统一云防御平台如何下载完整日志

一、背景

知道创宇统一云防御平台提供日志下载功能，支持 访问日志、攻击日志、CC日志三大类型。对日请求数大于1亿的网站，云防御平台会根据网站日志量级分级对网站进行包括自助下载暂停、日志存留字段精简等处理。

二、功能入口

登录知道创宇统一云防御平台（https://ucdp.365cyd.com/）， 日志中心-日志下载

https://wdcdn.qpic.cn/MTY4ODg1MzIxNjI0ODY1Nw_938923_bNFuvIQNB-MgAsyo_1780974076?w=1918&h=618

针对访问日志、攻击日志、CC日志列表内默认展示近7天的日志信息，点击操作列的 “下载”按钮，获取下载链接。如果您的网站在云防御平台正常开通防护套餐，但域名没有按要求实际接入进来，或网站没有任何访问及攻击，则不会生成日志。

您下载的文件为gzip压缩文件，请使用压缩类软件（如winrar、7z等）解压后，再查看。同时知道创宇为客户提供日志下载API，如有需要，请联系您的客户经理。

日志样例：

访问日志：- 20访问日志：- 2025-01-01<SP>00:00:10 0.002 NONE – 106.**.***.** 106.**.***.** – help.yunaq.com /limit_rate.html GET http://www.so.com/link?m=x&link?url=x&?from=x&?src=x&jump?u=x&?uID=x hit – 200 637 – Mozilla/5.0<SP>(Windows<SP>NT<SP>6.2;<SP>rv:30.0)<SP>Gecko/20150101<SP>Firefox/32.0<SP>360Spider<SP>360Spider – -<||>443<||>-<||>https – – – 48926 – –

攻击日志：- 2025-01-01<SP>00:03:12 0.000 SCANNER BAN 117.**.*.** 117.**.*.** – help.yunaq.com /black_whitelist.html GET – error – 403 7662 – python-requests/2.28.1 – -<||>443<||>-<||>https – – 80001 2195 – –

CC日志：2025-01-01T09:14:52 119.*.***.*** secopenapi.yunaq.com /api/v1/open/customer/tag/mg Y

三、日志格式说明

1、访问日志、攻击日志格式义说明

日志预留字段：

  • 导出的日志中，“-”为日志预留字段，不代表任何含意。
  • 日志中的〈SP〉代表空格。
  • <||> 代表复用分割符。

其它日志字段：

  • 请求时间
  • 请求耗时（单位为秒）
  • 攻击类型 / 防护类型（在攻击日志中表示攻击类型，在访问日志中表示防护类型，类型标识符含义见附录1：攻击类型和防护类型）
  • 拦截类型（类型标识符含义见附录2：拦截类型）
  • 客户端IP
  • 代理IP（格式为客户端IP，代理IP1，代理IP2…，如未使用代理，则只有客户端IP）
  • 域名
  • URL
  • 请求方法（GET、POST、HEAD等）
  • Referer
  • 缓存命中状态（hit为命中，bypass为不缓存，miss为未命中，error为错误[404等]）
  • 状态码
  • 页面大小
  • User-Agent
  • 端口+协议类型
  • 规则ID
  • 客户端源端口

2、CC攻击日志格式说明

  • 告警时间（如2017-07-19T10:57:09）
  • 攻击IP
  • 被攻击域名（如www.xxx.com）
  • 被攻击路径（如“/index.php”，”…”表示有多个URL同时被攻击，一般个数较多，用…代表。）
  • 拦截状态（Y表示拦截，N表示未拦截（观察模式），L1表示基础引擎限速，L2表示超单IP访问频次阈值限速，L3表示超单IP流量阈值限速。）

四、注意事项

①前台支持客户选择按天下载日志或按小时下载日志，分别生成不同的链接；

②【按天下载】支持生成近7天数据，最新日志为前1日（向上取整），每天日志展示单独下载链接； ③【按小时下载】支持下载近24小时数据，最新日志为2小时前（向上取整），每小时日志展示单独下载链接； ④当前不支持实时日志下载，已生成的日志链接可保留7天，超过7天后会被清除，请及时下载；

