4分鐘閱讀

安全檢查監控指南

介紹如何在一個頁面中，按本組織範圍查看 secwatch 代理傳送的 SQL 注入檢測判定結果。

🛡️ 前往安全檢查監控頁面 →

本頁面說明

部署在客戶伺服器上的 secwatch 採集代理，從稽核日誌、WAF、CloudFront 日誌中挑出可疑事件並傳送到 giip Jev 閘道，閘道判定後儲存結果。本頁面僅按登入的本組織（csn）範圍按最新順序顯示這些判定結果。與本機 monitor.py 資料相同，但無需額外安裝，直接在 giip 網頁主控台查看。

存取權限: 級別 50（管理員）及以上。
不洩漏機密值: 查詢僅使用登入權杖，採集代理的認證金鑰不會出現在頁面上。

使用方法

查詢時段: 最近 1 小時 / 6 小時 / 24 小時 / 7 天。頁面僅顯示該時段的結果（滾動替換，不在瀏覽器累積）。
路由篩選: 全部 / 🔴 警報(alert) / 🟠 複核(review) / ⚪ 記錄(log)。
重新整理: 重新載入最新判定。

表格欄位說明

欄位	含義
時間	判定儲存的時間
採集器(LSsn)	傳送事件的採集代理識別碼
類型	事件類型 — `secevt_batch_audit`(稽核日誌)·`secevt_waf`(WAF)·`secevt_cf`(CloudFront)·`secevt_signal`(彙總訊號)
路由	🔴警報=立即處理 / 🟠複核=需人工確認 / ⚪記錄=判定正常·留存
嚴重度	攻擊的危險等級
攻擊類型	Jev 判定的攻擊類型(取值與含義見下方「攻擊類型取值」表)
標記	疑似注入·疑似資料外洩·寫入嘗試
信賴度	判定信賴度(0~100%)
引擎	`jev`=二次 Jev 判定 / `rule`=僅一次規則
原因	歸入該路由的依據

攻擊類型(attack type)取值

Jev 會把每個事件歸為以下 10 種之一。嚴重度(severity)按 0 雜訊 · 1 偵察/探測 · 2 列舉/讀取嘗試 · 3 讀取憑證/個人資訊 · 4 寫入/檔案/權限操作評分。

取值	名稱	含義
`recon_probe`	偵察·探測	在正式攻擊前試探「這裡能否注入」的早期探測。只是插入細小變形觀察反應，本身不會外洩或竄改資料，但是隨後可能發生真實攻擊的訊號(通常嚴重度 1)。
`boolean_blind`	真假盲注	輸出不可見時，利用條件真假導致回應不同，逐字(位)推斷資料。
`time_blind`	時間盲注	回應內容不可見時，注入 `SLEEP` 等延遲，用回應是否變慢來推斷真假。
`union_based`	UNION 聯合提取	用 `UNION SELECT` 把攻擊者想要的資料拼接到正常結果之後一次取出。
`error_based`	報錯注入	故意觸發 DB 報錯，使資料夾帶在錯誤訊息中洩漏。
`file_write`	檔案寫入	用 `INTO OUTFILE/DUMPFILE` 向伺服器寫檔案(如植入 WebShell，極其危險，通常嚴重度 4)。
`file_read`	檔案讀取	用 `LOAD_FILE` 讀取伺服器上的檔案。
`schema_enum`	結構列舉	透過 `information_schema` 等查探有哪些表/欄(偵察性質)。
`stacked_or_ddl`	堆疊查詢 / DDL	用分號拼接多條查詢，或嘗試 `DROP`、`ALTER` 等結構變更。
`benign`	非攻擊	判定為正常請求(作為依據留存)。

也就是說，recon_probe 表示「尚未竊取資料，但攻擊者正在試探弱點」。若同一採集器反覆出現 recon_probe，應視為真實攻擊的前兆，密切關注。

路由(routedTo)的含義

🔴警報(alert): 疑似資料外洩/寫入嘗試，或高信賴度攻擊。請立即確認。
🟠複核(review): 注入可能性模糊，需人工判斷。
⚪記錄(log): 判定為正常(作為依據留存)。平時大多屬於此類。

沒有資料時

若本組織尚無 secwatch 採集代理，或所選時段內沒有傳送事件，則為空。即使沒有可傳送的事件，採集代理也可能正常運行(運行狀態可在本機 monitor.py 查看)。
出現「拒絕存取」表示帳號級別低於 50。