新版控制台教你阿里云waf怎么看日志并导出取证的步骤

1. 概述：为何要在新版控制台查看并导出 WAF 日志

（1）WAF 是域名、主机和应用层的第一道防线，可防 SQL 注入、XSS、爬虫与 HTTP Flood 等攻击。
（2）新版控制台将日志、告警、策略集中，便于与 CDN、DDoS 防护、ECS 联动取证。
（3）取证场景包括法律合规、应急处置、攻击溯源与防护优化。
（4）日志要包含时间戳、客户端 IP、目标域名、请求路径、规则ID 与处置结果等字段。
（5）本文面向运维、安全工程师，演示控制台操作、SLS/OSS 导出与 CLI 自动化脚本。

2. 登录控制台与定位 WAF 实例

（1）登录新版阿里云控制台，进入“安全与日志”->“Web 应用防火墙(WAF)”。
（2）选择实例：例如实例 ID：waf-1234567890abcd，地域：华东 1（杭州）。
（3）定位域名列表：示例域名 site.example.com（已接入 CDN）。
（4）确认防护模式：透传/阻断/观察；取证时建议临时切换为“观察”以完整记录请求。
（5）记录关键信息：PolicyId=policy-98765，绑定的 ECS（4vCPU/8GB）与 CDN 节点列表。

3. 在控制台查看实时拦截与放通日志

（1）进入“日志”或“监控”->“拦截日志/放通日志”界面，选择时间范围（支持精确到秒）。
（2）常用筛选：域名=site.example.com，action=intercept/allow，ruleId=100200（自定义规则）。
（3）注意代理层：如启用了 CDN 或负载均衡，请用 X-Forwarded-For 或真实 IP 列筛选客户端 IP。
（4）通过 IP、URI、User-Agent 聚合查看异常模式（如短时间内大量同一 UA 请求）。
（5）当发现可疑流量，点击单条日志可查看完整请求头、Referer、上下游 IP 与请求体摘要。

4. 将日志导出到 SLS / OSS 做取证（控制台操作）

（1）在 WAF 控制台中，选择“日志导出”->“关联日志服务（SLS）”，创建 Project 与 Logstore：例 project=waf-forensics，logstore=site-example-log。
（2）设置导出规则：时间窗口、是否导出拦截/放行、字段白名单（timestamp, src_ip, domain, uri, action, rule_id, ua）。
（3）如果需要长期保留，设置 SLS 到 OSS 的导出任务，指定 OSS Bucket：oss://waf-evidence/site.example.com/2026-10-22/。
（4）配置权限：SLS 授权 OSS 写入权限或使用 RAM 角色完成跨服务写入。
（5）示例控制台确认后，SLS 会将日志以日期分片导出到 OSS，便于法证取证与下载保存。

5. 使用 CLI 或 API 自动化导出（脚本示例）

（1）可用 aliyun-cli 或 OSS 工具自动拉取 SLS 导出的对象，例如使用 ossutil：ossutil cp oss://waf-evidence/site.example.com/2026-10-22/ ./evidence/ -r
（2）示例命令：ossutil cp oss://waf-evidence/site.example.com/2026-10-22/access-20261022-0001.log ./access.log --endpoint=oss-cn-hangzhou.aliyuncs.com -f
（3）若直接调用 Log Service API，可通过查询接口检索日志并分页下载，示例伪代码：GetLogs(project, logstore, from, to, query)。
（4）建议脚本中记录下载 MD5 与时间戳，保证链路完整性以满足取证要求。
（5）自动化示例：每天 00:05 触发 cron 拉取前一日日志、校验 MD5、上传到离线冷存储。

6. 真实案例：site.example.com 遭遇 HTTP Flood 的取证过程

（1）事件概述：2026-10-22 03:12 开始，site.example.com 短时间内 RPS 峰值达 8200，页面响应延长，CDN 缓存命中率下降。
（2）配置环境：域名绑定 WAF（waf-1234567890abcd）、CDN（cdn-555aaa）、源站 ECS：4vCPU/8GB，带宽 200Mbps。
（3）控制台发现拦截策略触发频次：ruleId=2001（速率限制），拦截条目 56,432 条，拦截率 94.7%。
（4）导出取证：将 03:10-03:30 的拦截日志导出到 OSS 路径 oss://waf-evidence/site.example.com/2026-10-22/attack-0310-0330.log。
（5）后续处理：基于日志 IP 黑名单写入 WAF 自定义规则，并与 CDN 联动在边缘限流，源站负载恢复至正常。

7. 日志字段说明与示例表（便于法务和技术复核）

（1）关键字段：timestamp（UTC）、src_ip、x_forwarded_for、domain、uri、method、status、rule_id、action、ua、upstream_ip。
（2）字段含义说明：rule_id 用于快速定位触发策略，action 取值 intercept/allow/warn。
（3）保留期建议：SLS 原始日志保存 30 天，重要取证日志导出到 OSS 并冷存 7 年（根据合规要求）。
（4）示例表展示（以下为单条日志示例）：

timestamp	src_ip	domain	uri	action	rule_id
2026-10-22T03:14:05Z	203.0.113.45	site.example.com	/login?user=	intercept	2001

（5）取证建议：导出后用 SHA256 校验并记录导出 manifest（包含 file name、size、sha256、时间戳、导出人）。

来源：新版控制台教你阿里云waf怎么看日志并导出取证的步骤