来源与路径分析
来源与路径分析
功能简介
来源与路径分析把访问日志按天汇总后，从两个互补的视角呈现流量构成：
- 行为视角 —— 谁在打：按来源（IP）看请求数、被拦截次数、后端 4xx、摸过多少个不同路径、用过多少种 User-Agent。
- 目标视角 —— 打哪里：按路径模板看请求数、被拦截次数、有几个不同来源打过它、主要命中了哪条规则。
同一张按天汇总表，换一个聚合维度就是另一个视角，所以两张表的口径天然一致。
和访问日志页的分工
本页是天级汇总，没有时分秒，用来回答「昨天谁最活跃、哪个接口被摸得最多」； 要看某一次请求的具体内容、精确到秒的时间点，请去 访问日志。
汇总数据在日志写入时同步累加，不去扫原始日志表，因此即使把访问日志页的「访问日志档位」 调成「采样入库」或「仅安全事件」，本页依然有完整数据。
前置条件
- 汇总从启用本功能之后的流量开始积累，历史日志不回填。刚升级完本页是空的，跑满一天后才有完整的昨天数据。
- 被「排除记录日志的IP」清单命中的正常请求不写日志，也不会进入本页汇总（详见 访问日志 的日志配置说明）。
操作步骤
1. 选择统计范围
顶部查询条依次是：
- 日期：要看哪一天，默认今天。
- 站点：留空为「全部站点」，也可只看某一个站点。
- Top：每张表取前多少条，可选 20 / 50 / 100。
- 点击 查询 刷新。
2. 调整判定阈值（可选）
第二张卡是两个判读阈值，改完立即重算当前页面：
- 去重路径 ≥ N 判为疑似扫目录：一个来源在一天里摸过的不同路径数超过 N，就打上「疑似扫目录」标签。
- UA 种类 ≥ N 判为疑似换 UA 试探：同一个来源用过的 User-Agent 种类超过 N，就打上「疑似换 UA」标签。
点 保存为默认值 会把当前两个数字存成默认，下次进来直接用。
阈值只影响界面判读
这两个阈值只改变本页的标签与筛选，不会改变 WAF 的拦截行为，也不会生成任何封禁。 要真的拦，请在表格里加黑名单，或去对应的防护配置里设规则。
3. 看摘要卡
四张卡分别是：
| 卡片 | 含义 |
|---|---|
| 来源数 | 当天出现过的不同 IP 数量。 |
| 路径模板数 | 归一化之后的不同路径数量。 |
| 疑似扫目录 | 去重路径数达到阈值的来源个数，点击可筛选下方表格只看这些来源。 |
| 疑似换 UA 试探 | User-Agent 种类达到阈值的来源个数，点击可筛选。 |
再点一次已选中的卡片即取消筛选。
4. 行为视角：谁在打
表格默认按「去重路径」倒序，扫目录的来源自然排在最前。超过阈值的数字会标红/标黄， 「判读」列给出「疑似扫目录 / 疑似换 UA / 有被拦记录」三种标签之一。
- 点击 来源 链接打开「来源详情」抽屉。
- 操作列的 加黑名单 / 加白名单 可就地处置该 IP。
5. 目标视角：打哪里
按路径模板聚合。路径在汇总前会先模板化：数字段、UUID、hex 串被归一成占位符， 所以 /user/1001 与 /user/1002 会聚成同一条记录。
每个站点每天的模板数有上限（5000 条），超出的部分统一归入一条 {overflow}， 该行会带一个「模板数撞上限」提示——出现它通常意味着这个站点正在被大量随机路径扫。
6. 下钻查看详情
点击表格里的来源或路径链接，右侧抽屉给出该对象当天的明细：
- 来源详情：它摸过哪些路径、用过的 UA、打过哪些站点，以及处置按钮（加黑名单 / 加白名单 / 查看原始日志）。
- 路径详情：谁在打它、命中过哪些规则。
7. 加入黑名单 / 白名单
点 加黑名单 或 加白名单 会打开统一的 IP 处置对话框。必须指定站点—— SamWaf 的黑白名单是按站点生效的，跨站点聚合出来的 IP 需要你明确它归到哪个站点下。 来源详情抽屉里的「打过哪些站点」就是给这一步选站点用的。
字段说明
查询条件
| 字段 | 说明 |
|---|---|
| 日期 | 统计哪一天的汇总数据，天级粒度。 |
| 站点 | 按站点过滤，留空为全部站点。 |
| Top | 每张表返回的条数上限（20 / 50 / 100）。 |
| 去重路径 ≥ | 判「疑似扫目录」的阈值，可保存为默认值。 |
| UA 种类 ≥ | 判「疑似换 UA 试探」的阈值，可保存为默认值。 |
行为视角列
| 字段 | 说明 |
|---|---|
| 来源 | 来源标识，当前实现为来源 IP。点击下钻。 |
| 请求 | 该来源当天的请求总数。 |
| 拦截 | 其中被 WAF 拦下的次数。 |
| 后端4xx | 后端返回 4xx 的次数，摸不存在的路径时这个数会很高。 |
| 去重路径 | 摸过多少个不同的路径模板，达到阈值标红。 |
| UA 数 | 用过多少种 User-Agent，达到阈值标黄。 |
| 判读 | 疑似扫目录 / 疑似换 UA / 有被拦记录，按阈值与拦截数得出。 |
| 操作 | 加黑名单 / 加白名单。 |
目标视角列
| 字段 | 说明 |
|---|---|
| 路径模板 | 归一化后的路径，{overflow} 表示当天模板数撞上限后的汇总行。 |
| 请求 | 该路径当天被请求的总数。 |
| 拦截 | 其中被拦下的次数。 |
| 后端4xx | 后端返回 4xx 的次数。 |
| 去重来源 | 有几个不同 IP 请求过它。 |
| 主要规则 | 该路径上命中次数最多的规则名称。 |
常见问题
- 本页的数字和访问日志页对不上？ 本页是天级汇总（去重数在读取时现算），访问日志是逐条记录， 统计口径不同属正常。另外被「排除记录日志的IP」清单静音的正常请求不写日志也不进汇总， 而它们的流量字节仍会计入流量统计。
- 路径为什么变成了
/user/{num}这种样子？ 这是模板化的结果，否则带 ID 的 URL 会把表刷满、看不出规律。 - 出现
{overflow}要处理吗？ 它表示这个站点当天的路径模板数撞到了 5000 上限， 通常是被随机路径大量扫描。可以结合行为视角找出对应来源再决定是否处置。 - 打上「疑似扫目录」会自动封禁吗？ 不会。判读只是界面提示，处置由你点「加黑名单」决定。
- 刚升级完这页是空的？ 汇总只从升级之后的流量开始积累，历史日志不回填，跑满一天后才有完整数据。