このトピックでは、Web Application Firewall (WAF) でサポートされるログフィールドについて説明します。

フィールド取得のためのテーブル

次の表に、WAFでサポートされているログフィールドを示します。 フィールド名を使って、特定のフィールドを照会することができます。

First letter of a field nameフィールド
a
b
  • 保護タイプフィールド: block_action
  • サーバーからクライアントに返されるレスポンス本文のバイトフィールド: body_bytes_sent
  • リクエストを許可するルールのIDフィールド: bypass_matched_ids
c
d
f最終関連分野: final_action | final_plugin | final_rule_id | final_rule_type
h
iボットスレットインテリジェンス関連分野: intelligence_action | intelligence_rule_id | intelligence_test
mWAで保護されているドメイン名と一致した場合のフィールド: matched_host
nポジティブセキュリティモデル関連分野: normalized_action | normalized_rule_id | normalized_rule_type | normalized_test
qクエリ文字列フィールド: querystring
r
s
tリクエスト時間フィールド: time
u
w

次の表に、WAFでサポートされているすべてのアクションを示します。

アクションフィールドの値 説明
block ブロックアクションを示します。WAFはクライアントからのリクエストをブロックし、405エラーページをクライアントに返します。
captcha_strict スライダーの CAPTCHA 検証が厳格であることを示す。WAFは、スライダーCAPTCHAの検証に使用するページをクライアントに返します。クライアントが strict slider CAPTCHA 検証に合格した場合、WAF はクライアントからの要求を許可します。クライアントが strict slider CAPTCHA 検証に失敗した場合、WAF はリクエストをブロックします。クライアントがリクエストを送信するたびに、厳密なスライダー CAPTCHA 検証に 合格する必要があります。
captcha 共通スライダーCAPTCHAによる検証を示す。 WAFは、スライダーCAPTCHA検証に使用されるページをクライアントに返します。 クライアントが共通スライダーCAPTCHA検証に合格した場合、WAFは特定の時間範囲内のクライアントからの要求を許可します。 この時間範囲の間、クライアントは検証をバイパスすることができる。 デフォルトでは、時間範囲は30分です。 クライアントがcommon slider CAPTCHA検証に失敗した場合、WAFはクライアントからの要求をブロックします。
sigchl 動的トークン認証を示します。 Web リクエストは署名される。クライアントがリクエストを送信すると、WAFが発行するWeb SDKがリクエストに対する署名を生成する。署名はリクエストと一緒に転送される。署名が生成され、検証された場合、リクエストはオリジンサーバーに送信される。署名の生成または検証に失敗した場合、クライアントが動的トークンを取得するためのコードブロックが返され、リクエストに再度署名する必要があります。
js JavaScriptの検証を示す。WAFはクライアントにJavaScriptのコードを返します。JavaScriptのコードは、クライアントが使用するブラウザによって自動的に実行されます。クライアントがJavaScriptの検証を通過すると、WAFは特定の時間範囲内でクライアントからのリクエストを許可します。この時間範囲内であれば、クライアントは検証を回避することができます。 デフォルトでは、時間範囲は30分です。 クライアントがJavaScriptの検証に失敗した場合、WAFはクライアントからのリクエストをブロックする。
パス 許可アクションを示します。 WAFは、クライアントからのリクエストを許可し、リクエストを配信元サーバーに転送します。
captcha_strict_pass クライアントが厳密なスライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
captcha_pass クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
sigchl_pass クライアントが動的トークン認証を渡し、WAFがクライアントからの要求を許可することを示します。
js_pass クライアントがJavaScript検証に合格し、WAFがクライアントからの要求を許可することを示します。
マスク WAFがオリジンサーバーから返された機密データをマスクし、その結果をクライアントに返すことを示します。 この動作はデータ漏洩防止機能のみが対応しています。
continue 許可アクションを示します。 継続フィールドの具体的な意味は、保護機能に基づいて異なります。 詳細については、normalized_actionおよびwxbb_actionフィールドの説明をご参照ください。

