Este tópico lista as perguntas frequentes sobre o gerenciamento de logs do WAF 3.0.
Por que alguns logs estão ausentes?
Por padrão, o WAF registra apenas os campos de log obrigatórios. O sistema não registra campos opcionais, a menos que você os ative manualmente. Por exemplo, ao configurar regras personalizadas, consulte Campos de log e selecione os campos acl_action, acl_rule_id, acl_rule_type e acl_test para registrar logs quando essas regras de proteção forem acionadas.
Os campos opcionais consomem mais capacidade de armazenamento.
Por que vejo logs anteriores ao período de retenção configurado?
Você pode visualizar logs mais antigos que o período de retenção definido. Por exemplo, se definir o período de retenção como 90 dias, ainda poderá ver logs de mais de 90 dias atrás. Esse comportamento é esperado. Logs que excedem o período de retenção podem permanecer visíveis por até sete dias durante a janela de exclusão. Esses logs não geram cobrança nem consomem sua capacidade de armazenamento.
Valor de remote_addr para uma instância ALB
O valor do campo remote_addr varia conforme a configuração da instância do Application Load Balancer (ALB).
Configuração da instância ALB | Valor do campo remote_addr | |
A opção Retrieve Client IP Address não está ativada na instância ALB. | Corresponde ao IP de origem do cliente conectado diretamente à instância ALB. Se outro proxy de camada 7, como CDN ou Anti-DDoS, preceder o ALB, este campo conterá o endereço IP do proxy imediatamente anterior ao ALB. | |
A instância ALB tem a opção Retrieve Client IP Address ativada e o endereço IP de origem do cliente consta nos Trusted IP Addresses da instância. | O valor é obtido do cabeçalho X-Forwarded-For. | |
A instância ALB tem a opção Retrieve Client IP Address ativada, mas o endereço IP de origem usado para acessar a instância não consta nos Trusted IP Addresses da instância. | Corresponde ao IP de origem do cliente conectado diretamente à instância ALB. Se outro proxy de camada 7, como CDN ou Anti-DDoS, preceder o ALB, este campo conterá o endereço IP do proxy imediatamente anterior ao ALB. | |