⑤根据《中华人民共和国网络安全法》规定，知道创宇对所有服务的客户网站日志均会存储6个月以上，若想下载7天前的日志续联系知道创宇商务经理。

附录1：攻击类型和防护类型

攻击类型：

  1. SQL注入（SQLI） #注入漏洞攻击
  2. webshell（WEBSHELL） #网站后门攻击
  3. XSS跨站（XSS） #跨站脚本攻击
  4. 敏感文件访问（FILEI） #敏感文件或目录访问攻击，例如日志文件访问
  5. 代码执行（CODE） #任意代码执行漏洞
  6. 恶意扫描（SCANNER） #恶意扫描，一般是非浏览器访问的机器访问
  7. 特殊攻击（SPECIAL） #这是针对特定漏洞所标记的(如利用Discuz!的某个漏洞攻击)，没有具体指某种类型攻击
  8. 恶意采集（COLLECTOR） #恶意采集，黑客通过程序大批量采集抓取网页数据。
  9. 远程命令（OS_COMMAND） #任意命令执行漏洞
  10. 文件包含（LRFI） #文件包含（包括本地文件包含和远程文件包含）
  11. 基础CC攻击（BASIC_CC） #针对使用常见CC攻击工具发起的攻击请求
  12. 其它攻击（OTHER） #其他攻击
  13. 协同防御拦截（GLOBAL_DEFENSE） #协同防御，某个攻击请求被某个节点拦截后，相应的其他节点也拦截这个IP
  14. URL限速（LIMIT_RATE） #限制IP访问频率而被拦截的请求
  15. UA黑名单（UA_BLACK） # User-Agent 黑名单拦截
  16. 后台锁（DIR_LOCK） #非后台锁配置范围内的访问拦截，比如非法IP访问后台链接
  17. 网址黑名单（URL_BLACK） #网址黑名单拦截
  18. IP黑名单（IP_BLACK） # IP黑名单拦截
  19. 区域访问控制（AREA_LOCK） #区域访问控制拦截
  20. App防CC拦截（APP_CC） # App防CC拦截
  21. 精准访问控制（PAC） #精准访问控制拦截
  22. IP访问区域限制（CC_IP_AREA） #IP访问区域限制
  23. IP访问行为限制（ip_pv_ban） #IP访问行为限制
  24. 高级扫描防护（STATUS_CODE） #高级扫描防护拦截
  25. 动态阻断拦截（WAF_BLOCK） #之前存在web攻击，后续会依据配置一定时期内动态拦截其后续请求
  26. 政府组织类（GD_GOV_IP） #针对经常攻击政府网站的恶意IP地址进行的拦截
  27. 金融理财类（GD_FINANCE_IP） #针对经常攻击金融理财网站的恶意IP地址进行的拦截
  28. 教育文化类（GD_EDU_IP） #针对经常攻击教育文化网站的恶意IP地址进行的拦截
  29. 新闻媒体类（GD_NEWS_IP） #针对经常攻击新闻媒体网站的恶意IP地址进行的拦截
  30. 医疗健康类（GD_MEDICAL_IP） #针对经常攻击医疗健康网站的恶意IP地址进行的拦截
  31. 其它行业类（GD_OTHER_IP） #针对经常攻击其它行业网站的恶意IP地址进行的拦截
  32. 恶意代理屏蔽（PROXY_IP） #针对恶意代理IP地址的拦截
  33. 恶意IDC设备屏蔽（IDC_IP） #针对恶意IDC IP地址的拦截
  34. 有攻击的基站屏蔽（BASESTATION_IP）#针对有攻击行为的基站IP地址的拦截
  35. 定向扫描器屏蔽（DIRECTSCAN_IP）#针对各区域定向扫描器IP地址的拦截
  36. AI爬虫流量屏蔽（AI_IP）#针对主流AI爬虫IP地址的拦截
  37. 洋葱路由屏蔽（ONION_IP） #针对恶意洋葱路由IP地址的拦截
  38. 星联IP屏蔽（STARLINK_IP）#针对星联IP地址的拦截
  39. 撒旦IP屏蔽（SHODAN_IP）#针对撒旦IP地址的拦截
  40. APT攻击IP屏蔽（APT_IP）#针对有APT行为的攻击IP地址的拦截
  41. 漏洞扫描器攻击屏蔽（GD_SCANER_IP） #针对具有漏洞扫描行为IP地址的拦截
  42. 网络爆破屏蔽（GD_BRUTE_FORCE_IP） #针对具有网络爆破行为IP地址的拦截
  43. 重保专项攻击屏蔽（GD_CYBER_PROTECTION_IP） #针对政府及企事业单位在重点保障时期疑似恶意攻击IP进行专项访问屏蔽
  44. IDC访问控制（IDC_ACCESS_CONTROL_IP） #针对来自各大IDC厂商的IP地址进行访问控制

防护类型：

  1. CC防火墙 — 高级防护（CC_SP）
  2. CC防火墙 — AI防护（常态）– 高危IP（CC_AI_H）
  3. CC防火墙 — AI防护（常态）– 中危IP（CC_AI_M）
  4. CC防火墙 — AI防护（常态）– 低危IP（CC_AI_L）
  5. CC防火墙 — AI防护（常态）– 普通IP（CC_AI_N）
  6. CC防火墙 — AI防护（动态）– 高危IP（CC_DYNAMIC_H）
  7. CC防火墙 — AI防护（动态）– 中危IP（CC_DYNAMIC_M）
  8. CC防火墙 — AI防护（动态）– 低危IP（CC_DYNAMIC_L）
  9. CC防火墙 — AI防护（动态）– 普通IP（CC_DYNAMIC_N）
  10. 智能引擎（ML_CC）
  11. 专家系统（CCERS）

附录2：拦截类型

  1. BAN：拦截
  2. IP_WHITE：IP白名单放行
  3. URL_WHITE：网址白名单放行
  4. CATEGORY_OFF：因关闭特定检测类型放行
  5. WAF_USER_OFF： 网站管理员通过控制面板关闭防火墙放行
  6. WAF_ADMIN_OFF：云安全管理员关闭防火墙放行
  7. RULE_ID：策略白名单放行
  8. TEST_RULE：测试规则放行
  9. JS：人机识别
  10. CAPTCHA：验证码
  11. JSPAGE：AI识别
  12. CC_PAC_WHITE：CC策略控制放行
  13. PAC_CAPTCHA：精准访问控制-验证码
  14. PAC_JS_CHALLENGE：精准访问控制-JS挑战
  15. PAC_LOG：精准访问控制-记录
  16. PAC_WHITE：精准访问控制放行