Les rapports de sécurité de Web Application Firewall (WAF) ne conservent les journaux que pendant une période limitée. Pour obtenir l'intégralité des journaux bruts afin d'analyser en profondeur ou pour répondre aux exigences de conformité et d'audit, activez le service de journalisation. Cette rubrique explique comment activer et désactiver ce service.
Activer le service de journalisation
Le service de journalisation n'est pas disponible pour les instances WAF sous abonnement de l'édition Basic. Pour utiliser ce service, procédez comme suit :
Mettez à niveau votre instance actuelle.
Résiliez l'instance sous abonnement actuelle et achetez une instance en paiement à l'utilisation.
Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.
Dans le volet de navigation de gauche, choisissez .
Cliquez sur Upgrade Now pour ouvrir la page de mise à niveau. (Cette étape s'applique uniquement si vous n'avez pas activé le service de journalisation lors de l'achat de WAF. Si le service est déjà activé, passez directement à l'étape 5.)
Définissez Log Service sur Enabled, sélectionnez une capacité de stockage des journaux et réglez le paiement. Si vous ne connaissez pas la capacité requise, utilisez la configuration par défaut et mettez-la à niveau ultérieurement.
-
Dans la zone Enable Logging for Protected Objects, sélectionnez une région de stockage des journaux. Cette région détermine l'emplacement de création du projet du service de journalisation.
ImportantLa région de stockage des journaux ne peut pas être modifiée après sa sélection. Pour changer de région, vous devez d'abord désactiver puis réactiver le service de journalisation. Choisissez cette région avec soin.
Cliquez sur Enable Log Service.
Étapes suivantes
-
Activer la livraison des journaux : Après avoir activé le service de journalisation, vous devez également activer la livraison des journaux pour vos objets protégés WAF afin d'interroger et d'analyser leurs données de journalisation.
Activation individuelle : Dans le coin supérieur gauche de la page Log Service, sélectionnez un objet protégé et activez sa livraison de journaux.
Activation groupée : Dans le coin supérieur droit, cliquez sur Log Configuration pour activer la livraison SLS en masse. Pour plus d'informations, consultez la section Configurer les champs de journal et l'état de livraison.
Interroger et analyser les journaux : Interrogez et analysez les données de journalisation de vos objets protégés, puis générez des graphiques ou créez des alertes basées sur les résultats de l'analyse. Pour plus d'informations, consultez la section Interroger les journaux.
Délai de journalisation : Après avoir activé la livraison des journaux pour un objet protégé et commencé à recevoir du trafic, les journaux apparaissent dans SLS avec un délai d'environ 10 minutes. Nous vous recommandons d'envoyer une requête de test et d'attendre quelques minutes avant de vérifier la présence de données sur la page d'interrogation des journaux.
Limitation des journaux historiques : Le service de journalisation WAF enregistre les journaux uniquement à partir du moment de son activation. Les journaux historiques générés avant cette date ne peuvent pas être récupérés.
Suppression des données de journalisation : Si vous résiliez une instance WAF sous abonnement, ou si vous désactivez et libérez une instance WAF en paiement à l'utilisation, les journaux associés sont définitivement supprimés et ne peuvent plus être interrogés.
Projets et Logstores
Après avoir activé le service de journalisation, le système crée automatiquement un projet et un Logstore dédiés à WAF.
Ne supprimez pas manuellement le projet ou le Logstore créé automatiquement par le système. Sinon, vos données de journalisation seront définitivement perdues.
