快速定位防御日志的核心结论
防御日志报告的查看重点不在于逐条阅读告警，而在于通过“结论性字段”和“时间序列”快速确认攻击是否命中、影响范围多大、根源在哪里，在此基础上才能决定是止损还是溯源。
先看四个字段，不读正文
拿到一份防御日志报告后，别急着打开详情页逐行翻，先看报告的概览区，把下面四个字段找出来,它们决定了报告的阅读方向。
- 攻击类型分布：报告会用饼图或柱状图展示SQL注入、XSS跨站脚本、CC攻击、暴力破解等各类攻击的占比,这个字段决定了你要重点关注哪类日志。
- 源IP TOP10：按攻击次数排序的IP列表，如果前几名IP的请求次数呈断崖式分布，说明是定向攻击；如果分布均匀,可能来自扫描蠕虫或僵尸网络。
- 命中规则数：这是防御日志中最重要的数字，命中规则数不等于攻击成功数，它只代表流量特征匹配了规则库中的某些模式，真实命中并产生告警的,才可能是有效攻击。
- 防护动作统计：日志会标注对每笔请求执行的动作拦截、放行、挑战（验证码）、限速，重点关注“放行”的数据,因为被放行的攻击流量才是潜在风险所在。
把这四个字段扫一遍，就能大致判断形势，攻击类型主要是CC攻击，且源IP集中在少数几个，那么后面解读日志时，重心应放在请求频率和User-Agent特征上，如果攻击类型是SQL注入,则需要进入详情页查看具体的注入载荷。
读懂日志字段结构，才能拎出有效信息
防御日志系统（无论是自建WAF还是云上的安全产品）记录的单条日志通常包含以下字段，对照报告的说明，逐项弄懂它们的含义,是解读的第一步。
| 字段名 | 典型值示例 | 解读要点 |
|---|---|---|
| 请求时间 | 2026-03-16 10:23:45 | 注意时区，对比业务高峰期才有意义 |
| 源IP | 45.xx.xx | 关注是否为已知代理池或IDC网段 |
| 目的IP/域名 | www.example.com | 确认攻击是否针对核心业务 |
| 请求方法 | GET/POST | POST异常增多往往和注入、上传有关 |
| 请求路径 | /admin/login.php | 路径越敏感，威胁等级越高 |
| User-Agent | Mozilla/5.0... | 缺失或异常UA是自动化工具的重要特征 |
| 攻击类型 | SQL注入 | 对应规则库的具体规则ID |
| 命中规则 | OWASP_CRS_942100 | 可在OWASP官网查询规则语义 |
| 动作 | 拦截/放行/挑战 | 决定你是否需要人工介入处理 |
| 响应码 | 403/200/302 | 后端实际响应码更能反映是否打穿防御 |
针对字段的常见误解需要纠正：系统标记“SQL注入”不等于攻击成功，它可能是安全工程师做合规检测时的正常流量，也可能是扫描器发出的无害探测，需要结合请求路径、响应码以及后续是否出现数据异常来综合判断，真正的有效攻击往往表现为长时间侦察后单次成功请求,且响应码从403跳变为200。
按攻击类型分类解读，各有门道
单一攻击类型的日志好懂，但混合攻击报告需要拆开看,每类攻击的日志特征和解读逻辑差异很大。
SQL注入与XSS：看载荷，更看响应
这两类攻击日志解码后是明文的恶意代码片段,看点有两个：
- 载荷语义：“union select”、“sleep()”、“