关键不是直接对接Nginx日志原始流，而是将WAF攻击事件结构化打标后接入Prometheus或日志服务；主数据源应为云原生WAF（如阿里云WAF、EdgeOne）提供的攻击日志或预置指标，含攻击IP、规则ID、拦截类型等精准语义字段，Nginx日志仅作辅助验证与链路追踪。
要在 Grafana 中展示 Nginx 与云原生 WAF 协同下的实时 Web 攻击拦截分布，关键不是直接对接 Nginx 日志原始流，而是将攻击事件结构化、打标后接入 Prometheus 或日志服务，并通过 Grafana 可视化聚合维度。云原生场景下，WAF（如阿里云 WAF、EdgeOne）已内置攻击日志和指标体系，Nginx 更多作为边缘代理或回源节点，其日志需与 WAF 数据对齐才有分析价值。
确认数据来源优先级：WAF 日志 > Nginx 访问日志
云原生 WAF（如阿里云 WAF、Cloudflare EdgeOne）本身已记录完整攻击上下文：攻击 IP、规则 ID、拦截类型（SQLi/XSS/CC）、处置结果、域名、时间戳等。这些字段比 Nginx access_log 中的 $status 或 $remote_addr 更精准、更语义化。Nginx 日志仅含基础 HTTP 字段（如状态码 403），无法区分是 WAF 拦截、源站拒绝还是 Nginx 自身限流。因此：
- 主数据源应为 WAF 提供的攻击日志（支持 SQL 分析）或预置指标（如 attack_total{action="block",rule_type="sql_injection"}）
- Nginx 日志仅作辅助验证：例如比对 WAF 拦截 IP 是否在 Nginx 的 403 日志中高频出现，用于排查 WAF 未覆盖的漏拦场景
- 若使用自建 Nginx + ModSecurity，才需导出 ModSecurity audit log 并用 filebeat+Prometheus Exporter 转为指标
配置 Grafana 面板展示攻击拦截地理与类型分布
以阿里云 WAF + 日志服务（SLS）+ Grafana 为例（Grafana 通过阿里云日志服务插件接入）：
- 新建面板，数据源选「阿里云日志服务」，Logstore 选「waf-attack-log」
- 查询语句示例（展示近1小时拦截 Top5 国家及对应攻击类型）：
* | select region as 地区, rule_type as 攻击类型, count(*) as 拦截次数 group by region, rule_type order by 拦截次数 desc limit 20 - 可视化类型选「Geo Map」或「Pie Chart」；若用 Geo Map，需确保 region 字段为标准国家代码（如 CN、US），否则需用 case when 映射
- 添加变量（Variable）：创建「$domain」下拉变量，查询语句动态注入 domain: "$domain"，实现单域名钻取
利用 Prometheus 指标构建实时拦截速率看板
部分云 WAF 提供 Prometheus 兼容指标接口（如 /metrics 端点），或可通过 exporter 将日志服务中的攻击计数同步为 Prometheus 时序数据。核心指标建议：
- attack_blocked_total{domain, rule_type, action, region}：按域名、规则类型、地理位置聚合的拦截总数（Counter 类型）
- attack_blocked_rate5m{domain}：每5分钟拦截速率（用 rate(attack_blocked_total[5m]) 计算）
- 在 Grafana 中新建 Time Series 面板，PromQL 示例：
sum by (rule_type) (rate(attack_blocked_total{action="block"}[1m]))
可直观看到 SQL 注入、路径遍历、恶意扫描等类型的实时拦截频率变化 - 叠加告警：当 rate(attack_blocked_total{rule_type="cc_attack"}[1m]) > 100 持续2分钟，触发 CC 攻击突增告警
补充：Nginx 日志如何有限参与可观测性
若必须纳入 Nginx，推荐轻量级方案而非全量解析：
- 在 Nginx 配置中增加 log_format，显式标记 WAF 处置结果：
log_format waf_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$upstream_http_x_waf_action" "$upstream_http_x_waf_ruleid";
其中 x_waf_action 由 WAF 回源响应头注入（如 block/observe/pass） - 用 fluent-bit 或 filebeat 将该日志采集至日志服务，再与 WAF 原始攻击日志做 JOIN 分析（如：找出被 WAF 放行但 Nginx 层 403 的异常请求）
- 避免在 Grafana 直接渲染原始 Nginx 日志——它缺乏攻击语义，易造成误判；只用于交叉验证和链路追踪
