为Web应用防火墙（WAF）防护对象开启日志采集后，您可以通过日志查询，对防护对象的日志数据进行查询与分析，并基于查询与分析结果生成统计图表、创建告警等。

前提条件

查询与分析日志

  1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
  2. 在左侧导航栏，选择日志管理 > 日志服务。
  3. 在日志报表页面上方，选择要查询日志的防护对象。
    重要 防护对象必须已经开启日志采集（即状态开关已打开），否则WAF不会采集其日志数据，也不提供查询与分析服务。如果已选择的防护对象还没有开启日志采集，您可以在此处为其打开状态开关，开启日志采集；或者前往日志设置页面，通过采集配置，管理所有防护对象的日志采集状态。相关操作，请参见设置防护对象的采集状态。
    日志报表
  4. 在日志查询页签，通过查询与分析语句，对WAF日志数据进行查询与分析。
    日志查询与分析

    具体步骤如下：

    1. 在语句输入框（图示①），输入查询语句。
      查询语句采用阿里云日志服务专用语法，关于该语法的详细介绍，请参见查询语法。查询语句中使用WAF日志包含的字段作为查询字段，关于支持使用的查询字段，请参见日志字段说明。
      如果您不了解日志查询语法，推荐您使用高级搜索。您只需在语句输入框上方展开高级搜索，设置搜索条件并单击搜索，语句输入框即可自动生成与搜索条件匹配的日志查询语句。高级搜索下表描述了高级搜索支持设置的搜索条件。
      搜索条件说明
      IP发起请求的客户端的IP地址。
      请求IDWAF为客户端请求生成的唯一标识。WAF向客户端返回拦截页面或者滑块验证响应时会提供该ID，用于问题分析与故障排查。
      规则ID请求命中的WAF防护规则的ID。您可以防护规则页面，查询具体规则的规则ID；或者在安全报表页面，通过规则命中纪录或统计数据，获取请求命中的规则ID。更多信息，请参见安全报表。
      服务器响应状态码源站服务器响应WAF回源请求的HTTP状态码。
      WAF返回客户端响应码WAF响应客户端请求的HTTP状态码。
      防护模块请求命中的WAF防护模块的类型。关于WAF防护模块的介绍及不同模块防护规则的配置方法，请参见防护配置概述。
    2. 如果您需要对查询结果进行计算和统计分析，可以在语句输入框（图示①）已输入的查询语句后，输入分析语句；如果您只需要查询满足条件的日志数据，可以跳过该步骤。
      分析语句和查询语句间使用竖线（|）分隔。分析语句采用标准的SQL 92语法，关于分析语句的更多介绍，请参见分析概述。
    3. 通过时间选择器（图示②），设置要查询的日志的创建时间范围。
    4. 单击查询/分析（图示③）。
      查询与分析结果（即命中查询条件的WAF日志数据）将会显示在页面下方，包含日志分布直方图、原始日志、统计图表、日志聚类。您可以基于查询结果进行快速分析、生成统计图表、设置告警等，具体说明，请参见查询与分析结果说明。

查询与分析结果说明

日志服务为您提供日志分布直方图、原始日志和统计图表形式的展示查询分析结果，并支持设置告警、快速查询等操作。
重要 执行查询和分析语句后，默认只返回100条结果，您可以使用LIMIT语句控制返回结果数量。更多信息，请参见LIMIT子句。
  • 日志分布直方图
    日志分布直方图主要展示查询到的日志在时间上的分布。 分布直方图
    • 鼠标指向绿色数据块时，可以查看该数据块代表的时间范围和日志命中次数。
    • 单击绿色数据块，可以查看更细时间粒度的日志分布，同时在原始日志页签中同步展示指定时间范围内的查询结果。
  • 原始日志
    在原始日志页签中展示当前查询结果，您可单击表格或原始查看日志并可执行如下操作。 原始日志
    • 快速分析：用于快速分析某一字段在一段时间内的分布情况。更多信息，请参见快速分析。
      您还可以单击别名图标，选择显示Key或Key的别名，该别名可在创建索引时配置。例如host_name的别名为host，如果你选择显示别名，则在快速分析列表中显示host。
      说明 当某字段没有别名时，您选择显示别名，在快速分析列表中仍显示字段名（Key）。
    • 上下文浏览：在原始页签中，单击目标日志中的查询日志-004图标，查看指定日志在原始文件中的上下文信息。更多信息，请参见上下文查询。
      重要 仅通过Logtail采集到的日志支持上下文浏览功能。
    • LiveTail：在原始页签中，单击目标日志中的LiveTail图标，实时监控日志内容，提取关键日志信息。更多信息，请参见LiveTail。
      重要 仅通过Logtail采集到的日志支持LiveTail功能。
      说明
    • 设置Tag：在原始页签中，单击设置图标下的Tag设置，将次要的字段内容简化展示。Tag
    • 设置列：在表格页签中，单击设置图标下的列设置，设置表格中要展示的日志信息，其中列名称为字段名，内容为字段值。 列设置
    • 设置JSON：在表格或原始页签中，单击设置图标下的JSON设置，设置JSON展开级别。
    • 设置事件：在表格或原始页签中，单击设置图标下的事件配置，为原始日志设置事件。 更多信息，请参见事件配置。
    • 下载日志：在表格或原始页签中，单击下载日志图标下载日志，支持选择下载范围和下载工具。更多信息，请参见下载日志。
  • 统计图表
    执行查询分析语句后，您可以在统计图表页签中查看可视化的查询分析结果。
    • 查看查询分析结果：统计图表是日志服务根据查询与分析语句渲染出的结果。日志服务提供表格、线图、柱状图等多种图表类型。目前，统计图表包括Pro版本和普通版本。更多信息，请参见统计图表（Pro版本）概述、统计图表概述。
    • 添加图表到仪表盘：仪表盘是日志服务提供的实时数据分析大盘。单击添加到仪表盘，将查询分析结果以图表形式保存到仪表盘中。更多信息，请参见可视化概述。
    • 设置交互事件：交互事件是数据分析中不可缺少的功能之一，通过改变数据维度的层次、变换分析的粒度从而获取数据中更详尽的信息。更多信息，请参见交互事件。
  • 日志聚类

    在日志聚类页签中，单击开启日志聚类，可实现在采集日志时将相似度高的日志聚合。更多信息，请参见日志聚类。

  • 告警

    在查询分析页面上，选择另存为告警 > 新版告警，可为查询分析结果设置告警。更多信息，请参见快速设置日志告警。

  • 快速查询

    在查询分析页面上，单击另存为快速查询，将某一查询分析语句保存为快速查询。更多信息，请参见快速查询。