必須フィールド

必須項目とは、WAFのログに必ず含まれる項目を指します。

フィールド説明サンプル値
acl_rule_typeトリガーされるルールの種類です。ルールは、ブラックリストまたはカスタム保護ポリシー（ACL）機能に対して作成されます。 設定可能な値は以下のとおりです。
  • custom: カスタム保護ポリシー（ACL）機能に対して作成されるルールを示す。
  • blacklist: ブラックリスト機能に対して作成されるルールを示す。
custom
bypass_matched_idsリクエストを許可するためにトリガーされるルールのID。 ルールは、ホワイトリストルールまたはリクエストを許可するカスタム保護ルールにすることができます。

リクエストを許可するために複数のルールが同時にトリガーされた場合、このフィールドにはすべてのルールのIDが記録されます。 複数のIDはコンマ (,) で区切ります。

283531
cc_rule_typeトリガーされるルールのタイプ。 ルールは、HTTPフラッド保護またはカスタム保護ポリシー (HTTPフラッド保護) 機能用に作成されます。 設定可能な値は以下のとおりです。
  • custom: カスタム保護ポリシー (HTTPフラッド保護) 機能用に作成されたルールを示します。
  • system: HTTP フラッドプロテクションルールを示す。
custom
content_type要求されたコンテンツの種類。 application/x-www-form-urlencoded
final_actionWAFがリクエストに対して実行するアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha_strict: 厳密なスライダーCAPTCHA検証が実行されることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • sigchl: 動的トークン認証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

要求が保護機能を起動しない場合、そのフィールドは記録されない。たとえば、リクエストがリクエストを許可するルールに一致する場合、またはクライアントがスライダーCAPTCHA検証またはJavaScript検証に合格した場合、フィールドは記録されません。

優先順位の高い順に、ブロック、厳格なスライダーCAPTCHA認証、共通スライダーCAPTCHA認証、動的トークン認証、JavaScript認証となります。

block
final_pluginリクエストに対して final_action で指定されたアクションを実行する保護機能。設定可能な値は以下のとおりです。
  • waf: 保護ルールエンジン機能を示します。
  • deeplearning: 深層学習エンジン機能を示します。
  • dlp: データ漏洩防止機能を示します。
  • account: アカウントのセキュリティ機能を示します。
  • normalized: ポジティブなセキュリティモデル機能を示します
  • acl: ブラックリスト機能またはカスタム保護ポリシー (ACL) 機能を示します。
  • cc: HTTP flood protection 機能またはカスタムプロテクションポリシー (HTTP Flood Protection) 機能を示します。
  • antiscan: スキャン保護機能を示します。
  • scene: シナリオ固有の設定機能を示します。
  • antifraud: データリスクコントロール機能を示す。
  • bot_intelligence: ボットの脅威インテリジェンス機能を示します。
  • algorithm: 典型的なボット動作識別機能を示します。
  • wxbb: アプリ保護機能を示します。

上記の保護機能を設定するには、Web Application Firewall consoleにログインし、左側のナビゲーションウィンドウで [保護設定] > [Webサイト保護] を選択します。 WAF保護機能の詳細については、「Webサイト保護の概要」をご参照ください。

リクエストが保護機能をトリガーしない場合、フィールドは記録されません。 たとえば、リクエストがリクエストを許可するルールに一致する場合、またはクライアントがスライダーCAPTCHA検証またはJavaScript検証に合格した場合、フィールドは記録されません。

要求が複数の保護機能を同時にトリガーした場合、フィールドは記録され、で指定されたアクションを実行する保護機能のみを含む。 final_action.

