安全分析

安全分析会展示您的域名所有入站 HTTP 请求的信息，包含未被 Cloudflare 安全产品处理的请求，因此您可以看到完整流量画像，而不只查看触发安全规则的请求。

默认情况下，安全分析显示来自终端用户的请求（即直接访问您站点的请求）。由 Cloudflare 产品产生的子请求不会被包含。

您可以在安全分析仪表板中：

• 查看域名的流量分布。
• 了解哪些流量被 Cloudflare 安全产品处理（mitigated），以及未处理流量来自 Cloudflare 全球网络还是 源站 ↗。
• 分析可疑流量，并基于筛选结果创建定制化 WAF 自定义规则。
• 结合真实流量查看 Cloudflare 安全评分，包括 攻击评分、bot 评分、恶意文件上传 与 泄露凭据 结果。
• 为入站流量寻找合适的速率限制。
• 分析可疑流量（仅 新版安全仪表板）。

安全分析显示所有请求，不论 Cloudflare 是否处理。若您只关心已被处理或标记的请求，请参考 安全事件。

区域/域级别的分析对所有计划均可使用，但保留期限、查询窗口、展示统计与可用筛选项会按计划不同而异。账号级分析仅对 Business 与 Enterprise 域计划开放。

使用安全分析：

可通过手动输入筛选条件来缩小分析范围，也可选择 Filter（筛选） 或 Exclude（排除） 按字段值筛选。相应按钮会在悬停分析图例时显示。

手动添加筛选条件：

输入筛选值时请注意：

• 不要给值添加引号。
• 不要在 ASN 号前加 AS 前缀。例如应输入 1423 而非 AS1423。
• 不支持通配符。

从 Last 24 hours（最近 24 小时） 下拉列表中选择要分析的时间范围。

在安全分析中基于当前筛选条件创建 自定义规则，可选择主图表上方的 Create custom security rule（创建安全自定义规则）。

新版安全仪表板 与旧版仪表板的安全分析页面布局有差异，包括主区域顺序。

可疑活动区显示 Cloudflare 已启用检测规则识别出的可疑请求。支持的检测包括：

• 账户接管
• 泄露凭据检测（仅用户和密码泄露场景）
• 恶意上传
• WAF 攻击评分
• AI Security for Apps

每条可疑活动都有严重性分级，范围从 critical（严重） 到 low（低）。您可使用筛选进一步深入分析。

主图表根据所选标签页显示以下数据：

• Traffic analysis（流量分析）：按以下分类展示 Cloudflare 安全平台处理、由 Cloudflare 提供、以及由源站返回的流量：

  • Mitigated by WAF（已缓解）：被 WAF、HTTP DDoS 等应用安全产品阻断或挑战的请求。带有 Log、Skip 或 Allow 的 动作不计入缓解请求。
  • Served by Cloudflare（由 Cloudflare 服务）：由 Cloudflare 全球网络服务的请求，例如缓存内容和重定向。
  • Served by origin（由源站服务）：由源站返回的请求。

• Attack analysis（攻击分析）：对入站请求进行 WAF 攻击评分 分析，分类为 Clean（正常）、Likely clean（可能正常）、Likely attack（疑似攻击）、Attack（攻击）。

• Bot 分析（Bot analysis）：对入站请求进行 Bot score 分析，分类为 Automated（自动化）、Likely automated（可能自动化）、Likely human（可能真人）、Verified bot（已验证 bot）。

• Request rate analysis（请求速率分析）：展示符合筛选和时间范围条件的请求速率。用于为入站流量设定合适的 速率限制。

• Cloudy 分析（Cloudy analysis）（测试中）：使用自然语言查询您的数据，获取应用安全洞察。更多信息请见 相关博客文章 ↗。

该区域展示入站请求的重点统计项，突出在安全分析中常用的属性。

您可以在每个值旁边选择 Filter（筛选） 或 Exclude（排除） 进行筛选。

要查看更多重点统计，请选择 View more top statistics（查看更多重点统计）。

洞察（Insights）提供常用筛选项的统计信息，但不会立即应用到当前数据。

如您在某些洞察中看到异常高的值，通常说明存在一组可疑请求，值得深入排查。此外，这些洞察也可作为仪表板筛选的起点。

要将某个洞察的筛选应用到当前数据，请选择其旁边的 Filter（筛选）。

Attack analysis（攻击分析）、Bot 分析（Bot analysis）、Malicious uploads（恶意上传） 与 Account abuse detection（账户滥用检测） 区域展示入站请求在所选时间窗内的安全评分统计：

• Attack analysis（攻击分析）：基于 WAF 攻击评分 按请求恶意概率分类。
• Bot 分析（Bot analysis）：基于 bot 评分 按请求自动化概率分类。
• Malicious uploads（恶意上传）：基于 WAF 内容扫描 评分识别请求中可能恶意上传的内容。
• Account abuse detection（账户滥用检测）：基于 泄露凭据检测 识别使用已泄露凭据的登录尝试。该部分所有计划均可访问 Leaked credential check（泄露凭据检测）。如有泄露凭据的处理建议，请参见 示例缓解规则。

您可以按当前指标（攻击评分、bot 评分或内容扫描）检查不同流量分段。通过流量图下方按钮可应用分段筛选，例如在 Attack analysis（攻击分析） 下选择 Likely attack（疑似攻击），会筛选出 WAF 攻击评分介于 21～50 的请求。

另外，您还可以使用图下方滑块，按当前指标对请求进行动态筛选，覆盖固定分段定义的范围外数据。

安全分析展示所选时间窗与筛选条件下的请求日志，并附带对应的安全分析详情。

默认情况下，安全分析使用采样日志（返回流量子集而非每条请求）。采样可在高流量场景下在秒级返回结果。若您开通了 Log Explorer，也可查看原始日志。

该区域提供所选时间窗内单条（采样的）请求的详细日志。

展示的信息包括：

• 请求应用的缓解动作
• 缓存状态
• 源站返回给 Cloudflare 的状态码（缓存未命中时）
• Cloudflare 返回给客户端的状态码
• 请求的安全评分（攻击评分、bot 评分、上传内容扫描）
• 请求属性

做取证分析时，您可能会缩小到极短时间窗并叠加多个筛选，以定位某一批特定请求。此时通常需要完整请求列表，而不仅仅是样本。

默认情况下，安全分析根据当前筛选条件显示采样日志；在满足一定条件时可切换为 Raw logs（原始日志）。目前该视图仅在安全分析页面展示的采样日志数低于 100 时可用。

要从采样日志切换为原始日志，请在 Sampled logs（采样日志） 下选择 Switch to raw logs（切换到原始日志）。该选项仅在选定时间窗采样日志数量低于 100 时可见。

要从原始日志切回采样日志，请选择 Switch back to sampled logs（切换回采样日志）。

可切换到 Log Explorer，在安全分析中使用相同筛选继续深入分析。安全分析的原始日志与 Log Explorer 的数据源一致。

安全分析仪表板使用 采样数据，但显示原始日志时除外。

通过 GraphQL Analytics API 查询安全分析数据时，主要底层数据集为 httpRequestsAdaptiveGroups 与 httpRequestsAdaptive。更多信息请见 数据集（表）。

支持安全分析的数据集在历史保留时长与最大查询窗口上，与支持 安全事件 的数据集不同。

下表展示不同 Cloudflare 计划的限制：