如何开启或关闭WAF日志服务 - Web 应用防火墙

Web应用防火墙（Web Application Firewall，简称WAF）默认不开启日志服务，系统提供的安全报表功能仅记录部分时长的日志。如需获取完整的原始日志以进行深度分析或满足合规审计要求，您需要开启日志服务功能。本文将介绍如何开启与关闭该功能。

开启日志服务

说明

WAF 包年包月基础版实例不支持开启日志服务。如需使用该功能，请选择以下任一方式：

登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择检测响应 > 日志服务。
在对防护对象开启日志区域，从下拉列表中选择日志服务存储地域。该地域即为日志服务 Project 的创建地域。
重要
日志存储地域一经选定即不可更改。如需更换，须先关闭日志服务后再重新开通。请谨慎选择。
单击开启日志服务。功能开通后，WAF不会收取费用，所有日志费用将由日志服务SLS统一收取。

登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择检测响应 > 日志服务。
单击立即升级，前往升配页面。（该步骤仅适用于购买WAF时未开启日志服务的用户，若已购买，请直接前往第五步）
将日志服务设置为开启，选择日志存储容量后完成支付。若无法确定所需容量，可使用默认配置，后续支持升级。
返回WAF日志服务控制台，在对防护对象开启日志区域，从下拉列表中选择日志服务存储地域。该地域即为日志服务 Project 的创建地域。
重要
日志存储地域一经选定即不可更改。如需更换，须先退订并释放当前 WAF 实例后再重新购买。请谨慎选择。
单击开启日志服务。

开启日志投递：开启日志服务后，必须为WAF防护对象开启日志投递功能，才能进行日志数据的查询与分析。
- 单个开启：在日志服务页面左上角，选择目标防护对象，开启日志投递状态。
- 批量开启：通过右上角日志设置，批量开启SLS投递功能。具体操作请参见设置投递字段与投递状态。
日志查询与分析：支持对防护对象的日志数据进行查询与分析，并可基于分析结果生成统计图表或创建告警。具体操作请参见日志查询。

说明

开启日志服务后，系统将自动创建WAF专属的日志项目（Project）和日志库（Logstore）。

重要

请勿手动删除系统自动创建的日志项目、日志库，否则将导致日志数据被清除。

资源类型

说明

日志项目（Project）

日志服务会自动为WAF创建专属日志项目，命名规则如下：

可以在日志服务控制台的首页查询该专属日志项目，单击项目名称即可进入。更多日志项目相关信息，请参见管理Project。

日志库（Logstore）

WAF日志项目下默认创建一个日志库，所有WAF日志均存储于此。日志库的命名规则如下：

该日志库仅支持存储WAF日志，不支持通过API、SDK等方式写入其他类型数据；在查询、统计、告警及流式消费等功能上无特殊限制。

重要

日志库的正常运行依赖于阿里云账号下日志服务产品的正常使用状态。若日志服务欠费，WAF日志投递功能将暂停；补缴欠款后，该功能将自动恢复。

更多日志库相关信息，请参见管理LogStore。

警告

关闭日志服务将清除系统自动创建的WAF专属日志项目（Project）及其中的全部日志数据，后续无法再进行日志查询。请确认不再使用日志服务后，再执行此操作。

包年包月实例的日志服务不支持直接关闭，仅可在WAF实例到期释放或退订时随实例自动关闭。

如需降低日志服务费用，可采取以下方式：

重要

降低日志存储容量规格后，若容量达到上限，新日志数据将无法写入，可能导致日志数据不完整。

若开启WAF日志服务后无日志数据，请按以下顺序排查：

检查防护对象级别的日志投递开关：开启日志服务仅为全局开关，还需在日志服务页面左上角选择目标防护对象，单独开启该防护对象的日志投递开关。仅开启全局日志服务不会自动投递日志。
确认是否有流量经过WAF：日志仅在防护对象产生流量时才会生成。
等待约10分钟：开启日志投递后，日志数据存在约10分钟的延迟，需稍作等待后方可查看。

可以通过以下方式查询和获取WAF日志：

控制台查询与下载：前往WAF控制台进行日志查询，支持通过图标下载。具体步骤请参见日志查询。
API方式获取：WAF产品本身不直接提供日志查询或下载的OpenAPI接口。日志数据默认投递至阿里云日志服务（SLS），请使用日志服务的OpenAPI（如GetLogs），结合Project和Logstore信息进行查询与获取。具体信息，请参见查询日志库日志。