ワフ
final_rule_idリクエストに適用されるルールのID。ルールは、finish_actionフィールドに記録されるアクションを定義します。 115341
final_rule_typeリクエストに適用されるルールのサブタイプ。 ルールはfinal_rule_idで示されます。

たとえば、final_plugin:wafはfinal_rule_type:sqliとfinal_rule_type:xssをサポートしています。

xss/webshell
ホストリクエストのHostヘッダーフィールド。アクセスするドメイン名またはIPアドレスを示します。 api.example.com
http_refererリクエストのRefererヘッダーフィールド。リクエストに関するソースURL情報を示します。

リクエストにソースURL情報が含まれていない場合、フィールドの値はハイフン (-) で表示されます。

http://example.com
http_user_agentリクエストヘッダーのUser-Agentフィールド。 このフィールドには、ブラウザとオペレーティングシステムに関する情報が含まれています。Dalvik/2.1.0 (Linux; U; アンドロイド10; x86ビルド /QSR1.200715.002のために造られるアンドロイドSDK)
http_x_forward_forリクエストヘッダーのX-Forwarded_For (XFF) フィールド。 このフィールドは、HTTPプロキシまたは負荷分散デバイスを使用してwebサーバーに接続されているクライアントの送信元IPアドレスを識別するために使用されます。 47.100.XX.XX
httpsリクエストが HTTPS リクエストであるかどうかを示します。 設定可能な値は以下のとおりです。
  • on: HTTPSリクエスト
  • off: HTTPリクエスト
on
一致した_hostWAFによって照合されるドメイン名。 保護のためにドメイン名がWAFに追加されます。
説明 ワイルドカードドメインはWAFに追加でき、WAFはワイルドカードドメインと一致する場合があります。 たとえば、ドメイン名 * .aliyun.comがWAFに追加され、d www.aliyun.comが要求された場合、WAFはドメイン名 * .aliyun.comと一致します。
*.aliyun.com
querystringリクエスト内の照会文字列。 クエリ文字列は、要求されたURLの疑問符 (?) に続く部分を参照します。 title=tm_content%3Darticle&pid=123
real_client_ipリクエストを開始したクライアントの送信元IPアドレス。 WAFは、リクエストの分析に基づいて送信元IPアドレスを識別します。

WAFがクライアントの送信元IPアドレスを識別できない場合、フィールドの値はハイフン (-) で表示されます。 たとえば、プロキシサーバーが使用されているか、リクエストヘッダーのIPフィールドが無効な場合、WAFはクライアントの実際のIPアドレスを識別できません。

192.0.XX.XX
remote_addrWAFへの接続に使用されるIPアドレス。

WAFがクライアントに直接接続されている場合、このフィールドにはクライアントの送信元IPアドレスが記録されます。 Alibaba Cloud CDN (CDN) などのレイヤー7プロキシがWAFの前にデプロイされている場合、このフィールドにはプロキシのIPアドレスが記録されます。

198.51.XX.XX
remote_portWAFへの接続に使用されるポート。

WAFがクライアントに直接接続されている場合、このフィールドにはクライアントのポートが記録されます。CDNなどのレイヤ7プロキシがWAFの前にデプロイされている場合、このフィールドはプロキシのポートを記録します。

80
request_lengthリクエスト内のバイト数。 リクエストには、リクエスト行、リクエストヘッダー、リクエスト本文が含まれます。 単位：バイト 111111
request_methodリクエスト方式。 GET
request_path要求された相対パス。 相対パスは、要求されたURLのドメイン名と疑問符 (?) の間の部分を参照します。 相対パスにはクエリ文字列は含まれません。 /news/search.php
request_time_msecWAFがリクエストを処理するのにかかる時間。 単位：ミリ秒。 44
request_traceidリクエストごとにWAFによって生成される一意の識別子。 7837b11715410386943437009ea1f0
server_protocolWAFによって転送された要求に応答するためにオリジンサーバーによって使用されるプロトコルとバージョン。 HTTP/1.1
statusWAFによってクライアントに返されるHTTPステータスコード。 例: 200。これは、リクエストが受信され、受け入れられたことを示します。 200
time要求が開始された時点のこと。 時刻はyyyy-MM-ddTHH:mm:ss + 08:00形式のISO 8601標準に従います。 時間は UTC にする必要があります。 2018-05-02T16:03:59+08:00
upstream_addrオリジンサーバーのIPアドレスとポート番号。 形式はIPアドレス: ポートです。 MultipleペアIPのアドレスとポートcommasによって分離されている (、) 。 198.51。XX。XX:443
upstream_response_timeWAFによって転送されたリクエストに配信元サーバーが応答するのに必要な時間。 (単位：秒) 0.044
upstream_statusWAFからの要求に対する応答としてオリジンサーバーによって送信されるHTTPステータスコード。 例: 200。これは、リクエストが受信され、受け入れられたことを示します。 200

