Este documento descreve os campos proprietários nos logs do WAF.
Índice de campos
A tabela a seguir lista os campos disponíveis nos logs do WAF. Pesquise pelo nome do campo para localizar um campo específico.
Inicial | Campo |
a |
|
b |
|
c |
|
d |
|
f | Campos de decisão final: final_action | final_plugin | final_rule_id | final_rule_type |
h |
|
i | Campos de inteligência de ameaças: intelligence_action | intelligence_rule_id | intelligence_test |
m | Domínio correspondente protegido pelo WAF: matched_host |
n | Campos relacionados a normalização: normalized_action | normalized_rule_id | normalized_rule_type | normalized_test |
q | String de consulta: querystring |
r |
|
s |
|
t | Timestamp da entrada de log: time |
u |
|
w |
|
Campos obrigatórios
Os campos a seguir estão incluídos em todas as entradas de log do WAF.
Parâmetro | Descrição | Exemplo |
acl_rule_type | O tipo da regra correspondente na lista de bloqueios de endereços IP ou na política de proteção personalizada (ACL). Valores válidos:
| custom |
bypass_matched_ids | O ID da regra de permissão correspondente. As regras de permissão incluem regras de lista de permissões e regras de política de proteção personalizada configuradas com a ação "Allow". Se uma solicitação corresponder a várias regras de permissão, este campo conterá uma lista separada por vírgulas de todos os IDs de regras correspondentes. | 283531 |
cc_rule_type | O tipo da regra correspondente no módulo de proteção contra flood HTTP ou em uma política de proteção personalizada (para proteção contra flood HTTP). Valores válidos:
| custom |
content_type | O valor do cabeçalho de solicitação | application/x-www-form-urlencoded |
| A porta de destino da solicitação. | 443 |
final_action | A ação final que o WAF executou na solicitação. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. Este campo é omitido se a solicitação não acionar nenhum módulo de proteção, por exemplo, se a solicitação corresponder a uma regra de permissão ou se o cliente passar por uma verificação de captcha ou JS. Se uma solicitação acionar vários módulos de proteção simultaneamente, apenas a ação final executada será registrada. A prioridade das ações, da maior para a menor, é: bloqueio (block) > CAPTCHA rigoroso (captcha_strict) > CAPTCHA normal (captcha) > verificação de token dinâmico (sigchl) > desafio JavaScript (js). | block |
final_plugin | O módulo de proteção que executou a ação final (
Configure esses módulos de proteção no WAF console, na página . Para obter mais informações sobre esses módulos, consulte Visão geral das configurações de proteção de site. Este campo é omitido se a solicitação não acionar nenhum módulo de proteção, por exemplo, se a solicitação corresponder a uma regra de permissão ou se o cliente passar por uma verificação de captcha ou JS. Se uma solicitação acionar simultaneamente vários módulos de proteção, apenas o módulo de proteção correspondente à ação final (final_action) será registrado. | waf |
final_rule_id | O ID da regra de proteção que o WAF aplica finalmente a uma solicitação do cliente. A regra é aquela que corresponde a final_action. | 115341 |
final_rule_type | O subtipo da regra de proteção (final_rule_id) que o WAF aplica finalmente a uma solicitação do cliente. Por exemplo, sob o tipo | xss/webshell |
host | O valor do cabeçalho de solicitação | api.example.com |
http_cookie | O valor do cabeçalho de solicitação | k1=v1;k2=v2 |
http_referer | O valor do cabeçalho de solicitação Se a solicitação não contiver informações de URL de origem, este campo exibirá | http://example.com |
http_user_agent | O valor do cabeçalho de solicitação | Dalvik/2.1.0 (Linux; U; Android 10; Android SDK built for x86 Build/QSR1.200715.002) |
http_x_forwarded_for | O valor do cabeçalho de solicitação | 47.100.XX.XX |
https | Indica se a solicitação usa HTTPS.
