WAF 不會呼叫任何 API、不會送 webhook。它與整套架構的接點只有一個檔案：audit.log。本篇說明這個檔案什麼時候會多一行、一行裡有什麼、Vector 從裡面取哪些欄位變成平台事件、以及它每小時被輪替一次會有什麼後果。

一、什麼時候會寫一行

audit engine 設成 RelevantOnly，加上 SecAuditLogRelevantStatus "^(?:5|4(?!04))"，一筆交易只要符合下面任一條就會在 phase 5 寫入：

推論：正常流量在 audit.log 裡零紀錄。這份檔案天生就是告警清單，不是存取紀錄，所以 Vector 讀它時不需要「先篩掉正常請求」這一步。nginx 另有 access log（logging.conf.template 定義的 main 格式，多記一欄 real_ip 換算前的來源），但沒有任何程式在讀它，只用來在容器 log 裡除錯。

二、一行裡有哪幾段：ABCFHJZ

ModSecurity 的 audit log 以字母標示段落，SecAuditLogParts 決定記哪些。本安裝包記 A、B、C、F、H、J、Z，JSON 格式時它們會合併成一個 transaction 物件：

三、一行實例逐段解讀

下面是 2026-09-26 實測那筆 SQLi 探測的 audit.log，去識別化：直連來源改成 cloudflared 的 IP、Host 改成示範網域、補上走 Cloudflare 時會有的 CF-Connecting-IP，其餘欄位原樣。實際檔案是一行，這裡分段排版並加註解。

{"transaction": {
  "client_ip": "172.18.0.250",          // 直連 WAF 的對象。經 Cloudflare 時是 cloudflared 容器，
                                        // 不是攻擊者；Vector 據此決定要不要信下面的標頭
  "time_stamp": "Sat Sep 26 15:33:16 2026",   // 容器本地時間（UTC），非 ISO 格式；Vector 不用它
  "server_id": "407b8483…", "client_port": 33586,
  "host_ip": "172.18.0.7", "host_port": 8080, // WAF 容器自己的位址與埠
  "unique_id": "179043679631.558543",   // 這筆交易的 ID，Vector 放進 evidence.raw_log_ref.locator
  "is_interrupted": true,               // 真的被擋了
  "request": {
    "method": "GET", "http_version": "1.1",
    "hostname": "app.example.com",
    "uri": "/beakplatform/?id=1%27%20OR%201=1--",   // 未解碼的原始 URI
    "body": "",
    "headers": {
      "Host": "app.example.com",
      "User-Agent": "curl/8.5.0",
      "Accept": "*/*",
      "CF-Connecting-IP": "203.0.113.42",     // Cloudflare 寫的真實來源
      "X-Forwarded-For": "203.0.113.42",
      "Cf-Ipcountry": "TW"
    }
  },
  "response": {
    "http_code": 403,
    "headers": { "Content-Type": "text/html", "Server": "nginx", … }   // nginx 的 403，沒有後端標頭
  },
  "producer": {
    "modsecurity": "ModSecurity v3.0.16 (Linux)",
    "connector": "ModSecurity-nginx v1.0.4",
    "secrules_engine": "Enabled",          // DetectionOnly 時這裡會是 DetectionOnly
    "components": ["OWASP_CRS/4.25.1"]
  },
  "messages": [                            // 命中的規則，依命中順序
    { "message": "SQL Injection Attack Detected via libinjection",
      "details": {
        "ruleId": "942100", "severity": "2",           // 等級 2 = CRITICAL，+5 分
        "file": "/etc/modsecurity.d/owasp-crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf",
        "lineNumber": "…",
        "data": "Matched Data: s&1c found within ARGS:id: 1' OR 1=1--",   // libinjection 的指紋與命中的參數
        "match": "Matched \"Operator `DetectSQLi' with parameter `' against variable `ARGS:id' …",
        "tags": ["application-multi","language-multi","platform-multi","attack-sqli",
                 "paranoia-level/1","OWASP_CRS","OWASP_CRS/SQL-INJECTION","capec/1000/152/248/66"],
        "ver": "OWASP_CRS/4.25.1", "maturity": "0", "accuracy": "0" } },
    { "message": "Inbound Anomaly Score Exceeded (Total Score: 5)",
      "details": {
        "ruleId": "949110", "severity": "0",           // 等級 0 = EMERGENCY；這條是「評分後決定擋」
        "file": "…/REQUEST-949-BLOCKING-EVALUATION.conf",
        "data": "", "tags": ["anomaly-evaluation", "OWASP_CRS", …] } }
  ]
}}

四、Vector 怎麼把它變成平台事件

Vector 用 file source 尾隨 waf/log/audit*.log（主站與歡迎頁兩個檔），每讀到一行就 parse_json，經 modsec_with_alerts_only 過濾（有 messages 或 http_code ≥ 400 才留，實際上 RelevantOnly 已經保證了這件事），再由 ocsf_from_modsec 轉成平台契約的 OCSF 事件。對照表：

嚴重度對映（ModSecurity 沿用 syslog 等級，數字越小越嚴重；平台契約是 1 Low 到 4 Critical）：

五、過濾與封頂對 WAF 事件的實際效果

轉成 OCSF 之後分兩路：ClickHouse 拿全量，od-bridge 那一路要再過三道閘門。針對 WAF 事件：

封頂是丟棄，不是聚合。「平台上這個 IP 有 5 筆事件」的意思是至少 5 筆，真實數字要查 ClickHouse 的 events 表（source_system='coraza'）。做攻擊面統計時不要看案件數。

六、輪替：每小時一次，保留六小時

主機端 cron（/etc/cron.hourly/secstack-rotate-logs，由 install.sh 產生）每小時對 audit.log 與 audit-welcome.log 做 copy ＋ truncate：先複製成 audit.log.YYYYMMDD-HH，再把原檔清空。五分鐘後壓成 gz，超過 360 分鐘的刪除。用 copy ＋ truncate 而不是 rename 是因為 nginx 持有的 fd 要維持有效，且不依賴 logrotate 的降權機制。

七、常見的「這不是攻擊」