遇到该请求已被网宿云waf拦截时日志的取证与取样方法

1. 事件确认与初步信息收集

步骤：1) 在网宿云WAF控制台查看拦截告警，记录拦截时间、规则ID、事件ID、客户端IP、目标URL、HTTP方法；2) 如有告警截图与控制台导出按钮，立即下载JSON或CSV备份；3) 记录操作人和时间，保持变更日志。

2. 权限与准备工作

小分段：1) 确认你有读取WAF日志、源站日志和网络抓包权限；2) 准备SFTP/安全存储位置和签名工具（sha256sum）；3) 同步服务器时间（ntpdate 或 chrony）。

3. 在网宿云控制台导出日志（GUI）

步骤：1) 登录控制台 -> 安全事件/访问日志 -> 设置时间范围并筛选规则ID或事件ID；2) 按“导出”选择JSON/CSV，保存原始文件并记录文件名与下载时间；3) 对导出文件计算哈希并保存哈希值。

4. 通过API导出WAF日志（示例流程）

小分段：1) 获取API凭证（AK/SK或Token）；2) 调用日志下载接口：使用时间范围、事件ID作为过滤字段；示例命令（替换占位符）：curl -H "Authorization: Bearer " "https://api.example.com/waf/logs?start=YYYY-MM-DDTHH:MM&end=...&event_id=XXX" -o waf_logs.json；3) 对下载文件计算sha256并入证物清单。

5. 获取源站（后端）日志并关联

步骤：1) 在源站Nginx/Apache日志中按时间窗口、目标URL、客户端IP筛选：grep "客户端IP" /var/log/nginx/access.log | awk '$4>=start && $4<=end'；2) 如果应用有请求ID（X-Request-ID），用该ID做精确关联；3) 导出相关行并计算哈希。

6. 网络流量抓取（PCAP）

小分段：1) 在边界或源站上运行tcpdump以捕获原始包：tcpdump -s 0 -w /tmp/capture.pcap host <客户端IP> and port 80 or 443 and 'time-range filter'；2) 若无法实时抓包，请联系网宿云备案申请回放或镜像流量；3) 将PCAP做只读备份并计算sha256。

7. PCAP与日志的提取与过滤

步骤：1) 使用tshark/tcpdump筛选HTTP请求：tshark -r capture.pcap -Y 'http.request' -T json > http_requests.json；2) 用tshark提取特定会话或TCP流：tshark -r capture.pcap -q -z follow,tcp,raw,STREAM_INDEX；3) 保存提取结果并记录过滤规则。

8. 日志取样方法与策略

小分段：1) 时间窗取样：以告警时间为中心±5分钟、±30分钟、±24小时三个窗口；2) 按字段取样：按客户端IP、规则ID、目标URL、UA、Cookie分组取样；3) 按概率取样：如流量大，按1%或5%随机抽样并记录种子说明。

9. 证据保全与链路完整性

步骤：1) 对每份证据（WAF导出、源站日志、PCAP）计算sha256并写入证据清单；2) 将证据复制到受控存储（只读）并记录访问日志；3) 编写操作流水（谁、何时、何操作、工具、命令），以便司法或合规审计。

10. 初步分析步骤

小分段：1) 对比WAF日志和源站日志的时间戳与请求头，确认是否为同一请求；2) 检查请求体（POST/JSON/URL）是否包含触发规则的特征；3) 使用jq/grep/awk整理结构化字段，生成可读事件摘要。

11. 报告编写模板

步骤：1) 包含事件摘要（时间、IP、URL、规则ID、影响范围）；2) 附上证据清单（文件名、哈希、存放位置、提取命令）；3) 给出初步结论与建议（是否误拦、是否需调整WAF规则、是否上报安全团队）。

12. 合规与隐私注意事项

小分段：1) 导出并分享日志时脱敏PⅡ（如身份证号、银行卡号、完整Cookie）；2) 如需对外共享，遵守数据最小化原则并签署保密协议；3) 保存审计轨迹以应对后续法律要求。

13. 问：如果我找不到对应的源站日志，怎么办？

答：首先确认时间同步无误（NTP）；其次扩大时间窗口并按客户端IP/UA模糊搜索；如果源站被代理或负载均衡，查看L7 LB或前置代理的访问日志；必要时联系运维/ISP协调获取镜像或回放。

14. 问：如何证明WAF拦截是误报而非真实攻击？

答：比对WAF日志与源站请求真实内容，检查触发规则的具体正则或特征；若请求行为在业务允许范围内且无异常payload，可记录为误报，并提供证据（请求体、后续响应、用户行为）以建议放行或调整规则。

15. 问：取证后如何长期保存和上报？

答：将证据按公司合规要求保存至只读归档（至少3年或法律要求期），附上哈希与操作流水；对重大事件上报安全运营中心（SOC）与法务，并在必要时向网宿云提出支持请求与日志复核。

文章标签：网宿云 WAF 拦截 日志 取证 取样 tcpdump PCAP 日志导出 分析 更多»