- 微信
- 微博
  
  分享文章到微博
- 复制链接
  
  复制链接到剪贴板

【云小课】应用平台第33课基于华为云WAF（Web应用防火墙）的日志运维分析，为你构筑设备安全的铜墙铁壁

应用万花筒. 发表于 2022/02/24 20:10:51 2022/02/24

【摘要】云日志服务（Log Tank Service，简称LTS），用于收集来自主机和云服务的日志数据，通过海量日志数据的分析与处理，可以将云服务和应用程序的可用性和性能最大化，为您提供实时、高效、安全的日志处理能力，帮助您快速高效地进行实时决策分析、设备运维管理、用户业务趋势分析等。本文主要介绍基于华为云WAF（Web应用防火墙）日志运维分析。

WAF（Web应用防火墙）通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入等攻击，所有请求流量经过WAF时，WAF会记录攻击和访问的日志，可实时决策分析、对设备进行运维管理以及业务趋势分析。

前提条件

购买并使用华为云WAF实例。

限制条件

仅云模式支持全量日志功能。
支持全量日志功能的区域为：华北-北京一、华北-北京四、华东-上海一、华东-上海二、中国-香港、亚太-曼谷、亚太-莫斯科、华北-乌兰察布一、华南-广州。

设置步骤

在WAF添加防护网站。
1. 登录管理控制台。
2. 在控制台左上角单击，选择区域和项目。
3. 在系统首页左上角单击，选择“安全与合规 > Web应用防火墙 WAF”，进入Web应用防火墙管理控制台。
4. 根据添加防护域名添加需要防护的网站，使网站流量切入WAF。
开启全量日志功能，将WAF日志记录到LTS，详细操作请参见开启全量日志。
1. 在Web应用防火墙管理控制台，单击“防护事件”，选择“全量日志”页签。开启全量日志，选择已创建的日志组与日志流。如未创建日志组与日志流，请先创建日志组和创建日志流。
2. 单击“确定”，全量日志配置成功。
图1 配置全量日志
在日志流详情页面，单击左侧导航栏“配置中心”，选择“结构化配置”，进入日志结构化配置页面，选择“JSON”提取方式，根据业务需求选择日志，配置相关参数，具体操作请参见日志结构化。
图2 配置JSON格式日志
在日志流详情页面，单击“可视化”页签，进行SQL查询与分析，如需要多样化呈现查询结果，请参考日志结构化进行配置。
- 统计1周内攻击次数，具体SQL查询分析语句如下所示：
```
select count(*) as attack_times
```
- 统计1天不同攻击类型的分布，具体SQL查询分析语句如下所示：
```
select attack,count(*) as times group by attack
```
  查询结构有五种呈现形式依上而下分别为表格、柱状图、折线图、饼图、数字，如下图为饼图结果。