開通Cloud Firewall後，系統將自動記錄流量日誌、事件記錄及控制台動作記錄，並通過可視化的日誌審計頁面進行展示，以輔助攻擊溯源與流量審查。該日誌審計功能免費，支援查詢最近7天的日誌，可滿足即時安全監測與事件處理的需求。
Cloud Firewall日誌審計功能預設支援儲存7天的日誌。若需延長日誌儲存時間長度、滿足等保合規與審計要求，或匯出日誌未經處理資料，請開通Cloud Firewall日誌分析功能。具體操作，請參見日誌分析概述。
審計日誌類型
Cloud Firewall日誌審計功能支援以下日誌類型：
流日志：涵蓋已開啟的各邊界防火牆產生的流量日誌與事件日誌。
流量日誌：記錄通過Cloud Firewall的所有網路流量詳情，包括源/目的IP、源/目的連接埠、傳輸協議及流量大小等。
事件日誌：記錄Cloud Firewall識別的潛在安全威脅或異常流量。日誌按防護模組（如IPS、威脅情報、TLS检查）分類，包含攻擊時間、威脅類型、源/目的IP、應用類型、嚴重等級及處置動作等關鍵資訊，便於安全事件的追蹤與分析。
代理日志：若已配置顯式代理防火牆，將展示通過該防火牆的外访日志與事件日志。
外访日志：記錄通過代理防火牆的網路流量詳情，包括代理執行個體、請求ID、源/目的ID、源/目的連接埠、網域名稱、URL及狀態代碼等資訊。
事件日誌：記錄通過代理防火牆且觸發AI安全护栏與TLS检查策略的潛在安全威脅事件。
動作記錄：記錄使用者在Cloud Firewall控制台的所有操作行為，包括規則配置更改、系統設定調整及其他管理員幹預措施。動作記錄用於審計使用者行為，確保系統變更可追溯。
查詢審計日誌
在左側導覽列，選擇。
根據需查詢的日誌類型，進入對應頁面。
流日志
設定查詢條件和時間範圍後，單擊搜索即可查看日誌。部分關鍵字段說明如下：
欄位
說明
规则模块/规则名/規則ID
流量命中的存取控制策略或攻擊防護規則名稱。若不顯示規則名，表示當前流量未命中任何一條存取控制策略或者攻擊防護規則。
应用协议识别状态
存取控制策略匹配時，流量應用的識別狀態。取值：
識別成功
已被策略攔截
TCP建立失敗
尚未收到載荷
分析中
strict 模式下識別失敗
寬鬆模式下未識別出結果
無狀態：無深度包檢測DPI（deep packet inspection）的狀態
ACL预匹配状态與ACL预匹配策略
當流量經過Cloud Firewall時，系統會按優先順序將流量與存取控制策略進行匹配。若在匹配過程中，Cloud Firewall無法識別流量的應用或網域名稱，則ACL预匹配状态將顯示為對應的未識別狀態，同時ACL预匹配策略將顯示為該存取控制策略的名稱。
ACL预匹配状态取值：
应用未识别：Cloud Firewall無法識別流量的應用。
域名未识别：Cloud Firewall無法識別流量的網域名稱。
正常：Cloud Firewall可以識別流量的應用和網域名稱。
操作
針對虛擬補丁和IPS基礎防禦攔截的事件，可單擊操作列的獲取攻擊樣本，產生7天內的攻擊樣本以查看詳細資料。產生的攻擊樣本保留期為1個月。
代理日志
設定查詢條件和時間範圍後，單擊搜索即可查看日誌。部分關鍵字段說明如下：
欄位
說明
账号 UID/代理实例
顯式代理防火牆執行個體的 ID 及其所屬的阿里雲帳號 UID。
所属Region
顯式代理防火牆執行個體所在的地區。
应用程序名
觸發日誌的應用程式類型（例如 Windows Update）。
安全检测模块
命中策略的類型，包括存取控制、威脅情報或AI安全护栏。
操作
單擊操作列的詳情按鈕，支援查看詳細的请求（Request）與响应 (Response)資訊。
動作記錄
設定查詢條件和時間範圍後，單擊搜索即可查看日誌。部分關鍵字段說明如下：
欄位
說明
严重性
系統判定的事件嚴重程度。若經人工確認屬於正常業務操作，可忽略該警示。
操作帳號
執行操作的使用者帳號，包括主帳號與RAM使用者。
日誌內容
使用者執行的具體操作詳情。