负载均衡器：查看被特定Cloud Armor WAF规则拦截的流量详情

一、查看HTTPS请求内容 #

• 负载均衡器默认日志不记录完整请求体，需调整日志配置：将负载均衡器的日志级别设为详细，这样日志会包含请求头、请求体等完整内容。注意：记录请求体可能涉及敏感数据，需确保符合合规要求，使用后可根据需求调回原有级别。
• 利用请求ID关联日志：Cloud Armor日志和负载均衡器日志会共享请求ID，通过该ID可以将拦截记录和对应的完整请求内容匹配起来，定位被拦截的具体请求细节。

二、定位具体拦截原因 #

• 查看规则本身的匹配逻辑：
  • 自定义规则：直接查看后端安全策略中规则的配置，比如是否匹配特定正则表达式、请求参数、HTTP头或请求路径等。
  • 预定义规则集（如OWASP核心规则集）：每个规则ID对应明确的攻击类别（如SQL注入、XSS跨站脚本等），可通过规则ID查询对应的规则描述，了解触发逻辑。
• 开启规则匹配详情日志：在Cloud Armor后端安全策略的日志设置中，启用规则匹配细节记录，日志会明确标注触发规则的具体请求字段（比如请求中的某个参数、URL路径片段或请求头内容）。
• 命令行查看策略细节：使用gcloud compute security-policies describe [你的策略名称] --format=yaml命令，导出完整的策略规则配置，逐一核对被拦截请求与规则条件的匹配点。
• 模拟请求复现：用curl等工具模拟被拦截的请求，结合详细日志输出，对比规则条件快速定位触发点。

内容的提问来源于stack exchange，提问作者philMarius