| on |
matched_host | O nome de domínio protegido ao qual a solicitação correspondeu. Nota O WAF suporta nomes de domínio curinga. Por exemplo, se você adicionar | *.aliyun.com |
real_client_ip | O endereço IP real do cliente, conforme determinado pela análise de solicitações do WAF. Se o WAF não conseguir determinar o IP real do cliente (por exemplo, porque a solicitação foi enviada de um servidor proxy ou o campo IP no cabeçalho da solicitação está incorreto), o campo exibirá | 192.0.XX.XX |
request_length | O tamanho da solicitação do cliente, incluindo a linha de solicitação, o cabeçalho da solicitação e o corpo da solicitação. Unidade: byte. | 111111 |
request_method | O método HTTP da solicitação do cliente. | GET |
request_time_msec | O tempo que o WAF leva para processar uma solicitação do cliente. Unidade: milissegundo. | 44 |
request_traceid | Um identificador exclusivo que o WAF gera para a solicitação do cliente. | 7837b11715410386943437009ea1f0 |
request_uri | O caminho da solicitação e a string de consulta. | /news/search.php?id=1 |
server_protocol | O protocolo usado para a conexão entre o cliente e o WAF. | HTTP/1.1 |
status | O código de status HTTP que o WAF retorna ao cliente. Por exemplo, 200 (indica uma solicitação bem-sucedida). | 200 |
src_port | A porta de origem da conexão com o WAF. Se o cliente se conectar diretamente ao WAF, este campo indicará a porta do cliente. Se outro proxy de camada 7 (como uma CDN) estiver implantado na frente do WAF, este campo indicará a porta do proxy upstream. | 80 |
src_ip | O endereço IP de origem da conexão com o WAF. Se o cliente se conectar diretamente ao WAF, este campo indicará o endereço IP do cliente. Se outro proxy de camada 7 (como uma CDN) estiver implantado na frente do WAF, este campo indicará o endereço IP do proxy upstream. | 198.51.XX.XX |
| A hora em que a solicitação do cliente foi iniciada, como um timestamp Unix. Unidade: segundo. | 1696534058 |
time | A hora em que a solicitação do cliente é iniciada. É expressa no padrão ISO 8601 e deve estar em UTC, no formato | 2018-05-02T16:03:59+08:00 |
upstream_addr | O endereço IP e a porta do servidor de origem. O formato é | 198.51.XX.XX:443 |
upstream_response_time | O tempo decorrido desde quando o servidor de origem responde à solicitação do WAF até o WAF encaminhar a resposta ao cliente. Unidade: segundo. | 0,044 |
upstream_status | O código de status HTTP que o servidor de origem retorna em resposta a uma solicitação do WAF para a origem. Por exemplo, 200 indica que a solicitação foi bem-sucedida. | 200 |
Campos opcionais
Campos opcionais são campos que você pode optar por incluir nos logs do WAF. O WAF registra apenas os campos opcionais que você ativou.
Ativar campos opcionais consome mais capacidade de armazenamento. Se você tiver capacidade de armazenamento suficiente, recomendamos ativar mais campos opcionais para uma análise de logs mais abrangente. Para obter mais informações sobre como configurar campos opcionais, consulte Modificar configurações de log.
Parâmetro | Descrição | Exemplo |
acl_action | A ação executada em uma solicitação que corresponde a uma regra de lista de bloqueios de endereços IP ou a uma regra de política de proteção personalizada (lista de controle de acesso (ACL)). Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
acl_rule_id | O ID da regra de lista de bloqueios de endereços IP ou da política de proteção personalizada (lista de controle de acesso (ACL)) correspondente. | 151235 |
acl_test | O modo de proteção da regra de lista de bloqueios de endereços IP ou da política de proteção personalizada (lista de controle de acesso (ACL)) correspondente. Valores válidos:
| false |
algorithm_action | A ação executada em uma solicitação que corresponde a uma regra de comportamento típico de rastreador. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
algorithm_rule_id | O ID da regra de comportamento típico de rastreador correspondente. | 151235 |
algorithm_test | O modo de proteção da regra de comportamento típico de rastreador correspondente. Valores válidos:
| false |
antifraud_action | A ação executada em uma solicitação que corresponde a uma regra de controle de risco de dados. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
antifraud_test | O modo de proteção da regra de controle de risco de dados correspondente. Valores válidos:
| false |
antiscan_action | A ação para a regra de proteção contra varredura correspondida por uma solicitação do cliente. O valor só pode ser block, que bloqueia a solicitação. Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
antiscan_rule_id | O ID da regra de proteção contra varredura correspondente. | 151235 |
