H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6616)-6W101

36-日志

1 日志

1.1 日志概述

日志是设备在运行过程中输出的信息，通过查看日志，管理员可以实时了解网络中各种业务的运行状态，掌握设备上各个功能模块的运行情况。

1.1.1 日志的类型

日志功能记录并输出各种日志信息，分别是系统日志、控制日志、审计日志、安全日志和终端日志。详细分类如表1-1所示。

日志分类	日志名称	描述
系统日志	系统日志	系统状态，如接口up、down事件
系统日志	操作日志	系统操作信息，如对系统进行的命令操作
控制日志	应用控制日志	应用控制策略产生的日志
控制日志	恶意URL日志	访问恶意网站产生的日志
审计日志	访问网站日志	访问网站产生的日志
	IM聊天软件日志	IM 即时通讯信息产生的日志，如QQ、MSN等
	社区日志	网络社区，微博、论坛等产生的日志
	搜索引擎日志	搜索引擎产生的日志
	邮件日志	通过SMTP、IMAP、POP3收发邮件的信息
	文件传输日志	FTP等文件传输产生的日志
	娱乐/股票日志	娱乐股票等信息
	协议审计日志	基础协议审计产生的日志
	其它应用日志	其它类型的应用日志，如P2P、网银等使用
安全日志	入侵防御日志	入侵检测策略产生的日志
	安全防护日志	网络层攻击防护产生的日志
	病毒防护日志	病毒防护策略产生的日志
	WEB防护日志	WEB防护策略产生的日志
	行为模型日志	行为模型策略产生的日志
	防暴力破解日志	防暴力破解策略产生的日志
	弱密码防护日志	弱密码防护策略产生的日志
	非法外联防护日志	非法外联防护策略产生的日志
终端日志	共享接入日志	共享上网被惩罚阻断或限速的日志
	用户上下线日志	认证用户上下线的日志
	移动终端日志	移动终端接入的日志
	流量限额日志	用户流量限额策略产生的日志
	DDI终端用户日志	当开启DDI终端用户同步，DDI设备将终端上下线信息同步给设备后会产生DDI终端用户日志。
	用户自注册日志	本地Web认证启用自注册后，终端用户在自注册页面提交注册申请产生的日志，以及管理员对自注册申请进行审批产生的日志。
客户端日志	聊天日志	客户端审计开启聊天审计后，设备记录终端客户使用聊天工具聊天的日志。
	浏览器日志	客户端审计开启浏览器上网审计后，设备记录终端客户浏览网页的日志。
	邮件日志	客户端审计开启邮件审计后，设备记录终端客户使用邮件的日志。
	USB事件日志	客户端审计开启USB审计后，设备记录终端客户使用USB设备的日志。
	进程列表日志	启客户端审计开启进程列表审计后，设备记录终端PC进程列表的日志。
终端审计日志	光驱刻录日志	记录终端客户使用刻录机刻录文件的日志，可以展示刻录驱动器名称、刻录盘名称、文件大小以及文件下载。
	打印审计日志	记录终端客户使用打印的日志，可以展示终端客户的IP、MAC、打印时间、打印机名称、文件大小、文件名称、打印总页、打印分数以及文件下载。
	USB设备识别日志	记录终端客户对USB设备识别的日志，可以展示终端客户的IP、MAC、事件类型、插拔时间、设备描述信息、设备类别以及设备类型。
	蓝牙文件审计日志	记录终端客户使用蓝牙传输文件的日志，可以展示终端客户的IP、MAC、操作时间、文件名称、文件大小、操作类别以及文件下载。
	蓝牙配对改变日志	记录终端客户使用蓝牙配对的日志，可以展示终端客户的IP、MAC、变更时间、设备地址、设备名称、设备类型以及变更类型。
	网页浏览记录日志	记录终端客户浏览网页的日志，可以展示终端客户的IP、MAC、网页浏览时间、网页浏览URL、网站名称以及网页标题。
	论坛发帖记录日志	记录终端客户论坛发帖的日志，可以展示终端客户的IP、MAC、发帖时间、帖子URL、帖子标题、作者以及文件下载。
	邮件记录日志	记录终端客户邮件使用的日志，可以展示终端客户的IP、MAC、邮件接收/发送时间、邮件收发标志、邮件标题、邮件发送者、邮件接收者、邮件是否有附件、文件大小、文件名称、阅读标志以及文件下载。
	聊天记录日志	记录终端客户使用聊天工具聊天的日志，可以展示终端客户的IP、MAC、消息时间、聊天会话信息、聊天记录类型、聊天工具类型、文件名称、文件大小以及文件下载。
	应用程序使用日志	记录终端客户应用程序使用的日志，可以展示终端客户的IP、MAC、操作时间、日志类型、日志描述以及进程名称。
系统会话日志	系统会话日志	设备根据系统会话日志设定的匹配条件，记录系统产生会话的日志信息。

