如果请求匹配以下规则...位置配置规则。

     比如某个客户端ip频繁访问您的某些静态文件，您可以根据静态文件特征，配置当URI/URI路径/URI字符串/文件扩展名等匹配时，对相同客户端请求做频次限制（需标准版及以上版本）。