安全审计
安全审计
1 功能简介
SamWaf 的统一安全审计流水：把各类安全事件汇总到同一张表——谁在什么时候、从哪个 IP、对哪个站点做了什么，成功还是失败。将来所有安全日志都会汇入这里。
当前包含以下分类（可在页面顶部按分类筛选）：
- 访问认证：
access，统一访问认证 的登录、踢人、票据、未认证拦截等事件。 - 网站密码访问：
httpauth，站点级密码访问的登录、锁定、踢下线、会话到期与未登录拦截等事件。 - 配置变更：
config，敏感配置操作，例如 SSL 证书导出落盘（见 SSL 证书管理）。 - 应用管理：
app，应用管理 的新增、修改、删除、启动、停止、重启，以及文件上传、升级、回滚、日志清理与操作拒绝。
菜单位置
本页位于 系统设置 → 安全审计。
页面顶部说明了各类事件的覆盖范围与筛选方式，其中应用审计覆盖应用新增与文件操作，并提示：异步指令的「成功」仅表示提交成功，实际运行情况请查看应用状态与日志。
2 事件类型
页面顶部可先按分类筛选，再按具体事件筛选。现有访问认证、网站密码访问与配置变更事件继续保留，应用管理事件见 2.3。
2.1 访问认证类
| 事件 | 含义 | 关注度 |
|---|---|---|
| 登录成功 | 账号通过认证 | 日常 |
| 密码错误 | 登录时密码不正确 | 日常 |
| 动态码错误 | 二次验证的动态码不正确 | 日常 |
| 触发锁定 | 失败次数超限，账号或来源 IP 被锁定 | 重点 |
| 主动注销 | 访客自己退出登录 | 日常 |
| 被踢下线 | 管理员在 在线会话 强制下线 | 日常 |
| 签发票据 | 认证中心为某个站点签发跨站点票据 | 日常 |
| 票据兑换 | 业务站点成功兑换票据 | 日常 |
| 票据重放 | 票据被重复使用、伪造或已过期 | 重点 |
| 回跳地址异常 | 登录后的回跳地址校验失败，疑似开放重定向攻击 | 重点 |
| 未认证被拦 | 未登录的请求被挡下（高频，已节流） | 日常 |
| IP组放行 | 命中免认证 IP 组直接放行 | 日常 |
| 服务令牌放行 | 携带正确服务令牌直接放行 | 日常 |
注意
票据重放 与 回跳地址异常 在正常使用中不该出现。正常流程里票据是即签即用的，回跳地址也总是由 WAF 自己签名生成——这两类事件出现，基本可以判定有人在主动构造请求。
2.2 配置变更类
敏感配置操作的落地记录。这类事件为将来更多敏感操作预留，当前包含：
| 事件 | 含义 | 关注度 |
|---|---|---|
| SSL证书导出落盘 | 通过 SSL 证书管理 的"证书导出"把证书/私钥写到服务器文件（成功或被拒都会记录） | 重点 |
提示
配置变更类事件记录了操作者、目标路径与结果，可追溯"谁在什么时候把证书导出到了哪里"。出于安全，其中不包含任何证书或私钥内容。
2.3 应用管理类
选择分类 应用管理（app）可查看以下事件：
| 事件 | 事件标识 | 含义 |
|---|---|---|
| 新增应用 | app_add | 新增应用配置 |
| 修改应用 | app_edit | 修改已有应用配置 |
| 删除应用 | app_del | 提交删除应用指令 |
| 启动应用 | app_start | 提交启动指令 |
| 停止应用 | app_stop | 提交停止指令 |
| 重启应用 | app_restart | 提交重启指令 |
| 上传应用文件 | app_upload | 上传应用文件 |
| 升级应用 | app_upgrade | 上传文件并执行升级操作 |
| 回滚应用 | app_rollback | 执行应用文件回滚 |
| 清理应用日志 | app_clear_logs | 清理应用运行日志 |
| 应用操作被拒绝 | app_op_denied | 应用操作密码校验未通过，操作被拒绝 |