1.1.2 日志的等级

日志信息是根据日志信息的严重程度区分的，根据严重程度不同，日志的严重等级可以分为8级，日志的级别如表1-2所示。

表1-2 日志的级别

级别	级别号	描述
紧急（emergencies）	0	系统不可用信息
告警（alerts）	1	需要立即处理的信息，如设备收到攻击等
严重（critical）	2	危机的信息，如硬件出错
错误（errors）	3	错误信息
警告（warnings）	4	报警信息
通知（notifications）	5	非错误信息，但需要特殊处理
信息（informational）	6	通知信息
调试(debug)	7	一般作为模块内部调试信息用

1.1.3 日志信息输出

日志信息可以输出到不同的目的地，支持以下几种日志信息输出目的地，用户可以根据自己的需要指定。具体的日志输出如表1-3所示。

表1-3 日志信息输出

目的地	描述
server	系统可以将日志发向syslog服务器
local	默认情况下，系统将日志记录在本地数据库

1.2 配置日志服务器

通过配置日志服务器可以向指定的IP地址发送设备的日志信息，还可同时配置日志服务器接收日志信息的端口号（该值需要和日志服务器的设置一致，缺省为514）。如果设备侧配置的日志服务器接收日志信息的端口号与日志服务器侧不一致，则日志服务器将无法接收日志信息。

可以指定多个不同服务器同时接收设备产生的日志信息。最多可指定3个。

点击“系统管理 > 系统设定 > 日志设定 > 日志服务器”，进入日志服务器的配置页面，如图1-1所示。

图1-1 日志服务器配置

日志服务器的详细配置表如表1-4所示：

表1-4 日志服务器的详细配置

配置项	说明
启用	开启或关闭日志服务器。如关闭，日志将存储在设备的本地硬盘。
服务器配置	最多可设置三台服务器。
IP地址	设置日志服务器的IP地址，支持IPv4及IPv6地址。
蝶式交换算法	勾选复选框加密日志，防止传输过程中出现信息泄露。日志加密功能需结合第三方数据中心，发送给标准日志服务器时无需启用。
端口	日志服务器的端口号。
发送接口	指定日志从设备发送到syslog服务器使用的接口。
源地址	设置日志的源IP地址。如无特殊需求，请勿设置此选项，系统将自动选择。在配置有VPN的情况下，如需通过VPN隧道发送日志，可将源IP地址设置为隧道接口的IP地址。

1.3 配置日志过滤

日志过滤的功能是对已经产生的日志进行过滤，包括以下功能：

· 已经产生的日志是否记录在本地。

· 哪种级别以上的日志，发送给远端的日志服务器。

点击“系统管理 > 系统设定 > 日志设定 > 日志过滤”，进入日志过滤的配置页面，如图1-2所示：

图1-2 日志过滤配置

日志过滤的详细配置如下表所示：

表1-5 日志过滤详细配置

配置项	说明
探针日志	配置是否发送探针格式日志： · 不开启表示syslog日志按照非探针格式发送到日志服务器 · 开启表示syslog日志按照探针预定义格式发送到日志服务器缺省情况下，默认关闭探针日志，以非探针日志格式发送到日志服务器。
本地日志	配置是否记录本地日志
Server日志	配置日志是否发送到日志服务器 · 不发送表示不发送到日志服务器 · 发送，发送指定级别的日志到日志服务器，全部级别发送所有的日志到日志服务器缺省情况下，本地不记录会话日志和NAT，其它类型的日志本地会记录，对发送到远端的日志不做过滤

1.4 配置日志保存期限

选择“系统管理>系统设定>日志设定>日志保存期限”，可以设置日志保存的期限。

图1-3 日志保存期限设定

1.5 系统会话日志设定

在菜单栏选择“系统管理>系统设定>日志设定>会话日志设定”进入会话日志设定配置页面，勾选所要记录的会话日志类型，包括会话创建日志，会话结束日志、长连接会话日志及DNS会话日志；选择匹配条件，点击<提交>。

