Secure Access Service Edge：日誌分析

開啟日誌採集和儲存功能

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇日誌分析 > SLS日誌。

3. 在日誌分析頁面右上方，單擊日誌狀態，開啟日誌採集和儲存功能。

   SASE支援儲存的日誌類型

   • 內網訪問日誌

   • PA敏感檔案下載檢測日誌

   • 企業加速日誌

   • 用戶端登入日誌

   • 用戶端狀態日誌

   • DLP日誌

   • OneData日誌

   • 上網行為審計日誌

   • 動態決策日誌

   • 終端加固日誌

   • 主動防禦日誌

   • 病毒查殺日誌

   • 漏洞修複日誌

查看日誌及開啟日誌投遞

1. 單擊頁面左上方下拉式清單。

2. 選擇需要查看的日誌類型，可按條件式篩選查詢結果。

3. 單擊日誌類型右側的開關按鈕，可以設定該日誌類型的日誌投遞啟停狀態。

   支援的日誌類型包括：內網訪問日誌、PA敏感檔案下載檢測日誌、企業加速日誌、用戶端登入日誌、用戶端狀態日誌、DLP日誌、OneData日誌、上網行為審計日誌。

4. 在頁面頂部的查詢輸入框中輸入查詢語句，並在輸入框右側的時間選取器中設定查詢時間範圍。

   查詢分析語句由查詢語句和分析語句兩個部分組成，通過豎線（|）進行分隔，格式：查詢語句|分析語句。

   語句類型	是否可選	說明
   查詢語句	必選	查詢條件，可以為查詢關鍵詞、模糊查詢、數值、數值範圍和組合條件。 如果為空白或星號（*），表示針對目前時間段所有資料不設定任何過濾條件，即返回所有資料。更多資訊，請參見查詢文法與功能。
   分析語句	可選	對查詢結果或全量資料進行計算和統計。 如果為空白，表示只返回查詢結果，不做統計分析。更多資訊，請參見查詢與分析概述。 說明 分析語句中可以省略SQL標準文法中的from 表格名語句，即from log。 日誌資料預設返回前100條，您可以通過LIMIT子句修改返回範圍。

   常見日誌分析查詢語句

   SASE用戶端線上狀態

   使用以下查詢語句之前，您需要為app_stastus欄位手動添加索引。具體操作，請參見建立索引。

   • 查詢終端裝置線上狀態數量

     * AND log_type : client_status_log | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   • 查詢終端裝置離線狀態數量

     * AND log_type : client_status_log AND app_status:offline | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   SASE用戶端登入

   查詢終端裝置登入動作

   * AND log_type : client_logon_log | select username,action,COUNT(*) AS cn GROUP BY username,action order by cn desc limit 10000

   內網訪問

   • 查詢內網訪問內網的裝置和使用者

     * AND log_type : pa_access_log | select username,device_type,COUNT(*) AS cn GROUP BY username,device_type order by cn desc limit 10000

   • 查詢訪問被攔截原因

     * AND log_type : pa_access_log AND action:block | select username,block_info,COUNT(*) AS cn GROUP BY username,block_info order by cn desc limit 10000

   檢測敏感檔案

   查詢敏感檔案匹配的策略次數

   * AND log_type : dlp_log | select username,matched_policy,COUNT(*) AS cn GROUP BY username,matched_policy order by cn desc limit 10000

5. 單擊查詢/分析，查看分析結果。

   SLS日誌功能為您提供日誌分布長條圖、原始日誌等形式的查詢分析結果，並支援設定警示、快速查詢、重新整理、分享等操作。具體資訊，請參見查詢/分析頁面說明。

查看資料報表

OneData日誌和上網行為審計日誌支援查看数据报表。

1. 在下拉式清單中切換到OneData日誌或上網行為審計日誌，然後單擊数据报表頁簽。

2. 在数据报表頁簽中分別查看日誌相關資料情況。

   • 時間選擇：單擊列表右上方的時間範圍，按照時間範圍展示報表資料。

   • 下鑽分析：單擊報表右上方的，在下鑽分析彈窗中查看不同資料來源的資料資訊。

     在彈窗左上方的資料來源類型下拉框中選擇Prometheus，設定時間範圍，配置指標查詢條件（包括Metrics 探索、地區、執行個體等），然後單擊執行查詢。右側可切換可視化類型（表格、線圖、柱狀圖、統計圖、餅圖、刻度盤、計量圖）。

日誌欄位說明