Web Application Firewall (WAF) のログサービスでは、2 段階のフィールド設定がサポートされています。1 つ目は、すべての保護対象にグローバルに適用されるデフォルトのフィールド設定、もう 1 つは特定の保護対象に対してデフォルト設定をオーバーライドする個別配信設定です。すべての保護対象で一貫したベースラインを確保したい場合は、デフォルトのフィールド設定をご利用ください。一方、個別の保護対象ごとに異なるログフィールドや配信先を指定する必要がある場合は、個別配信設定をご利用ください。
前提条件
開始する前に、以下の条件を満たしていることを確認してください。
ご利用の Web Application Firewall (WAF) インスタンスでログサービスが有効化されていること
（外部配信の場合）ハイブリッドクラウドモードで少なくとも 1 つの保護対象が登録された WAF 3.0 Enterprise または Ultimate サブスクリプションであること
デフォルトのフィールド設定
デフォルトのフィールド設定では、すべての保護対象に対して収集されるログフィールドおよびログタイプを定義します。個別配信設定が未設定の保護対象は、この設定を継承します。
デフォルトのフィールド設定を開くには、検知と対応 > Log Service に移動し、右上隅の ログ設定 をクリックして、デフォルトのフィールド設定 タブを選択します。
| パラメーター | 説明 |
|---|---|
| 必須フィールド | WAF ログに常に含まれます。編集できません。詳細については、「必須ログフィールド」をご参照ください。 |
| 任意フィールド | 有効化した場合のみ含まれます。任意フィールドを多く有効化すると、ログストレージ使用量が増加します。詳細については、「任意ログフィールド」をご参照ください。 |
| ログタイプ | 収集するログタイプを 1 つ以上選択します。各選択したログタイプについて、1 % ～ 100 % のサンプリング比率を設定します。この比率は、一致するリクエストのうち記録対象となる割合を制御します。 |
サポートされるログタイプは以下の 3 種類です。
ブロックログ：セキュリティポリシーによりオリジンサーバーに到達する前にブロックされたリクエストを記録します。ブロック、JS 検証、スライダー検証、動的トークン保護によるブロックが該当します。
検知ログ：観測ルールをトリガーしたリクエストのみを記録します。
通常リクエストログ：通常のリクエストのみを記録します。JS 検証、スライダー検証、動的トークン検証を通過したリクエストも、通常リクエストログとして記録されます。
包括的な監査および詳細な分析を行う場合は、すべてのログストレージオプションを選択して全量ログを記録することを推奨します。
設定を完了したら、保存 をクリックします。操作が成功しました のメッセージが表示されると、設定がすべての保護対象にグローバルに適用されたことを確認できます。
配信設定
配信設定では、特定の保護対象に対してログフィールドおよび配信先を個別に設定できます。設定が適用されると、その保護対象についてはデフォルトのフィールド設定よりも優先されます。
WAF では、以下の 2 種類の配信先がサポートされています。
Simple Log Service (SLS)：すべての保護対象で利用可能
外部配信（Kafka または SYSLOG）：WAF 3.0 Enterprise または Ultimate のハイブリッドクラウドモードで登録された保護対象のみ利用可能
SLS 配信の有効化または無効化
WAF 3.0 コンソール にログインします。画面上部のメニューバーから、ご利用の WAF インスタンスのリソースグループおよびリージョン（中国本土 または 中国本土以外）を選択します。
検知と対応 > Log Service に移動します。
右上隅の ログ設定 をクリックし、配信設定 タブを選択します。
Simple Log Service への配信ステータス 列で、対象の保護対象のスイッチをクリックします。スイッチがオン（
）になっている場合、配信が有効化されています。
複数の保護対象に対して一度に配信を有効化または無効化するには、対象の保護対象を選択し、Simple Log Service への配信を有効化 または Simple Log Service への配信を無効化 をクリックします。
