风险日志（防护日志）

2023/12/27大约 5 分钟

功能简介

风险日志（也称防护日志 / 攻击日志）以 来源 IP 为维度，汇总统计触发了 WAF 防护规则的访问情况，帮助你快速发现攻击者、查看其触发的规则集合，并下钻到具体的访问明细。

页面顶部按「触发规则」分组展示标签页，可在不同规则之间快速切换查看；同时支持按规则、来源 IP 进行查询过滤。

想知道某个 IP 现在被什么拦着？

列表里的 IP 是可以点击的，点一下会打开 IP策略命中查询，一次查遍黑白名单、IP组、威胁情报、各类封禁与 CDN 回源段，并可就地加白或拉黑。详见 IP策略命中查询。

在列表某行点击详情，会弹出该 IP 的「访问 IP 明细」，列出该来源 IP 的具体访问/防护日志记录，便于逐条分析请求内容。
明细里有 全部行为 / 安全事件 两个视图：默认落在「安全事件」（该 IP 命中规则的那些请求，带完整报文），切到「全部行为」可以看这个 IP 的所有请求——包括没命中任何规则的那些，用来判断它到底在干什么。

选中某条规则标签后点击删除，可删除该规则标签；删除时会询问删除方式：
- 仅删除标签：只删除标签统计数据，不影响原始日志。
- 同时删除日志：删除标签及其所有相关的攻击日志（数据量大时较慢且不可恢复，请谨慎）。
点击 批量删除 可一次选择多个规则标签删除，同样支持上述两种删除方式。

普通请求默认只留一行窄行、不留报文，所以事后想复盘「这个 IP 在被拦之前还摸过什么」往往没有报文可看。观察名单就是为此准备的：

观察是有代价的

观察期内该 IP 的每个请求都会存一份完整报文，被观察的 IP 如果流量很大会明显占空间。建议只对确有嫌疑的 IP 短期观察，别把它当成长期开关。

字段	说明
IP	触发规则的来源 IP 地址；其旁有「加入黑名单」按钮。
阻止数量	该 IP 被 WAF 拦截（阻止）的请求次数。
放行数量	该 IP 被放行的请求次数，取自统计数据（不再为每个 IP 生成「正常」标签，所以标签列表更干净）。
首次访问时间	该 IP 第一次出现的时间。
最新访问时间	该 IP 最近一次出现的时间。
触发规则集合	该 IP 命中过的所有规则标签集合。
操作	详情：下钻查看该 IP 的访问明细；加入观察：把该 IP 加入观察名单，期间全量留痕。

顶部「触发规则」标签来自系统记录的规则命中标签集合；AI 智能检测命中也会以 AI检测:<类别> 形式出现在规则标签中。

为什么这里按 IP 聚合，而不是逐条请求？ 风险日志侧重「谁在攻击、触发了哪些规则」，按 IP 聚合更利于快速研判；要看逐条请求内容，请点「详情」进入访问明细。
删除标签会删掉日志吗？ 取决于你选择的删除方式。「仅删除标签」不动原始日志，「同时删除日志」才会一并删除相关攻击日志且不可恢复。
为什么标签里看不到「正常」了？ 系统不再为每个 IP 记「正常」标签（那会让标签表随访客数无限膨胀），放行次数改由统计数据给出，首页放行榜不受影响。
什么时候该用观察名单？ 当你怀疑某个 IP 但现有日志不足以判断时。观察期内它的全部请求（含普通请求）都会带报文留痕，看完记得移出。
观察名单里的数据在哪看？ 还是在「详情」的 全部行为 视图，报文在各条记录的详情里。
CC 封禁期间访客反复刷新，为什么每条都有记录？ CC 封禁期内的每次拦截都会留一条规则为「CC封禁」的窄行，访客在拦截页看到的访问识别码可以逐条查对应——这样报障时能给访客一个准确答复。此类记录只留元数据、不重复留存请求报文，封禁提醒推送仍按封禁键节流，不会刷爆通知。

日期	适用版本	说明
2026-10-13	v1.3.25-beta.8	CC 封禁期内的每次拦截都会留存「CC封禁」窄行记录，可按访问识别码直接查询（忽略日期与分区）；不重复留存请求报文，提醒推送保持节流。