详细配置请参见下表。

配置项	说明
会话创建日志	勾选后记录会话创建日志。
会话结束日志	勾选后记录会话结束日志。
长连接会话日志	勾选后记录长连接会话日志。
长连接会话日志间隔	设置记录长连接会话日志的时间间隔，取值范围是1-60分钟，默认是5分钟。
DNS会话日志	勾选后记录DNS会话日志。
匹配条件	设置会话日志的匹配条件，根据匹配条件记录会话日志数据。匹配条件可以为源地址/端口、目的地址/端口及协议类型。协议类型可以选择TCP、UDP、ICMP、ICMP6、IGMP等。

系统会话日志一般数量很大，易达到日志性能瓶颈，请配置条件记录所关注的会话日志。

1.6 日志信息查询

1.6.1 系统日志

系统日志记录系统的状态信息，比如接口的up/ down、管理的登录、退出等。点击“数据中心 > 日志中心 > 系统日志”，进入系统日志的查询界面，如图1-4所示。

图1-4 系统日志查询页面

1.6.2 操作日志

操作日志记录着管理员对系统的操作，比如操作管理员、操作员IP、操作详细信息等。点击“数据中心 > 日志中心 > 操作日志”，进入操作日志的查询界面，如图1-5所示。

图1-5 操作日志查询界面

1.6.3 控制日志查询

1. 应用控制日志

应用控制日志记录着应用控制策略产生的日志。通过“策略配置 > 控制策略”，创建“应用过滤”或者“URL控制”策略，且在“系统管理 > 系统设定 > 日志设定 > 日志过滤”中，配置发送或记录“应用控制日志”。当通过设备的流量匹配到应用控制策略时，将会产生应用控制日志信息。详细配置请参见“控制策略”章节。

点击“数据中心 > 日志中心 > 控制日志 > 应用控制日志”，进入应用控制日志的查询界面，如图1-6所示。

图1-6 应用控制日志查询页面

点击对应应用控制日志的<详细>按钮，可以查看日志的详细信息，如图1-7所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-7 应用控制日志详情

点击<查询>按钮，可以查看根据设定的条件，查询关心的日志。

2. 恶意URL日志

恶意URL日志记录着访问恶意网站的信息，包括用户IP、MAC，访问的源地址、目的地址、网站名称、URL名称以及用户的终端信息等。通过“策略配置 > 控制策略”，创建“恶意URL”过滤策略，且在“系统管理 > 系统设定 > 日志设定 > 日志过滤”中，配置发送或记录“恶意URL日志”。当通过设备的流量匹配到恶意URL策略时，将会产生应用控制日志信息。

点击“数据中心 > 日志中心 > 控制日志 > 恶意URL日志”，进入恶意URL的查询界面，如图1-8所示。

图1-8 恶意URL日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

1.6.4 审计日志查询

审计日志主要记录用户访问各种网站的应用情况。根据应用类型的不同，将应用审计日志分为访问网站日志、IM聊天软件日志、社区日志、搜索引擎日志、邮件日志、文件传输日志、娱乐/股票日志、协议审计日志以及其他应用日志。

通过“策略配置 > 审计策略”，创建审计策略，通过“系统管理 >日志设定>日志过滤”，在“上网行为日志”中，配置记录或发送的审计日志类别。当通过设备的流量匹配到审计策略时，根据访问网站的应用类型，产生对应的审计日志信息。详细配置请参见“审计策略”章节。

1. 访问网站日志

访问网站日志记录用户访问合法网站的信息，包括访问网站的URL的分类、链接、标题、时间，以及用户的IP、MAC等信息。

点击“数据中心 > 日志中心 > 审计日志 > 访问网站日志”，进入访问网站日志的查询界面，如图1-9所示。

图1-9 访问网站日志查询页面

点击对应访问网站日志的<详细>按钮，可以查看日志的详细信息，如图1-10所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-10 访问网站日志详情

点击<查询>按钮之后，可以查询符合设置条件的日志。

2. IM聊天软件日志

IM聊天软件日志记录着IM聊天软件使用相关的信息，点击“数据中心 > 日志中心 > 审计日志 > IM聊天软件日志”，进入IM聊天软件日志的查询界面，如图1-11所示。

图1-11 IM聊天软件日志查询页面

点击对应IM聊天日志的<详细>按钮，可以查看日志的详细信息，如图1-12所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-12 IM聊天软件日志详情

点击<查询>按钮之后，可以查询符合设置的条件的日志。

3. 社区日志

社区日志记录着微博、BBS、博客等网络社区相关的信息，点击“数据中心 > 日志中心 > 审计日志 > 社区日志”，进入社区日志的查询界面，如图1-13所示。

图1-13 社区日志查询页面

点击对应社区日志的<详细>按钮，可以查看日志的详细信息，如图1-14所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-14 社区日志详情

