mod_log_forensic 是 apache 中专为法证分析设计的模块，以固定双行结构（+/-）记录请求快照并生成 forensic-id，用于安全审计与攻击溯源；需手动加载、单独配置 forensiclog，不可与 customlog 混用，日志无时间戳但可联动 access_log/error_log 分析，配合 check_forensic 验证完整性。

mod_log_forensic 是 Apache 中专为法证分析设计的模块，它不替代常规访问日志，而是以严格、不可篡改的方式记录每个请求的“前后快照”，适用于安全审计、攻击溯源和异常行为复现等高要求场景。

启用与基础配置要点

该模块默认不启用，需手动加载并配置。关键操作如下：

• 确认已加载模块：在 httpd.conf 或 mods-enabled 目录中确保有 LoadModule log_forensic_module modules/mod_log_forensic.so
• 启用 forensic 日志：使用 ForensicLog 指令指定日志文件路径，例如：
  ForensicLog /var/log/apache2/forensic.log
• 注意：不能与 CustomLog 混用同一文件；建议单独存放，权限设为 root:adm 且仅可追加（如用 rotatelogs 需配合 -f 参数）
• 模块无运行时格式控制——日志结构完全固定，无法通过 LogFormat 修改

理解双行日志结构与 forensic-id 作用

每个 HTTP 请求生成两条日志，靠唯一 forensic-id 关联：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 第一行以 + 开头，含 forensic-id、请求行（如 GET /path HTTP/1.1）、所有收到的请求头（Host、User-Agent、X-Forwarded-For 等），各字段用 | 分隔
• 第二行以 - 开头，仅含 forensic-id，表示请求处理结束
• 若只出现 “+” 行而缺失对应 “-” 行，说明请求中途异常终止（如超时、客户端断连、500 内部错误未完成响应）
• forensic-id 可同步写入 access_log：在 CustomLog 的 LogFormat 中加入 %{forensic-id}n 即可关联常规日志

实战排查与日志验证技巧

日志本身不带时间戳，但可通过关联 access_log 或 error_log 定位时间；核心验证工具是 Apache 自带的 check_forensic 脚本：

• 运行 support/check_forensic /var/log/apache2/forensic.log，自动扫描所有 + / - ID 对
• 输出中显示 “MISSING” 行即为未完成请求，可结合其 ID 在 access_log 中查状态码或在 error_log 中搜异常堆栈
• 配合 grep 快速定位特定行为：如 grep '+.*POST' forensic.log | head -5 查前5个 POST 请求起始点
• 注意：模块极其严格——若磁盘满或权限不足导致写入失败，Apache 子进程会立即退出（可能 core dump），务必监控日志目录空间与权限

与常规日志及安全分析协同使用

forensic 日志不是独立分析入口，需与其它日志联动提升价值：

• 将 forensic-id 写入 access_log 后，可用 Logstash 或 awk 实现三日志（access、error、forensic）按 ID 关联分析
• 对疑似攻击流量（如 SQLi 特征字符串），先从 access_log 筛出 IP 和时间范围，再用 forensic-id 锁定原始请求头与完整请求体（GET 参数或 POST 原始 payload）
• 若启用 mod_unique_id，其生成的 ID 会直接作为 forensic-id，便于跨模块（如 mod_security）追踪同一请求生命周期
• 不建议长期全量开启——性能开销略高于普通日志，适合重点业务、WAF 后置节点或临时取证启用