日志分析

开启日志采集和存储功能

1. 登录办公安全平台控制台。

2. 在左侧导航栏，选择日志分析 > SLS日志。

3. 在日志分析页面右上角，单击日志状态，开启日志采集和存储功能。

   SASE支持存储的日志类型

   • 内网访问日志

   • PA敏感文件下载检测日志

   • 企业加速日志

   • 客户端登录日志

   • 客户端状态日志

   • DLP日志

   • OneData日志

   • 上网行为审计日志

   • 动态决策日志

   • 终端加固日志

   • 主动防御日志

   • 病毒查杀日志

   • 漏洞修复日志

查看日志及开启日志投递

1. 单击页面左上角下拉列表。

2. 选择需要查看的日志类型，可按条件筛选查询结果。

3. 单击日志类型右侧的开关按钮，可以设置该日志类型的日志投递启停状态。

   支持的日志类型包括：内网访问日志、PA敏感文件下载检测日志、企业加速日志、客户端登录日志、客户端状态日志、DLP日志、OneData日志、上网行为审计日志。

4. 在页面顶部的查询输入框中输入查询语句，并在输入框右侧的时间选择器中设置查询时间范围。

   查询分析语句由查询语句和分析语句两个部分组成，通过竖线（|）进行分隔，格式：查询语句|分析语句。

   语句类型	是否可选	说明
   查询语句	必选	查询条件，可以为查询关键词、模糊查询、数值、数值范围和组合条件。 如果为空或星号（*），表示针对当前时间段所有数据不设置任何过滤条件，即返回所有数据。更多信息，请参见查询语法与功能。
   分析语句	可选	对查询结果或全量数据进行计算和统计。 如果为空，表示只返回查询结果，不做统计分析。更多信息，请参见查询与分析概述。 说明 分析语句中可以省略SQL标准语法中的from 表格名语句，即from log。 日志数据默认返回前100条，您可以通过LIMIT子句修改返回范围。

   常见日志分析查询语句

   SASE客户端在线状态

   使用以下查询语句之前，您需要为app_stastus字段手动添加索引。具体操作，请参见创建索引。

   • 查询终端设备在线状态数量

     * AND log_type : client_status_log | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   • 查询终端设备离线状态数量

     * AND log_type : client_status_log AND app_status:offline | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   SASE客户端登录

   查询终端设备登录动作

   * AND log_type : client_logon_log | select username,action,COUNT(*) AS cn GROUP BY username,action order by cn desc limit 10000

   内网访问

   • 查询内网访问内网的设备和用户

     * AND log_type : pa_access_log | select username,device_type,COUNT(*) AS cn GROUP BY username,device_type order by cn desc limit 10000

   • 查询访问被拦截原因

     * AND log_type : pa_access_log AND action:block | select username,block_info,COUNT(*) AS cn GROUP BY username,block_info order by cn desc limit 10000

   检测敏感文件

   查询敏感文件匹配的策略次数

   * AND log_type : dlp_log | select username,matched_policy,COUNT(*) AS cn GROUP BY username,matched_policy order by cn desc limit 10000

5. 单击查询/分析，查看分析结果。

   SLS日志功能为您提供日志分布直方图、原始日志等形式的查询分析结果，并支持设置告警、快速查询、刷新、分享等操作。具体信息，请参见查询/分析页面说明。

查看数据报表

OneData日志和上网行为审计日志支持查看数据报表。

1. 在下拉列表中切换到OneData日志或上网行为审计日志，然后单击数据报表页签。

2. 在数据报表页签中分别查看日志相关数据情况。

   • 时间选择：单击列表右上方的时间范围，按照时间范围展示报表数据。

   • 下钻分析：单击报表右上方的，在下钻分析弹窗中查看不同数据源的数据信息。

     在弹窗左上角的数据源类型下拉框中选择Prometheus，设置时间范围，配置指标查询条件（包括Metrics 探索、地域、实例等），然后单击执行查询。右侧可切换可视化类型（表格、线图、柱状图、统计图、饼图、刻度盘、计量图）。

日志字段说明