オプションフィールド

ビジネス要件に基づいて、WAFログにオプションのフィールドを含めることができます。 WAF logs record only the optional fields that you enable.

オプションのフィールドを有効にすると、WAFログはより多くのストレージ容量を占有します。 十分なログストレージ容量がある場合は、より多くのオプションフィールドを有効にすることを推奨します。 これにより、ログをより包括的に分析できます。 オプションフィールドの設定方法の詳細については、「ログ設定の変更」をご参照ください。

フィールド説明サンプル値
account_actionアカウントセキュリティルールがトリガーされた後にリクエストに対して実行されるアクション。 値はblockとして固定され、リクエストがブロックされていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
account_rule_idトリガーされたアカウントセキュリティルールのID。 151235
account_testアカウントセキュリティルールがトリガーされた後にリクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • 真: 観測モード。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
acl_アクションブラックリストまたはカスタム保護ポリシー (ACL) 機能用に作成されたルールがトリガーされた後に、リクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha_strict: 厳密なスライダーCAPTCHA検証が実行されることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • captcha_strict_pass: クライアントが厳密なスライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • captcha_pass: クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • js_pass: クライアントがJavaScriptの検証を通過し、WAFがクライアントからのリクエストを許可することを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
acl_rule_idトリガーされるルールのID。 ブラックリストまたはカスタム保護ポリシー (ACL) 機能のルールが作成されます。 151235
acl_testブラックリストまたはカスタム保護ポリシー (ACL) 機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
algorithm_action通常のボット動作識別機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • captcha_pass: クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • js_pass: クライアントがJavaScript検証に合格し、WAFがクライアントからの要求を許可することを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
algorithm_rule_idトリガーされるルールのID。 ルールは、典型的なボット動作識別機能のために作成される。 151235
algorithm_test通常のボット動作識別機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: indicates the prevention mode. このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
不正防止_アクションデータリスク管理機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • pass: リクエストが許可されていることを示します。
  • block: リクエストがブロックされていることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
antifraud_testデータリスク管理機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
antiscan_アクションスキャン保護機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 値はblockとして固定され、リクエストがブロックされていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
antiscan_rule_idトリガーされるルールの ID。 スキャン保護機能のルールが作成されます。 151235
antiscan_rule_typeトリガーされるルールのタイプ。 スキャン保護機能のルールが作成されます。 設定可能な値は以下のとおりです。
  • highfreq: web攻撃が頻繁に開始されるIPアドレスをブロックするルールを示します。
  • dirscan: ディレクトリトラバーサル攻撃に対して防御するルールを示します。
  • scantools: スキャナーのIPアドレスをブロックするルールを示します。
  • collaborative: 共同防衛ルールを示します。
highfreq
antiscan_testスキャン保護機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
ブロック_アクション
重要 WAFのアップグレードにより、このフィールドは無効になりました。 このフィールドは、final_pluginフィールドに置き換えられます。 block_actionフィールドがサービスで使用されている場合は、できるだけ早い機会にfinal_pluginに置き換えてください。
リクエストをブロックするためにトリガーされるWAF保護機能。 設定可能な値は以下のとおりです。
  • tmd: HTTPフラッド保護を示します。 この値は、final_pluginのcc値に相当します。
  • waf: web攻撃保護を示します。 この値は、final_pluginのwaf値に相当します。
  • acl: カスタム保護ポリシー機能を示します。 この値は、final_pluginのacl値に相当します。
  • deeplearning: 深層学習エンジン機能を示します。 この値は、final_pluginのdeeplearning値に相当します。
  • antiscan: スキャン保護を示します。 この値は、final_pluginのantiscan値に相当します。
  • antifroud: データリスク管理を示します。 この値は、final_pluginの不正防止値に相当します。
  • antibot: ボットの管理を示します。 この値は、final_pluginのintelligence、algorithm、wxbb、およびscene値に相当します。
ワフ
body_bytes_sentサーバーがクライアントに返すレスポンス本文のバイト数。 レスポンスヘッダのバイト数はカウントされません。 単位：バイト 1111
cc_アクションHTTPフラッド保護またはカスタム保護ポリシー (HTTPフラッド保護) 機能用に作成されたルールがトリガーされた後に、リクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • captcha_pass: クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • js_pass: クライアントがJavaScript検証に合格し、WAFがクライアントからの要求を許可することを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
cc_rule_idトリガーされるルールのID。 ルールは、HTTPフラッド保護またはカスタム保護ポリシー (HTTPフラッド保護) 機能用に作成されます。 151234
cc_testHTTPフラッド保護またはカスタム保護ポリシー (HTTPフラッド保護) 機能用に作成されたルールがトリガーされた後に、リクエストに対して使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
deeplearning_action深層学習エンジン機能に対して作成されたルールが発動された後、リクエストに対して実行されるアクション。 値はblockとして固定され、リクエストがブロックされていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
deeplearning_rule_idトリガーされるルールのID。 ルールは、深層学習エンジン機能用に作成されます。 151238
deeplearning_rule_型トリガーされるルールのタイプ。ルールは、深層学習エンジン機能用に作成されます。 設定可能な値は以下のとおりです。
  • xss: XSS攻撃に対して防御するルールを示します。
  • code_exec: 特定の攻撃に対して防御するルールを示します。 攻撃はコード実行の脆弱性を悪用します。
  • webshell: webshellのアップロードに対して防御するルールを示します。
  • sqli: SQLインジェクションを防ぐルールを示します。
  • lfilei: ローカルファイルの包含に対して防御するルールを示します。
  • rfilei: リモートファイルのインクルージョンを防御するルールを示します。
  • other: その他の保護ルールを示します。
xss
deeplearning_test深層学習エンジン機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
dlp_アクションデータ漏洩防止機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • mask: 機密データがマスクされていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

