日志说明

存储路径

OpenRASP 默认会开启文件日志,存储路径如下:

  • Java 版本: <app_home>/rasp/logs/alarm/*.log*

  • PHP 版本: <openrasp_rootdir>/logs/alarm/*.log

值得注意的是,Java 版本当前的报警没有日期,只有日志滚动之后才会有日期,e.g

/tomcat/rasp/logs/alarm/alarm.log
/tomcat/rasp/logs/alarm/alarm.log.2018-12-04
...

对于 PHP 版本,报警日志总是会带有日期,e.g

/opt/rasp/logs/alarm/alarm.log.2018-12-16

不过,由于 PHP 本身的限制,有些日志还是会打印到 PHP 错误日志里,比如 INI 配置错误。

日志类型

OpenRASP 包含四类日志,

文件名
文件内容

plugin/plugin-DATE.log

检测插件的日志,e.g 插件异常、插件调试输出

rasp/rasp-DATE.log

rasp agent 调试日志

alarm/alarm-DATE.log

攻击报警日志,JSON 格式,一行一个

policy_alarm/policy_alarm-DATE.log

安全基线检查报警日志,JSON 格式,一行一个

日志格式

1. 攻击日志格式

当发生攻击事件时,OpenRASP 将会记录以下信息,

字段
说明

rasp_id

RASP agent id

app_id

应用ID

app_name

应用名称

event_type

日志类型,固定为 attack 字样

event_time

事件发生时间

event_level

漏洞级别,范围是 critical/high/medium/low

request_id

当前请求ID

request_method

请求方法

intercept_state

拦截状态

attack_source

攻击来源 IP

target

被攻击目标域名

server_hostname

被攻击的服务器主机名

server_ip

被攻击目标 IP

server_type

应用服务器类型

server_version

应用服务器版本

path

当前URL,不包含参数

url

当前URL,包含完整GET参数

attack_type

攻击类型

attack_params

攻击参数,包含hook点参数、堆栈等等

attack_source

请求来源

client_ip

客户端真实IP地址,请参考 其他配置选项 进行配置

plugin_name

报告攻击插件名称

plugin_confidence

检测结果可靠性,插件返回

plugin_message

检测结果信息

plugin_algorithm

插件检测算法

header

请求header信息

stack_md5

当前堆栈MD5

body

当前请求的body,如果有

一个完整的 JSON 日志样例如下:

2. 安全基线检查日志

当检测到不符合安全规范的配置时,OpenRASP 将会记录以下信息:

字段
说明

event_type

日志类型,固定为 security_policy 字样

event_time

事件发生时间

server_hostname

服务器主机名

server_nic

服务器IP

server_type

应用服务器类型

server_version

应用服务器版本

policy_id

匹配的策略编号

policy_params

基线报警额外参数,比如 PID

message

不符合规范的配置说明

stack_trace

当前调用堆栈,某些情况可能为空

一个完整的 JSON 日志样例如下:

3. 应用行为日志

当你在管理后台 -> 防护设置里,开启 打印「行为日志」,仅用于调试,请勿在线上开启 后,我们会在 plugin.log 里打印应用的行为日志,样例如下:

Last updated