应用事件记录管理端操作者账号、来源 IP、接口路径与结果。现有 说明（Message）记录应用编号（app，对应应用 code）、应用名称（name）、安全文件名（file，仅文件名，不含目录）及阶段（stage）等摘要；尚未取得的信息可能为空，操作密码校验阶段被拒绝时以阶段和原因说明为主。不会为应用审计新增独立的应用编号、名称或文件筛选字段。
异步指令与记录范围
结果为 1 显示「成功」，为 0 显示「失败」。删除、启动、停止、重启等异步指令的成功只表示指令已提交（stage=submitted），不表示应用已健康运行或最终操作已完成；请到 应用管理 查看运行状态、最近错误与日志。
应用审计只保留操作摘要，不保存应用操作密码、环境变量值或完整命令。
3 操作步骤
页面右上角可按 分类（访问认证 / 网站密码访问 / 配置变更 / 应用管理）、事件、账号、来源IP、站点 筛选，输入或选择后点击 查询。
查询应用操作时，选择 应用管理，再按需选择上述具体事件，或填写操作者账号、来源 IP。应用信息在 说明 列中查看；应用事件通常不关联站点，查询时可清空站点筛选。
列表中：
- 结果 列用 成功 / 失败 标签区分，对应
1 / 0；异步指令只表示提交结果 - 高危事件（触发锁定、票据重放、回跳地址异常）的事件标签显示为红色，登录失败类与应用操作被拒绝为橙色
- 归属地 由来源 IP 解析得出
4 节流与保留
未认证被拦 是本表唯一的高频事件——一次目录扫描就是几千个未登录请求。为避免真正有价值的记录被淹没，已做同 IP + 同站点 5 分钟一条的节流。
审计日志的保留天数由系统配置 access 分类下的 access_audit_retain_days 控制，默认 90 天，超期由定时任务自动清理。可在 系统配置 中调整。
5 通知
| 消息类型 | 包含事件 |
|---|---|
| 统一认证登录 | 登录成功 |
| 统一认证异常 | 触发锁定、票据重放、回跳地址异常 |
提示
只有上表这几个事件会发通知。未认证被拦、单次密码错误等高频事件不会发——否则一次扫描就会把你的钉钉/邮箱刷屏。同一「事件 + IP」5 分钟内也只发一条。 审计表记录的是全量事件，通知只挑值得打扰你的那几个。
6 字段说明
| 字段 | 说明 |
|---|---|
| 分类 | 访问认证 / 网站密码访问 / 配置变更 / 应用管理 |
| 事件 | 事件类型，见 2 |
| 结果 | 1 为成功，0 为失败；应用异步指令仅表示提交结果 |
| 账号 | 相关的访问账号登录名，或应用操作的管理端操作者账号（未认证事件可能为空） |
| 站点 | 被访问的域名；应用事件通常为空 |
| 请求地址 | 业务访问地址，或应用操作的管理端接口路径 |
| 来源IP | 发起请求的客户端 IP |
| 归属地 | 由来源 IP 解析出的国家与省市 |
| 说明 | 事件详情，例如失败原因；应用事件包含应用编号、名称、安全文件名与阶段等可用摘要，见 2.3 |
| 创建时间 | 事件发生时间 |
7 常见问题
看到大量「未认证被拦」怎么办？ 说明有人在扫描或探测受保护的站点。这本身是功能在正常工作。若来源固定，可到 IP黑名单 或 防火墙IP封禁 直接封掉。
出现「票据重放」要紧吗？ 先看来源 IP 与账号。真实用户偶尔点浏览器后退也可能触发一次；短时间内反复出现则要当作攻击处理。
出现「回跳地址异常」？ 有人在构造回跳参数试图把登录后的跳转指向站外地址（开放重定向）。SamWaf 已经拦下并回退到首页，无需额外处理，但建议记录来源 IP 并封禁。
审计日志会不会占很多空间？ 高频事件已节流，且默认只保留 90 天。存储紧张时可调小
access_audit_retain_days。审计里没有我期望的记录？ 确认筛选条件；查询应用事件时先选「应用管理」，并清空不适用的站点条件。另外「未认证被拦」有 5 分钟节流，同一 IP 反复访问同一站点只会留一条。
8 更新记录
| 适用版本 | 更新内容 |
|---|---|
| >v1.3.25-beta.9（未发布） | 新增应用管理分类（app）与 11 项事件筛选；补充操作者及应用摘要记录、异步指令提交结果和敏感数据记录范围说明。 |