マスク
dlp_rule_idトリガーされるルールのID。 データ漏えい防止機能のルールを作成します。 151245
dlp_testデータ漏えい防止機能用に作成されたルールがトリガーされた後に、リクエストに対して使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
インテリジェンス_アクションボット脅威インテリジェンス機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha_strict: 厳密なスライダーCAPTCHA検証が実行されることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • captcha_strict_pass: クライアントが厳密なスライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • captcha_pass: クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • js_pass: クライアントがJavaScript検証に合格し、WAFがクライアントからの要求を許可することを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
intelligence_rule_idトリガーされるルールのID。 ルールは、ボット脅威インテリジェンス機能用に作成されます。 152234
インテリジェンス_テストボット脅威インテリジェンス機能用に作成されたルールがトリガーされた後、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
正規化された_アクションポジティブなセキュリティモデル機能用に作成されたルールがトリガーされた後に、リクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • continue: リクエストが許可されていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
normalized_rule_idトリガーされるルールのID。 正のセキュリティモデル機能のルールが作成されます。 151266
normalized_rule_typeトリガーされるルールのタイプ。 正のセキュリティモデル機能のルールが作成されます。 設定可能な値は以下のとおりです。
  • User-Agent: User-Agentベースのベースラインルールを示します。 リクエストヘッダーのUser-Agentフィールドがベースラインに準拠していない場合、攻撃が発生する可能性があります。 この説明は、他のルールタイプに適用されます。
  • リファラー: リファラーベースのベースラインルールを示します。
  • URL: URLベースのベースラインルールを示します。
  • Cookie: cookieベースのベースラインルールを示します。
  • Body: リクエストボディベースのベースラインルールを示します。
User-Agent
normalized_testポジティブなセキュリティモデル機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
regionWAFインスタンスが存在するリージョンのID。 設定可能な値は以下のとおりです。
  • cn: 中国本土
  • int: 中国本土の外
cn
request_bodyリクエスト本文。 私は暗号化されているかどうかにかかわらず、リクエストボディです!
scene_actionシナリオ固有の構成用に作成されたルールがトリガーされた後に、リクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: リクエストがブロックされていることを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • sigchl: 動的トークン認証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • captcha_pass: クライアントが共通スライダーCAPTCHA検証に合格し、WAFがクライアントからの要求を許可することを示します。
  • sigchL_pass: クライアントが動的トークン認証をパスし、WAFがクライアントからの要求を許可することを示します。
  • js_pass: クライアントがJavaScript検証に合格し、WAFがクライアントからの要求を許可することを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
scene_idトリガーされたルールのシナリオID。 ルールは、シナリオ固有の構成用に作成されます。 151235
scene_rule_idトリガーされるルールのID。 ルールは、シナリオ固有の構成用に作成されます。 153678
scene_rule_typeトリガーされるルールのタイプ。 ルールは、シナリオ固有の構成用に作成されます。 設定可能な値は以下のとおりです。
  • bot_aialgo: インテリジェントな保護ルールを示します。
  • js:スクリプトベースのボットをブロックするルールを示します。
  • intelligence: ボットの脅威インテリジェンスまたはデータセンターのブラックリストに基づいて攻撃をブロックするルールを示します。
  • sdk: SDK統合アプリの異常なシグネチャと異常なデバイス動作をチェックするルールを示します。
