安全检查监控指南
介绍如何在一个页面中，按本组织范围查看 secwatch 代理发送的 SQL 注入检测判定结果。
本页面说明
部署在客户服务器上的 secwatch 采集代理，从审计日志、WAF、CloudFront 日志中挑出可疑事件并发送到 giip Jev 网关，网关判定后保存结果。本页面仅按登录的本组织（csn）范围按最新顺序显示这些判定结果。与本地 monitor.py 数据相同，但无需额外安装，直接在 giip 网页控制台查看。
- 访问权限: 级别 50（管理员）及以上。
- 不泄露机密值: 查询仅使用登录令牌，采集代理的认证密钥不会出现在页面上。
使用方法
- 查询时段: 最近 1 小时 / 6 小时 / 24 小时 / 7 天。页面仅显示该时段的结果（滚动替换，不在浏览器累积）。
- 路由筛选: 全部 / 🔴 警报(alert) / 🟠 复核(review) / ⚪ 记录(log)。
- 刷新: 重新加载最新判定。
表格列说明
| 列 | 含义 |
|---|---|
| 时间 | 判定保存的时间 |
| 采集器(LSsn) | 发送事件的采集代理标识 |
| 类型 | 事件类型 — secevt_batch_audit(审计日志)·secevt_waf(WAF)·secevt_cf(CloudFront)·secevt_signal(聚合信号) |
| 路由 | 🔴警报=立即处理 / 🟠复核=需人工确认 / ⚪记录=判定正常·留存 |
| 严重度 | 攻击的危险等级 |
| 攻击类型 | Jev 判定的攻击类型(取值与含义见下方"攻击类型取值"表) |
| 标记 | 疑似注入·疑似数据外泄·写入尝试 |
| 置信度 | 判定置信度(0~100%) |
| 引擎 | jev=二次 Jev 判定 / rule=仅一次规则 |
| 原因 | 归入该路由的依据 |
攻击类型(attack type)取值
Jev 会把每个事件归为以下 10 种之一。严重度(severity)按 0 噪声 · 1 侦察/探测 · 2 枚举/读取尝试 · 3 读取凭据/个人信息 · 4 写入/文件/权限操作 评分。
| 取值 | 名称 | 含义 |
|---|---|---|
recon_probe | 侦察·探测 | 在正式攻击前试探"这里能否注入"的早期探测。只是插入细小变形观察反应，本身不会外泄或篡改数据，但是随后可能发生真实攻击的信号(通常严重度 1)。 |
boolean_blind | 真假盲注 | 输出不可见时，利用条件真假导致响应不同，逐字(位)推断数据。 |
time_blind | 时间盲注 | 响应内容不可见时，注入 SLEEP 等延迟，用响应是否变慢来推断真假。 |
union_based | UNION 联合提取 | 用 UNION SELECT 把攻击者想要的数据拼接到正常结果之后一次性取出。 |
error_based | 报错注入 | 故意触发 DB 报错，使数据夹带在错误信息中泄露。 |
file_write | 文件写入 | 用 INTO OUTFILE/DUMPFILE 向服务器写文件(如植入 WebShell，极其危险，通常严重度 4)。 |
file_read | 文件读取 | 用 LOAD_FILE 读取服务器上的文件。 |
schema_enum | 结构枚举 | 通过 information_schema 等查探有哪些表/列(侦察性质)。 |
stacked_or_ddl | 堆叠查询 / DDL | 用分号拼接多条查询，或尝试 DROP、ALTER 等结构变更。 |
benign | 非攻击 | 判定为正常请求(作为依据留存)。 |
也就是说，
recon_probe表示"尚未窃取数据，但攻击者正在试探弱点"。若同一采集器反复出现recon_probe，应视为真实攻击的前兆，密切关注。
路由(routedTo)的含义
- 🔴警报(alert): 疑似数据外泄/写入尝试，或高置信度攻击。请立即确认。
- 🟠复核(review): 注入可能性模糊，需人工判断。
- ⚪记录(log): 判定为正常(作为依据留存)。平时大多属于此类。
没有数据时
- 若本组织尚无 secwatch 采集代理，或所选时段内没有发送事件，则为空。即使没有可发送的事件，采集代理也可能在正常运行(运行状态可在本地
monitor.py查看)。 - 出现"拒绝访问"表示账号级别低于 50。
相关
- 采集代理安装/运维: secwatch 代理(giip-fde-agent)运维指南。
- 判定/存储/留存规范:
SPEC_JEV_SQLI_DETECTION。