WAF 日志字段解读是什么
WAF 日志的价值在于能完整回答五个问题：谁（源地址）、从哪里来（请求头与地域）、请求了什么（Host、URL、方法、参数）、命中了什么规则（规则标识与描述）、系统做了什么（放行、告警还是阻断）。字段齐不齐直接决定事后能不能溯源。典型缺陷是缺少请求唯一标识或时间没同步时区，导致同一攻击在多设备日志里串不成一条链路。
基本信息
| 必备字段 | 时间、源 IP、Host、URL、方法、状态码、规则标识、动作 |
|---|---|
| 增强字段 | 请求唯一 ID、User-Agent、命中参数名、上游响应时间 |
| 外发方式 | syslog 推送或 API 拉取到日志平台 |
| 时间要求 | 时间戳带时区，设备与日志平台经 NTP 同步 |
| 留存要求 | 按合规与业务需要设定留存周期，并防篡改 |
典型使用场景
- 攻击溯源：从告警里的源地址与请求路径还原攻击链与影响范围
- 误报处理：按规则标识统计命中量，找出高误报规则并设计例外
- 业务排查：用户反馈访问异常，用日志区分是 WAF 拦截还是应用故障
- 合规审计：抽查指定时间段的访问与拦截记录，验证留存完整性
- 容量与质量分析：统计状态码分布与上游响应时间，发现后端异常
- 多设备关联：用请求唯一 ID 把 CDN、WAF、应用日志串成完整链路
检查清单
检查清单
# 1. 时间戳带时区，并与 NTP 源同步
# 2. 请求唯一 ID 在链路各层保持一致，便于跨设备关联
# 3. 动作字段区分放行、告警、阻断、挑战等状态
# 4. 记录命中参数名，而非只记规则标识
# 5. 源地址字段明确是客户端地址还是前置节点地址
# 6. 日志留存周期满足审计要求，访问权限受控字段读法
| 字段 | 含义 | 常见问题 |
|---|---|---|
| 源 IP | 发起请求的地址 | 经 CDN 后若非真实客户端，溯源会走偏 |
| Host | 请求头中的站点域名 | 多站点共用 WAF 时用于区分站点 |
| URL 与参数 | 被访问的路径与命中参数 | 参数未记录时很难判断误报原因 |
| 规则标识 | 命中的规则编号与描述 | 缺少编号时无法查规则详情 |
| 动作 | 放行、告警、阻断等处置结果 | 与告警状态混用时统计结论失真 |
| 上游响应时间 | 后端处理耗时 | 缺失时无法区分 WAF 慢还是应用慢 |
验证字段是否完整，最省事的做法是构造一条已知请求，然后在日志平台里逐字段核对，比通读产品文档更直接。
日志只外发不做解析归一，统计报表与关联分析都难以生成，外发前先确定字段口径与日志平台的解析规则。