  • cc: IP アドレスベースのスロットリング ルールまたはカスタム セッションベースのスロットリング ルールを示します。
  • sigchl: 動的トークン認証ルールを示します。
bot_aialgo
sigchl_invalid_type動的トークン認証ルールによってリクエストが異常と見なされる理由。 設定可能な値は以下のとおりです。
  • sigchl_invalid_sig: 署名検証が失敗したことを示します。 次の情報は、障害の一般的な原因を示しています。
    • リクエストには署名は含まれません。
    • 署名が追加されるときに渡されるパラメーターは、WAFによって受信されるパラメーターとは異なります。
  • sigchl_is_replay: 署名のタイムスタンプが異常であることを示します。 リプレイ攻撃が発生する可能性があります。
  • sigchl_is_driver: リクエストがWebDriver攻撃リクエストと見なされることを示します。
sigchl_invalid_sig
scene_testシナリオ固有の構成用に作成されたルールがトリガーされた後、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
server_port要求された宛先ポート。 443
ssl_cipherリクエストで使用される暗号化スイート。ECDHE-RSA-AES128-GCM-SHA256
ssl_protocolリクエストで使用されるSSLまたはTLSプロトコルとバージョン。 TLSv1.2
ua_ブラウザリクエストを開始するブラウザの名前。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
ie9
ua_browser_ファミリーブラウザが属するファミリ。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
internet explorer
ua_browser_typeリクエストを開始するブラウザーのタイプ。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
web_browser
ua_browser_versionリクエストを開始するブラウザのバージョン。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
9.0
ua_device_typeリクエストを開始するクライアントのデバイスタイプ。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
computer
ua_os要求を開始するクライアントのオペレーティングシステム。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
windows_7
ua_os_ファミリークライアントのオペレーティングシステムが属するファミリ。
重要 2021年12月15日以降、このフィールドはWAFでサポートされなくなりました。 [ログ設定] ページでフィールドを選択しても、このフィールドは記録されません。 リクエストのUser-Agentフィールドに関する情報を取得するには、必須フィールドhttp_user_agentを使用することを推奨します。 詳細は、「http_user_agent」をご参照ください。
windows
ユーザー_idWAFインスタンスが属するAlibaba CloudアカウントのID。 17045741 ********
waf_action保護ルールエンジン機能用に作成されたルールがトリガーされた後に、リクエストに対して実行されるアクション。 値はblockとして固定され、リクエストがブロックされていることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
waf_rule_idトリガーされるルールのID。 保護ルールエンジン機能のルールが作成されます。 113406
waf_rule_typeトリガーされるルールのタイプ。 ルールは、保護ルールエンジン機能に対して作成されます。 設定可能な値は以下のとおりです。
  • xss: XSS攻撃に対して防御するルールを示します。
  • code_exec: 特定の攻撃を防御するルールを示します。 攻撃はコード実行の脆弱性を悪用します。
  • webshell: webshellのアップロードに対して防御するルールを示します。
  • sqli: SQLインジェクションを防ぐルールを示します。
  • lfilei: ローカルファイルの包含に対して防御するルールを示します。
  • rfilei: リモートファイルの包含を防ぐルールを示します。
  • other: その他の保護ルールを示します。
xss
waf_test保護ルールエンジン機能用に作成されたルールがトリガーされた後に、リクエストに使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false
wxbb_アクションアプリ保護機能用に作成されたルールがトリガーされた後にリクエストに対して実行されるアクション。 設定可能な値は以下のとおりです。
  • block: 署名が検証に失敗したため、リクエストがブロックされたことを示します。
  • captcha: 共通スライダーCAPTCHA検証が実行されることを示します。
  • js: JavaScript検証が実行されることを示します。
  • continue: 署名が検証に合格したため、リクエストが許可されることを示します。

