日志查询

查询与分析日志

1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

2. 在左侧导航栏，选择安全运营 > 日志服务。

3. 在日志服务页面上方，选择要查询日志的防护对象。

   重要

   防护对象必须已经开启日志采集（即状态开关已打开），否则WAF不会采集其日志数据，也不提供查询与分析服务。如果已选择的防护对象还没有开启日志采集，您可以在此处为其打开状态开关，开启日志采集；或者前往日志设置页面，通过采集配置，管理所有防护对象的日志采集状态。相关操作，请参见日志设置与日志容量管理。

   

4. 在日志查询页签，通过查询与分析语句，对WAF日志数据进行查询与分析。

   

   具体步骤如下：

   1. 在语句输入框（图示①），输入查询语句。

      查询语句采用阿里云日志服务专用语法，关于该语法的详细介绍，请参见查询语法。查询语句中使用WAF日志包含的字段作为查询字段，关于支持使用的查询字段，请参见日志字段说明。

      如果您不了解日志查询语法，推荐您使用高级搜索。您只需在语句输入框上方展开高级搜索，设置搜索条件并单击搜索，语句输入框即可自动生成与搜索条件匹配的日志查询语句。下表描述了高级搜索支持设置的搜索条件。

      搜索条件	说明
      IP	发起请求的客户端的IP地址。
      请求ID	WAF为客户端请求生成的唯一标识。WAF向客户端返回拦截页面或者滑块验证响应时会提供该ID，用于问题分析与故障排查。
      规则ID	请求命中的WAF防护规则的ID。您可以防护规则页面，查询具体规则的规则ID；或者在安全报表页面，通过规则命中纪录或统计数据，获取请求命中的规则ID。更多信息，请参见安全报表。
      服务器响应状态码	源站服务器响应WAF回源请求的HTTP状态码。
      WAF返回客户端响应码	WAF响应客户端请求的HTTP状态码。
      防护模块	请求命中的WAF防护模块的类型。关于WAF防护模块的介绍及不同模块防护规则的配置方法，请参见防护配置概述。

   2. 如果您需要对查询结果进行计算和统计分析，可以在语句输入框（图示①）已输入的查询语句后，输入分析语句；如果您只需要查询满足条件的日志数据，可以跳过该步骤。

      分析语句和查询语句间使用竖线（|）分隔。分析语句采用标准的SQL 92语法，关于分析语句的更多介绍，请参见分析概述。

   3. 通过时间选择器（图示②），设置要查询的日志的创建时间范围。

   4. 单击查询/分析（图示③）。

      查询与分析结果（即命中查询条件的WAF日志数据）将会显示在页面下方，包含日志分布直方图、原始日志、统计图表、日志聚类。您可以基于查询结果进行快速分析、生成统计图表、设置告警等，具体说明，请参见查询与分析结果说明。

查询与分析结果说明