如何设置Web 日志审计？
美国、香港服务器
如何设置Web 日志审计？
06-30 来源:
Web 日志安全审计完整配置（Nginx 为主、Apache 为辅，满足等保 + 攻击溯源）
一、审计日志必须记录的核心字段（缺一不可）
精确时间（毫秒级、标准时区）
真实客户端 IP（经过 CDN / 反向代理必须获取真实 IP）
HTTP 请求方法、完整 URL（含 GET 参数）
HTTP 响应状态码、返回数据大小
请求来源 Referer、客户端 UA（判断爬虫、扫描器）
请求耗时、SSL 加密协议信息
登录用户、Cookie、授权头（用于操作行为溯源）
二、Nginx 安全审计日志配置（最常用）
1. 修改 Nginx 主配置 nginx.conf，在http{}内添加审计日志格式
方案 1：分隔符结构化格式（适合人工排查攻击）
nginx
http {
# 安全审计日志格式
log_format audit_log
"$time_iso8601|$realip_remote_addr|$http_x_forwarded_for|$remote_user|"
"$host|"$request_method $request_uri $server_protocol"|"
"$status|$body_bytes_sent|$request_time|$upstream_response_time|"
""$http_referer"|"$http_user_agent"|$ssl_protocol|$ssl_cipher";
# 开启错误日志，记录报错、注入异常
error_log /var/log/nginx/error.log warn;
# 开启真实IP模块（CDN/反向代理必备，拿到用户真实IP）
real_ip_header X-Forwarded-For;
# 填写CDN回源IP段，只信任代理传递的IP，防止伪造
set_real_ip_from 103.21.244.0/22;
}
方案 2：JSON 格式（推荐，适配 ELK、日志分析工具）
nginx
log_format json_audit escape=json "{"
""timestamp":"$time_iso8601","
""client_ip":"$realip_remote_addr","
""proxy_ip":"$http_x_forwarded_for","
""domain":"$host","
""request":"$request","
""status":$status,"
""body_size":$body_bytes_sent,"
""cost_time":$request_time,"
""referer":"$http_referer","
""ua":"$http_user_agent","
""ssl_proto":"$ssl_protocol""
"}";
2. 站点虚拟主机启用审计日志
nginx
server {
listen 80;
server_name www.xxx.com;
# 独立站点审计日志，避免多站点日志混杂无法排查
access_log /var/log/nginx/www_xxx_access.log audit_log;
error_log /var/log/nginx/www_xxx_error.log;
}
3. 配置校验 + 重载生效
bash
运行
# 检查配置语法
nginx -t
# 平滑重载
systemctl reload nginx
4. CDN 环境下必须配置真实 IP（否则日志全是 CDN 节点 IP，无法溯源）
在http{}块添加 Cloudflare / 阿里云 CDN 回源 IP 白名单：
nginx
real_ip_header X-Forwarded-For;
# Cloudflare回源IPv4网段
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
三、Apache 安全审计日志配置
1. 自定义审计日志格式
apache
LogFormat "%t %h %{X-Forwarded-For}i %u \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %D %{SSL_PROTOCOL}x" audit_secure
2. 虚拟主机绑定日志
apache
ServerName www.xxx.com
ErrorLog /var/log/apache2/www_error.log
CustomLog /var/log/apache2/www_access.log audit_secure
3. 重载生效
bash
运行
apachectl configtest
systemctl reload apache2
四、日志轮转配置（防止日志打满磁盘，合规留存 90 天）
编辑 /etc/logrotate.d/nginx
conf
/var/log/nginx/*.log {
daily
rotate 90
missingok
compress
delaycompress
notifempty
create 640 nginx adm
sharedscripts
postrotate
[ -f /usr/sbin/nginx ] && kill -USR1 $(cat /run/nginx.pid)
endscript
}
daily：按天切割
rotate 90：日志保留 90 天（等保最低要求）
compress：压缩归档节省磁盘
手动执行轮转测试：
bash
运行
logrotate -f /etc/logrotate.d/nginx
五、Web 日志安全审计常用排查命令（攻击溯源）
1. 统计高频访问 IP（CC、端口扫描）
bash
运行
awk -F"|" "{print $2}" /var/log/nginx/www_xxx_access.log | sort | uniq -c | sort -nr | head -20
2. 查找 404、401、403 异常扫描请求
bash
运行
grep -E "" 404 |" 401 |" 403 " /var/log/nginx/www_xxx_access.log
3. 查找 POST 请求（WebShell、注入、暴力登录）
bash
运行
grep ""POST" /var/log/nginx/www_xxx_access.log
4. 扫描一句话木马特征 URL
bash
运行
grep -E "eval|base64|cmd|shell|phpinfo" /var/log/nginx/www_xxx_access.log
5. 按时间段查询日志
bash
运行
grep "2026-06-30T10" /var/log/nginx/www_xxx_access.log
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