WAF保護アクションの詳細については、「アクションフィールドの説明」をご参照ください。

block
wxbb_invalid_wuaアプリ保護機能用に作成されたルールに基づいて、リクエストが異常と見なされる理由。 設定可能な値は以下のとおりです。
  • wxbb_simulator: シミュレータが使用されていることを示します。
  • wxbb_proxy: プロキシが使用されていることを示します。
  • wxbb_root: ルート化されたデバイスが使用されていることを示します。
  • wxbb_hook: フックが使用されていることを示します。
  • wxbb_antireplay: リプレイ攻撃が発生したことを示します。 リプレイ攻撃は、署名文字列wTokenを使用します。
  • wxbb_virtual: Anti-Bot SDK統合アプリ用にマルチボクシングが設定されていることを示します。
  • wxbb_debugged: デバイスがデバッグモードであることを示します。
  • wxbb_invalid_sign: 署名検証が失敗したことを示します。
    次の情報は、障害の一般的な原因を示しています。
    • リクエストには署名は含まれません。
    • 署名が追加されるときに渡されるパラメーターは、WAFによって受信されるパラメーターとは異なります。 たとえば、パラメーターa=1&b=2は渡されますが、WAFが受け取るパラメーターはb=2&a=1です。 渡されたパラメーターの内容はエンコードされませんが、WAFによって受信された内容はBase64-encodedされます。
wxbb_invalid_sign
wxbb_rule_idトリガーされるルールのID。 アプリ保護機能のルールが作成されます。 156789
wxbb_testアプリ保護機能用に作成されたルールがトリガーされた後に、リクエストに対して使用される保護モード。 設定可能な値は以下のとおりです。
  • true: 観察モードを示します。 このモードでは、ログが記録されます。 ただし、ブロックなどの保護アクションはトリガーされません。
  • false: 予防モードを示します。 このモードでは、WAFは保護ルールに一致するリクエストに対してブロックなどの保護アクションを実行します。
false