antiscan_rule_type | O tipo da regra de proteção contra varredura correspondente. Valores válidos:
| highfreq |
antiscan_test | O modo de proteção da regra de proteção contra varredura correspondente. Valores válidos:
| false |
block_action | Importante Este campo foi descontinuado devido a uma atualização de recurso do WAF e substituído pelo novo campo final_plugin. Se você usar block_action em seus serviços, substitua-o por final_plugin o mais rápido possível. O módulo de proteção do WAF que acionou a ação de bloqueio. Esses valores mapeiam para os valores do campo
| waf |
body_bytes_sent | O tamanho do corpo da resposta, excluindo o cabeçalho da resposta. Unidade: bytes. | 1111 |
cc_action | A ação executada em uma solicitação que corresponde a uma regra de proteção contra flood HTTP ou a uma regra de política de proteção personalizada (para proteção contra flood HTTP). Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
cc_rule_id | O ID da regra de proteção contra flood HTTP ou da política de proteção personalizada (para proteção contra flood HTTP) correspondente. | 151234 |
cc_test | O modo de proteção da regra de proteção contra flood HTTP ou da política de proteção personalizada (para proteção contra flood HTTP) correspondente. Valores válidos:
| false |
deeplearning_action | A ação acionada quando uma solicitação do cliente corresponde a uma regra do mecanismo de deep learning. O único valor é block, que indica que a solicitação é bloqueada. Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
deeplearning_rule_id | O ID da regra do mecanismo de deep learning correspondente. | 151238 |
deeplearning_rule_type | O tipo da regra do mecanismo de deep learning correspondente. Valores válidos:
| xss |
deeplearning_test | O modo de proteção da regra do mecanismo de deep learning correspondente. Valores válidos:
| false |
dlp_action | A ação executada em uma solicitação que corresponde a uma regra de prevenção contra vazamento de dados (DLP). Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | mask |
dlp_rule_id | O ID da regra de prevenção contra vazamento de dados (DLP) correspondente. | 151245 |
dlp_test | O modo de proteção da regra de prevenção contra vazamento de dados (DLP) correspondente. Valores válidos:
| false |
intelligence_action | A ação executada em uma solicitação que corresponde a uma regra de inteligência de ameaças de bots. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
intelligence_rule_id | O ID da regra de inteligência de ameaças de bots correspondente. | 152234 |
intelligence_test | O modo de proteção da regra de inteligência de ameaças de bots correspondente. Valores válidos:
| false |
normalized_action | A ação executada em uma solicitação que corresponde a uma regra de modelo de segurança positivo. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
normalized_rule_id | O ID da regra de modelo de segurança positivo correspondente. | 151266 |
normalized_rule_type | O componente da solicitação que correspondeu a uma regra de modelo de segurança positivo, indicando um desvio da linha de base estabelecida. Valores válidos:
| User-Agent |
normalized_test | O modo de proteção da regra de modelo de segurança positivo correspondente. Valores válidos:
| false |
querystring | A string de consulta da URL da solicitação, que é a parte após o ponto de interrogação (?). | title=tm_content%3Darticle&pid=123 |
region | O ID da região onde a instância do WAF está implantada. Valores válidos:
| cn |
remote_addr | O endereço IP de origem da conexão com o WAF. Se um cliente se conectar diretamente ao WAF, este campo indicará o endereço IP do cliente. Se um proxy de camada 7, como uma instância de Content Delivery Network (CDN), estiver implantado na frente do WAF, este campo indicará o endereço IP do proxy. | 198.51.XX.XX |
remote_port | A porta de origem da conexão com o WAF. Se um cliente se conectar diretamente ao WAF, este campo indicará a porta do cliente. Se um proxy de camada 7, como uma instância de CDN, estiver implantado na frente do WAF, este campo indicará a porta do proxy. | 80 |
request_body | O corpo da solicitação. | i am the request body, encrypted or not! |
request_path | O caminho da URL da solicitação, que é a parte após o nome de domínio e antes do ponto de interrogação (?). | /news/search.php |
scene_action | A ação executada em uma solicitação que corresponde a uma regra de configuração específica de cenário. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
scene_id | O ID do cenário da regra de configuração específica de cenário correspondente. | 151235 |
scene_rule_id | O ID da regra de configuração específica de cenário correspondente. | 153678 |
