Abfrage nach blockierten Anfragen oder Adressen - Amazon Athena

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Abfrage nach blockierten Anfragen oder Adressen

Die Beispiele in diesem Abschnitt fragen nach blockierten Anfragen oder Adressen ab.

Beispiel
– Extrahiert die Top-100-IP-Adressen, die von einem angegebenen Regeltyp blockiert werden

Die folgende Abfrage extrahiert und zählt die 100 häufigsten IP-Adressen, die während des angegebenen Datumsbereichs durch die RATE_BASED-Beendigungsregel blockiert wurden.

SELECT COUNT(httpRequest.clientIp) as count,
httpRequest.clientIp
FROM waf_logs
WHERE terminatingruletype='RATE_BASED' AND action='BLOCK' and "date" >= '2021/03/01'
AND "date" < '2021/03/31'
GROUP BY httpRequest.clientIp
ORDER BY count DESC
LIMIT 100
Beispiel
– Zählt, wie oft eine Anfrage aus einem bestimmten Land blockiert wurde

Die folgende Abfrage zählt, wie oft die Anforderung von einer IP-Adresse angekommen ist, die zu Irland (IE) gehört und von der RATE_BASED-Beendigungsregel gesperrt wurde.

SELECT 
  COUNT(httpRequest.country) as count, 
  httpRequest.country 
FROM waf_logs
WHERE 
  terminatingruletype='RATE_BASED' AND 
  httpRequest.country='IE'
GROUP BY httpRequest.country
ORDER BY count
LIMIT 100;
Beispiel
– Zählt, wie oft eine Anforderung blockiert wurde, gruppiert nach bestimmten Attributen

Die folgende Abfrage zählt, wie oft die Anforderung blockiert wurde, wobei die Ergebnisse nach Web ACL RuleId, ClientIP und HTTP Anfrage gruppiert sind. URI

SELECT 
  COUNT(*) AS count,
  webaclid,
  terminatingruleid,
  httprequest.clientip,
  httprequest.uri
FROM waf_logs
WHERE action='BLOCK'
GROUP BY webaclid, terminatingruleid, httprequest.clientip, httprequest.uri
ORDER BY count DESC
LIMIT 100;
Beispiel
– Zählt, wie oft eine bestimmte beendende Regel-ID abgeglichen wurde

Die folgende Abfrage zählt, wie oft eine bestimmte Beendigungsregel-ID vorkam (WHERE terminatingruleid='e9dd190d-7a43-4c06-bcea-409613d9506e'). Die Abfrage gruppiert dann die Ergebnisse nach WebACL, Action, ClientIP und HTTP Request. URI

SELECT 
  COUNT(*) AS count,
  webaclid,
  action,
  httprequest.clientip,
  httprequest.uri
FROM waf_logs
WHERE terminatingruleid='e9dd190d-7a43-4c06-bcea-409613d9506e'
GROUP BY webaclid, action, httprequest.clientip, httprequest.uri
ORDER BY count DESC
LIMIT 100;
Beispiel
– Abrufen der Top-100-IP-Adressen, die während eines angegebenen Datumsbereichs blockiert wurden

Die folgende Abfrage extrahiert die Top-100-IP-Adressen, die für einen angegebenen Datumsbereich gesperrt wurden. Die Abfrage listet auch auf, wie oft die IP-Adressen gesperrt wurden.

SELECT "httprequest"."clientip", "count"(*) "ipcount", "httprequest"."country"
FROM waf_logs
WHERE "action" = 'BLOCK' and "date" >= '2021/03/01'
AND "date" < '2021/03/31'
GROUP BY "httprequest"."clientip", "httprequest"."country"
ORDER BY "ipcount" DESC limit 100