日志分析要回答什么
WAF 日志分析不是把日志翻一遍，而是回答几个固定问题：谁在打（来源）、打哪里（目标 URL）、用什么手法（攻击类型与命中规则）、打成了没有（动作与响应）。按这四个维度做统计排名，就能把噪声和真实威胁分开，并把结论转成封禁、加固、规则调优或业务确认这些具体动作。
基本信息
| 分析维度 | 攻击类型、来源、目标 URL、命中规则的排名 |
|---|---|
| 时间粒度 | 按天看趋势，按小时定位攻击峰值 |
| 输出物 | 封禁建议、加固建议、规则调优建议 |
| 分析频率 | 以周报为主，重大事件即时分析 |
| 闭环要求 | 每条结论对应一个动作与责任人 |
| 数据前提 | 日志完整外发且字段归一，保证统计口径一致 |
典型使用场景
- 周度安全运营通报，说明攻击态势与处置情况
- 持续扫描源的识别与封禁
- 发现某业务功能被集中探测，推动业务侧加固
- 规则命中量异常时区分误报与真实攻击增长
- 为管理决策提供攻击面与防护效果的量化依据
常见洞察
常见洞察
1. 单一来源高频命中，考虑封禁该来源 # 定点处置
2. 多个来源打同一 URL，该功能可能正在被探测 # 攻击面
3. 某规则命中量异常高，先判断误报还是真实攻击 # 规则质量
4. 大量低频请求来自分散来源，可能是慢速爬取 # 模式识别
5. 攻击峰值与业务高峰重合，需评估资源竞争 # 容量分析结论与对应动作
| 观察到的情况 | 建议动作 |
|---|---|
| 固定来源持续扫描 | 封禁该来源并记录处置 |
| 特定接口被集中探测 | 通知业务方加固该接口 |
| 规则误报占比高 | 调优规则或临时改为观察模式 |
| 日志存在缺口 | 先修日志链路，再谈分析结论 |
分析结论要转成动作：封禁、加固、规则调整或由业务确认，没有动作的分析报告不产生安全收益。
把扫描类噪声当重大事件上报会消耗大量研判精力：先按命中频率与是否成功分级，再决定响应级别。