scene_rule_type | O tipo da regra de configuração específica de cenário correspondente. Valores válidos:
| bot_aialgo |
sigchl_invalid_type | O motivo pelo qual uma solicitação foi sinalizada como anômala durante um desafio de autenticação por token dinâmico. Valores válidos:
| sigchl_invalid_sig |
scene_test | O modo de proteção da regra de configuração específica de cenário correspondente. Valores válidos:
| false |
server_port | A porta do WAF que recebeu a solicitação. | 443 |
ssl_cipher | O conjunto de cifras usado pela solicitação do cliente. | ECDHE-RSA-AES128-GCM-SHA256 |
ssl_protocol | O protocolo SSL/TLS e a versão usados pela solicitação do cliente. | TLSv1.2 |
ua_browser | O nome do navegador que enviou a solicitação. Importante Este campo não é suportado nos logs do WAF desde 15 de dezembro de 2021 (o campo não é registrado nos logs do WAF mesmo se você ativar este campo opcional em Log Settings). Recomendamos que você use o campo http_user_agent (campo obrigatório) para obter informações de User-Agent das solicitações do cliente. | ie9 |
ua_browser_family | A família do navegador que enviou a solicitação. Importante Os logs do WAF não suportam este campo desde 15 de dezembro de 2021. (Mesmo se você ativar este campo opcional em Log Settings, o campo não é registrado nos logs do WAF). Recomendamos que você use o campo http_user_agent (um campo obrigatório) para obter as informações de User-Agent das solicitações do cliente. | internet explorer |
ua_browser_type | O tipo do navegador que enviou a solicitação. Importante Os logs do WAF não suportam este campo desde 15 de dezembro de 2021. Mesmo se você ativar este campo opcional em Log Settings, o campo não é registrado nos logs do WAF. Recomendamos que você use o campo http_user_agent (um campo obrigatório) para obter o User-Agent das solicitações do cliente. | web_browser |
ua_browser_version | A versão do navegador que enviou a solicitação. Importante Este campo não é mais suportado nos logs do WAF desde 15 de dezembro de 2021. Mesmo se você ativar este campo opcional em Log Settings, o campo não é registrado nos logs do WAF. Recomendamos que você use o campo http_user_agent (um campo obrigatório) para obter informações de User-Agent das solicitações do cliente. | 9.0 |
ua_device_type | O tipo de dispositivo do cliente que enviou a solicitação. Importante Os logs do WAF não suportam este campo desde 15 de dezembro de 2021 (mesmo se você ativar este campo opcional em Log Settings, o campo não é registrado nos logs do WAF). Recomendamos que você use o campo http_user_agent (campo obrigatório) para obter informações sobre o User-Agent das solicitações do cliente. | computer |
ua_os | O sistema operacional do cliente que enviou a solicitação. Importante O suporte para este campo nos logs do WAF foi descontinuado em 15 de dezembro de 2021. Mesmo se você ativar este campo opcional em Log Settings, o campo não é registrado nos logs do WAF. Recomendamos que você use o campo http_user_agent (um campo obrigatório) para obter informações de User-Agent das solicitações do cliente. | windows_7 |
ua_os_family | A família do sistema operacional do cliente que enviou a solicitação. Importante Desde 15 de dezembro de 2021, este campo foi descontinuado e não é mais registrado nos logs do WAF, mesmo se você o ativar como um campo opcional em Log Settings. Recomendamos que você obtenha informações de User-Agent para solicitações do cliente a partir do campo http_user_agent, que é um campo obrigatório. | windows |
user_id | O ID da conta Alibaba Cloud que possui a instância do WAF. | 17045741**** |
waf_action | A ação executada quando uma solicitação do cliente corresponde a uma regra no mecanismo de regras de proteção. O valor só pode ser block, que significa bloquear a solicitação. Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
waf_rule_id | O ID da regra do mecanismo de regras de proteção correspondente. | 113406 |
waf_rule_type | O tipo da regra do mecanismo de regras de proteção correspondente. Valores válidos:
| xss |
waf_test | O modo de proteção da regra do mecanismo de regras de proteção correspondente. Valores válidos:
| false |
wxbb_action | A ação executada em uma solicitação que corresponde a uma regra de proteção de aplicativo. Valores válidos:
Para obter mais informações sobre as ações do WAF, consulte Ações do WAF. | block |
wxbb_invalid_wua | O motivo pelo qual uma regra de proteção de aplicativo sinalizou uma solicitação como anômala. Valores válidos:
| wxbb_invalid_sign |
wxbb_rule_id | O ID da regra de proteção de aplicativo correspondente. | 156789 |
wxbb_test | O modo de proteção da regra de proteção de aplicativo correspondente. Valores válidos:
| false |