SLS 配信フィールドの設定
配信設定 タブで、対象の保護対象の Simple Log Service への配信フィールド 列から フィールド設定 をクリックします。任意フィールドを設定した後、OK をクリックします。操作が成功しました。 のメッセージが表示されると、設定がその保護対象に適用されたことを確認できます。
外部配信の設定
外部配信は、ハイブリッドクラウドモードで登録された保護対象のみでサポートされます。
保護対象に対して外部配信を有効化する前に、外部配信構成を追加してください。
配信設定 タブで、配信構成 をクリックして構成パネルを開きます。
既存の構成で要件を満たさない場合は、外部配信の構成 をクリックし、構成タイプ（SYSLOG または KAFKA）を選択します。
以下の表のパラメーターを使用して構成を完了します。
SYSLOG 構成
| パラメーター | 説明 |
|---|---|
| 構成タイプ | SYSLOG を選択します。 |
| 構成名 | この構成の名前を入力します。 |
| サーバー IP/ポート | WAF ログを受信するサーバーのパブリック IPv4 アドレスおよびポートを入力します。 |
| RFC | ログ管理システムで使用する RFC 定義を選択します：RFC 3164 または RFC 5424。 |
| プロトコル | TCP または UDP を選択します。TCP は、再送機能を備えた信頼性の高い配信を必要とする集中型ログシステムに適しています。UDP は、配信保証よりも速度を重視する大量かつ優先度の低いログデータに適しています。 |
Kafka 構成
| パラメーター | 説明 |
|---|---|
| 構成タイプ | KAFKA を選択します。 |
| 構成名 | この構成の名前を入力します。 |
| TOPIC ID/名前 | 送信先 Kafka トピックの名前を入力します。 |
| ドメイン | ご利用の Kafka インスタンスのクラスターエンドポイントを入力します。エンドポイントには、ドメイン名とポート、または IP アドレスとポートを指定できます。複数のエンドポイントを指定する場合は、カンマで区切ります。例：kafka.aliyuncs.com:9093,127.0.0.1:9093,kafka2.aliyuncs.com:9093 |
| アクセスプロトコル | ご利用の Kafka クラスターのセキュリティプロトコルを選択します：PLAINTEXT、SASL_PLAINTEXT、または SASL_SSL。 |
| SASL ユーザー名 | SASL_PLAINTEXT および SASL_SSL の場合に必須です。ご利用の Kafka クラスターのユーザー名を入力します。 |
| SASL パスワード | SASL_PLAINTEXT および SASL_SSL の場合に必須です。ご利用の Kafka クラスターのパスワードを入力します。 |
| 圧縮タイプ | 圧縮タイプを選択します：gzip、zstd、lz4、snappy、または none。 |
| カスタム CA | SASL_SSL の場合に必須です。CA 証明書の内容を入力します。証明書は -----BEGIN CERTIFICATE----- で始まり、-----END CERTIFICATE----- で終わる必要があります。 |
外部配信の有効化または無効化
外部配信構成を追加した後、配信設定 タブで対象の保護対象を見つけ、外部配信ステータス 列のスイッチをクリックします。表示されるダイアログボックスで、配信構成を選択します。スイッチがオン（）になっている場合、外部配信が有効化されています。
複数の保護対象に対して一度に外部配信を有効化または無効化するには、対象の保護対象を選択し、リスト下部の 一括管理 バーから 外部配信を有効化 または 外部配信を無効化 をクリックします。
外部配信フィールドの設定
外部配信は、ハイブリッドクラウドモードで登録された保護対象のみでサポートされます。
配信設定 タブで、対象の保護対象の 外部配信フィールド 列から フィールド設定 をクリックします。任意フィールドおよびストレージタイプを設定した後、OK をクリックします。操作が成功しました。 のメッセージが表示されると、設定がその保護対象に適用されたことを確認できます。
次のステップ
ログのフィールド: 必須および任意のログフィールドの全リストと、その説明を確認できます。