Type de ressource | Description |
Projet | Alibaba Cloud Log Service crée automatiquement un projet dédié à WAF selon la convention de nommage suivante :
À partir du 14 août 2026 à 00:00:00 (UTC+8), WAF déploiera progressivement par lots une mise à niveau de la fonctionnalité de journalisation pour les instances en paiement à l'utilisation ayant activé le service de journalisation. Lors de cette mise à niveau, le système crée un nouveau Logstore et met en œuvre un mécanisme de double écriture, garantissant que les données de journalisation sont écrites simultanément dans les anciens et les nouveaux Logstores. Pour plus d'informations, consultez la section Avis sur la mise à niveau de la protection Web Core, de la gestion des bots et du service de journalisation pour Web Application Firewall. Vous pouvez trouver ce projet dédié sur la page d'accueil de la console Alibaba Cloud Log Service. Cliquez sur le nom du projet pour l'ouvrir. Pour plus d'informations sur les projets, consultez la section Gérer les projets. |
Logstore | Par défaut, un Logstore est créé dans le projet WAF pour stocker tous les journaux WAF. La convention de nommage du Logstore est la suivante :
Ce Logstore ne peut stocker que des journaux WAF. Vous ne pouvez pas y écrire d'autres types de données via une API, un SDK ou d'autres méthodes. Aucune restriction particulière ne s'applique aux fonctionnalités telles que les requêtes, l'analyse statistique, les alertes et la consommation en continu. Important La fonctionnalité du Logstore dépend de l'état d'Alibaba Cloud Log Service dans votre compte. Si votre compte présente des impayés pour Alibaba Cloud Log Service, la livraison des journaux WAF est suspendue. Le service reprend automatiquement après le règlement des impayés. Pour plus d'informations sur les Logstores, consultez la section Gérer les Logstores. |
Désactiver le service de journalisation
Paiement à l'utilisation
La désactivation du service de journalisation entraîne la suppression définitive du projet WAF dédié et de toutes ses données de journalisation. Avant de procéder, assurez-vous de ne plus avoir besoin de ces données.
Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.
Dans le volet de navigation de gauche, choisissez .
Sur la page Log Service, cliquez sur Disable dans le coin supérieur droit. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.
Abonnement
Pour les instances sous abonnement, le service de journalisation ne peut pas être désactivé directement. Il est désactivé automatiquement uniquement si l'instance WAF expire et est libérée, ou lorsque vous résiliez l'instance.
Pour réduire les frais liés au service de journalisation, utilisez les méthodes suivantes :
Réduire la capacité de stockage des journaux : Pour plus d'informations, consultez la section Mettre à niveau ou rétrograder une instance.
Résilier l'instance et la racheter : Pour plus d'informations, consultez la section Résilier WAF.
Si vous réduisez la capacité de stockage des journaux, les nouveaux journaux ne peuvent pas être écrits une fois la limite de stockage atteinte, ce qui entraîne une perte de données.
FAQ
Aucune donnée de journal n'apparaît
Si aucune donnée de journal n'est générée après avoir activé le service de journalisation WAF, vérifiez les points suivants dans l'ordre :
Vérifiez l'interrupteur de livraison des journaux pour l'objet protégé : L'activation du service de journalisation est un paramètre global. Cependant, vous devez également activer la livraison des journaux pour chaque objet protégé individuellement. L'activation du service global seul ne suffit pas pour démarrer la livraison des journaux.
Confirmez que le trafic passe par WAF : Les journaux sont générés uniquement lorsque l'objet protégé reçoit du trafic.
Prévoyez un délai de 10 minutes : Après avoir activé la livraison des journaux, il y a un délai d'environ 10 minutes avant que les données de journalisation ne soient disponibles.
-
Vérifiez la configuration du type de stockage des journaux : WAF prend en charge trois types de stockage des journaux. Si une requête ne correspond pas à un type de stockage configuré, aucune donnée de journal n'est générée. Dans Log Configuration > Default Field Settings > Log Type, vérifiez votre configuration.
Block Logs : Enregistre les requêtes bloquées par des politiques de sécurité telles que Block, JS Challenge, Slider Challenge ou la vérification de jeton dynamique qui n'atteignent pas le serveur d'origine.
Detection Logs : Enregistre uniquement les requêtes qui déclenchent des règles de surveillance.
Normal Request Logs : Enregistre uniquement les requêtes normales. Les requêtes qui passent la vérification JS, la vérification par curseur ou la vérification de jeton dynamique sont également enregistrées dans les journaux de requêtes normales.
Obtenir et interroger les journaux WAF
Vous pouvez interroger et obtenir les journaux WAF de plusieurs façons :
Interroger et télécharger dans la console : Accédez à la console WAF pour interroger les journaux. Vous pouvez télécharger les journaux en cliquant sur l'icône
. Pour plus d'informations, consultez la section Interroger les journaux.Obtenir les journaux via des API : WAF ne propose pas d'OpenAPI directe pour interroger ou télécharger les journaux. Étant donné que les données de journalisation sont livrées à Alibaba Cloud Log Service (SLS), vous devez utiliser les opérations OpenAPI SLS, telles que
GetLogs, ainsi que les informations sur le projet et le Logstore pour récupérer les journaux. Pour plus d'informations, consultez la section Interroger les journaux dans un Logstore.