4. 搜索引擎日志

搜索引擎日志记录着搜索引擎使用的信息，点击“数据中心 > 日志中心 > 审计日志 > 搜索引擎日志”，进入搜索引擎日志的查询界面，如图1-15所示。

图1-15 搜索引擎日志查询页面

点击对应日志的<详细>按钮，可以查看日志的详细信息，如图1-16所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-16 搜索引擎日志详情

5. 邮件日志

邮件日志记录通过SMTP、IMAP、POP3收发邮件的信息，点击“数据中心 > 日志中心 > 审计日志 > 邮件日志”，进入邮件日志的查询界面，如图1-17所示。

图1-17 邮件日志查询页面

6. 文件传输日志

命令日志记录网盘和FTP、telnet使用的信息，点击“数据中心 > 日志中心 > 审计日志 > 文件传输日志”，进入文件传输日志的查询界面，如图1-18所示。

图1-18 文件传输日志查询页面

点击对应日志的<详细>按钮，可以查看日志的详细信息，如图1-19所示。在日志详情的下方，点击<上一条>、<下一条>可以切换到上一条或下一条日志的详情界面。

图1-19 文件传输日志详情

7. 娱乐/股票日志

娱乐/股票日志记录用户上网娱乐信息，如看视频、玩在线游戏、听音乐、炒股等行为，点击“数据中心 > 日志中心 > 审计日志 > 娱乐/股票日志”，进入娱乐/股票日志的查询界面，如图1-20所示。

图1-20 娱乐/股票日志查询页面

8. 协议审计日志

协议审计日志记录基础网络协议的信息，如账号、文件名、命令操作等行为，点击“数据中心 > 日志中心 > 审计日志 >协议审计日志”，进入娱乐/股票日志的查询界面，如下图所示。

图1-21 娱乐/股票日志查询页面

9. 其它应用日志

其它应用日志是除了聊天软件、社区、邮件、搜索引擎、命令之外的应用审计日志，点击“数据中心 > 日志中心 > 审计日志 > 其它应用日志”，进入其它应用日志的查询界面，如图1-22所示。

图1-22 其它应用日志查询页面

1.6.5 安全日志查询

1. 入侵防御日志

(1) 入侵防御日志查询

入侵防御日志记录着针对网络的IPS攻击的日志。通过“策略配置 > 控制策略”，配置“入侵防御”策略，选择规则模板，并勾选相应选项；在“系统管理 > 系统设定 > 日志设定 > 日志过滤”中，配置发送或记录“安全日志 > IPS日志”。当通过设备的流量命中了配置的入侵防御策略，将会产生入侵日志信息。详细配置请参见“入侵防御”章节。

点击“数据中心 > 日志中心 > 安全日志 > 入侵防御日志”，进入入侵防御日志的查询界面，如图1-23所示。

图1-23 入侵防御日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

(2) 日志聚合

IPS入侵日志支持聚合，系统可将符合聚合规则（协议ID相同、特征规则ID相同）的日志信息进行聚合，从而减少日志数量，避免日志服务器接受冗余的日志信息。系统仅支持聚合由IPS功能所产生的日志信息。聚合的前提条件是特征规则ID、应用必须相同，然后根据聚合方式进行聚合。该功能默认为关闭状态。

点击“数据中心>日志中心>安全日志>入侵防御日志>日志聚合”进入日志聚合配置界面，可选择不聚合、按规则聚合、按源IP聚合、按目的IP聚合、按源目的IP聚合5种日志聚合方式。详细配置请参考“入侵防御”章节。

图1-24 日志聚合页面

表1-6 日志聚合参数说明

参数	说明
不聚合	默认不聚合。
按照规则聚合	是指一段时间之内相同规则ID、相同应用的事件只会产生一条日志。
按源IP聚合	是指一段时间之内相同源IP、相同规则ID、相同应用的事件只会产生一条日志。
按目的IP聚合	是指一段时间之内相同目的IP、相同规则ID、相同应用的事件只会产生一条日志。
按源目IP聚合	是指一段时间之内相同源IP、相同目的IP、相同规则ID、相同应用的事件只会产生一条日志。

(3) 告警规则

告警规则主要针对记录IPS攻击的日志按照匹配条件进行syslog或者邮件告警。点击“数据中心 > 日志中心 > 安全日志 > 入侵防御日志>告警规则”，点击“新建”按钮进入告警规则的配置界面，如图1-25所示。

