WAF のログの見方
WAF のログの見方
お客様領域の「/log」配下に保存されている WAF のログは以下のフォーマットにて記録されています。
■ログフォーマット
検出状況が1行ずつ記録されます。
以下の各項目がスペースで区切られています。
• 時刻
クライアントから接続された時刻を表します。
※仕様上、エポックタイム(1970/01/01 00:00:00(UTC)) からの秒数をミリ秒単位で表示します。
• 接続時間
クライアントとの接続時間をミリ秒単位で表します。
• クライアントホスト
クライアント（接続元）の IP アドレスです。
• 処理結果
常に TCP_MISS/000 となります。
• ファイルサイズ
転送したファイルのサイズ（単位はバイト）です。
（クライアントからサーバーに送られてくるデータサイズ）
• 要求メソッド
HTTP の要求メソッド(GET, POST 等) を表します。
• URL
接続先の URL を表します。
• ユーザ名
常に "-" となります。
• hierarchy code
"DIRECT/接続先 IPアドレス" を表します。
• Content-Type
送受信するファイルのContent-Typeを表します。
利用できない場合は "-" となります。
・検出情報
DETECT-STAT:[検査結果]:[検出名]::[検出文字列]:[検出文字列(全体)]:
| 検出結果 | WAF(攻撃検出) |
| 検出名 |
攻撃検出名称
- シグネチャ検査:
RULE_SIG/[検出箇所]/[名前]/[シグネチャファイル]/[シグネチャ ID]/[シグネチャ名]
- URLデコードエラー:
RULE_URLDECODE/[検出箇所]/[名前]
- パラメータ数の上限値の制限:
RULE_PARAMS_NUM/[パラメータ数の上限値]
・[検出箇所]は以下のいずれかとなります。
PART_PARAM_NAME|[種別] ⇒ パラメータ変数の名前
PART_PARAM_VALUE|[種別] ⇒ パラメータ変数の値
PART_URL ⇒ URL
PART_PATH ⇒ パス名
PART_METHOD ⇒ メソッド
PART_REQHEAD ⇒ 要求ヘッダ
PART_CLIENT_ADDR ⇒ クライアントアドレス
PART_SERVER_ADDR ⇒ サーバーアドレス
PART_POST_FILENAME ⇒ 送信ファイル名(filenmae 変数で指定される名前)
・[名前]は、パラメータ変数、ヘッダフィールド名を表示します。
・[シグネチャファイル]は、 OFFICIAL/CUSTOMの いずれかで表記されます。
・[種別]は、 PART_GET_PARAM(クエリストリング)、PART_REQBODY (要求本文)、PART_COOKIE (クッキー)のいずれかです。
|
| 検出文字列 | 検出した文字列(シグネチャ検査で検出した場合) |
| 検出文字列（全体） |
検出した箇所の文字列全体(パラメータ、要求ヘッダで検出した場合)
290 バイトまで記録されます。
|
・動作
ACTION:[動作]:
| 動作 |
・MONITOR ⇒ 監視 （ログには残りますが、リクエストは拒否しません）
・BLOCK ⇒ 拒否 （リクエストを拒否し、検出メッセージをクライアントに応答します）
|
・判定情報
JUDGE:[判定]:[監視 URL の設定]:
| 判定 |
MONITOR ⇒ 監視 （ログには残りますが、リクエストは拒否しません）
BLOCK ⇒ 拒否 （リクエストを拒否し、検出メッセージをクライアントに応答します）
|
| 監視URLの設定 | 0 ⇒ 固定となります |
・検索キー
SEARCH-KEY:[検索キー]:
| 検索キー | 時刻(エポックタイム).apacheコネクション ID で表します。 |
更新日：2016年09月07日