图1-25 告警规则页面

表1-7 入侵检测告警规则界面详细说明

配置项	说明
新建	新建入侵检测告警规则
删除	删除入侵检测告警规则
清除	清除入侵检测告警规则命中次数统计及日志
启用	启用入侵检测告警规则
禁用	禁用入侵检测告警规则
状态	显示告警规则启用或禁用状态
规则名称	自定义的告警规则名称
事件类型	IPS事件类型
动作	IPS事件处理行为，包括允许和拒绝
告警方式	支持syslog和邮件两种告警方式
级别	根据严重程度的不同，日志分为以下几个级别： · 信息 · 通知 · 警告 · 告警
频率(秒)	告警检测的时间阈值
日志条数	告警检测的IPS日志条数阈值
命中次数	告警检测命中次数统计

2. 安全防护日志

安全防护日志记录着针对网络层攻击的安全防护产生的日志。在“策略配置 > 安全设置 > 安全防护”中，配置“ARP/ND攻击防护/异常包攻击防御/DOS攻击防护”，且在“系统管理> 系统设定 > 日志设定 > 日志过滤 > 安全日志”中，配置记录或发送对应的日志类别。当通过设备的流量命中了配置的安全防护策略，检测到网络攻击，将会产生对应的安全防护日志信息。详情请参见“安全防护”章节。

点击“数据中心 > 日志中心 > 安全日志 > 安全防护日志”，进入安全防护日志的查询界面，如图1-26所示。

图1-26 安全防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

3. 病毒防护日志

病毒防护日志记录着针对网络的AV攻击的日志。通过“策略配置 > 控制策略”，启用“病毒防护”策略，选择防护项目，并勾选“日志”；在“系统管理> 系统设定 > 日志设定 > 日志过滤”中，配置发送或记录“安全日志 > AV日志”。当通过设备的流量命中了配置的病毒防护策略，检测到病毒攻击，将会产生病毒防护日志信息。详情请参见“病毒防护”章节。

点击“数据中心 > 日志中心 > 安全日志 > 病毒防护日志”，进入病毒防护日志的查询界面，如图1-27所示。

图1-27 病毒防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

4. WEB防护日志

(1) 规则防护日志

WEB防护日志记录着针对网络的WEB攻击行为。点击“数据中心 > 日志中心 > 安全日志 > WEB防护日志”，进入WEB防护日志的查询界面，如图1-28所示。

图1-28 规则防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

(2) WEB高级防护日志

WEB高级防护日志记录着针对网络的高级防护攻击行为。点击“数据中心 > 日志中心 > 安全日志 > WEB防护日志>高级防护日志”，进入高级防护日志的查询界面，如图1-29所示。

图1-29 高级防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

5. 防暴力破解日志

防暴力破解日志记录着针对网络的防暴力破解攻击行为。点击“数据中心 > 日志中心 > 安全日志 > 防暴力破解日志”，进入防暴力破解日志的查询界面，如图1-30所示。

图1-30 防暴力破解日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

6. 弱密码防护日志

弱密码防护日志记录着针对网络的弱密码防护行为。点击“数据中心 > 日志中心 > 安全日志 > 弱密码防护日志”，进入弱密码防护日志的查询界面，如图1-31所示。

图1-31 弱密码防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

7. 行为模型日志

行为模型日志记录着针对网络的行为模型攻击行为。在“策略配置 > 安全设置 > 安全防护 > 行为模型”中，配置，开启DNS隧道检测，且勾选“日志”。当检测出来隧道攻击后，设备将会产生行为模型日志。详情请参见“安全防护”章节。

点击“数据中心 > 日志中心 > 安全日志 > 行为模型日志”，进入行为模型日志的查询界面，如图1-32所示。

图1-32 行为模型日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

8. 非法外联防护日志

非法外联防护日志记录着针对网络的非法外联防护攻击行为。点击“数据中心 > 日志中心 > 安全日志 >非法外联防护日志”，进入非法外联防护日志的查询界面，如图1-33所示。

图1-33 非法外联防护日志查询页面

点击<查询>按钮之后，可以查询符合设置条件的日志。

1.6.6 终端日志

1. 共享接入日志

通过“策略配置 > 共享接入管理”开启用户共享检测，并选择“发送日志”在“系统管理 > 系统设定 > 日志设定 > 日志过滤”中，配置发送“共享接入日志”。当设备检测到用户在PC启用共享上网功能，接入多个移动终端上网，达到共享接入移动终端阈值被阻断或限速时，将会产生对应的共享接入日志信息。详细配置请参见“共享接入管理”章节。

通过菜单“数据中心 > 日志中心 > 终端日志 > 共享接入日志”，进入如图1-34所示页面。在该页面上可以查看设备监控共享上网被惩罚阻断或限速的日志。

图1-34 共享接入日志