Campos incluidos en los registros completos - Anti-DDoS - Centro de documentación de Alibaba Cloud

Anti-DDoS Proxy registra cada solicitud HTTP como una entrada de registro estructurada. Esta página describe todos los campos del registro completo, e incluye su descripción y un valor de ejemplo.

Información básica

Campo	Descripción	Ejemplo
`__topic__`	Categoría del registro. Siempre es `ddos_access_log`.	ddos_access_log
`user_id`	ID de la cuenta de Alibaba Cloud.	166688437215****

Solicitudes HTTP

Campo	Descripción	Ejemplo
`body_bytes_sent`	Tamaño del cuerpo de la respuesta, en bytes.	2
`content_type`	Tipo de contenido del cuerpo de la respuesta.	application/x-www-form-urlencoded
`host`	Nombre de dominio solicitado.	api.aliyundoc.com
`http_cookie`	Cookie enviada con la solicitud.	k1=v1;k2=v2
`http_referer`	Encabezado Referer de la solicitud. Devuelve `-` si el encabezado no está presente.	http://aliyundoc.com
`http_user_agent`	Cadena del agente de usuario de la solicitud.	Dalvik/2.1.0 (Linux; U; Android 10; Android SDK built for x86 Build/QSR1.200715.002)
`http_x_forwarded_for`	Dirección IP del proxy ascendente.	192.0.XX.XX
`https`	Indica si la solicitud utiliza HTTPS. Valores válidos: `true`, `false`.	true
`matched_host`	Nombre de dominio coincidente en Anti-DDoS Proxy, que puede ser un dominio comodín. Devuelve `-` si ningún dominio coincide.	*.aliyundoc.com
`real_client_ip`	Dirección IP de origen del cliente. Devuelve `-` si no se puede obtener la dirección.	192.0.XX.XX
`isp_line`	Línea del proveedor de servicios de Internet (ISP), como Border Gateway Protocol (BGP), China Telecom o China Unicom.	China Telecom
`remote_addr`	Dirección IP desde la que se inicia la solicitud.	192.0.XX.XX
`remote_port`	Puerto del remitente inmediato de la solicitud.	23713
`src_ip`	Dirección IP desde la que se inicia la solicitud.	192.0.XX.XX
`src_port`	ID del puerto desde el que se inicia la solicitud.	23713
`request_length`	Tamaño de la solicitud, en bytes.	123
`request_method`	Método HTTP de la solicitud.	GET
`start_time`	Hora en que Anti-DDoS Proxy devuelve la respuesta al cliente, como marca de tiempo Unix.	1735553169000
`request_time_msec`	Tiempo total que tarda Anti-DDoS Proxy en recibir la solicitud, procesarla y devolver la respuesta, en milisegundos.	44
`request_uri`	URI de la solicitud.	/answers/377971214/banner
`server_name`	Nombre del servidor de origen coincidente. Devuelve `default` si ningún servidor de origen coincide.	api.aliyundoc.com
`status`	Código de estado HTTP de la respuesta.	200
`time`	Hora en que se inicia la solicitud, en formato ISO 8601.	2024-12-30T18:06:09+08:00
`querystring`	Cadena de consulta de la solicitud.	token=bbcd&abc=123
`upstream_addr`	Lista separada por comas de direcciones del servidor de origen, cada una en formato `IP:Port`.	192.0.XX.XX:443
`upstream_ip`	Dirección IP del servidor de origen.	192.0.XX.XX
`upstream_response_time`	Tiempo de respuesta de la solicitud de retorno al origen, en segundos. Nota Si se utiliza el motor famax (versión anterior), la unidad es milisegundos.	0.044
`upstream_status`	Código de estado HTTP de la solicitud de retorno al origen.	200
`vip_addr`	Dirección IP de la instancia de Anti-DDoS Proxy.	203.107.XX.XX
`http2_client_fingerprint`	Huella digital sin procesar del cliente HTTP/2.	2:0;4:2097152;3:100\|10485760\|0\|m,s,p,a
`http2_client_fingerprint_md5`	Hash MD5 (128 bits, 32 caracteres) derivado de la huella digital HTTP/2 sin procesar. Se usa para identificar y distinguir clientes durante el análisis.	ad8424af1cc590e09f7b0c499bf7fcdb
`ssl_client_ja3_fingerprinting`	Huella digital JA3 sin procesar del cliente TLS, derivada de los parámetros del protocolo de enlace TLS, incluida la versión de TLS, los conjuntos de cifrado, los algoritmos de compresión y las extensiones TLS.	771,4865-49195-49196-49197,29,0
`ssl_client_ja3_fingerprinting_md5`	Hash MD5 derivado de la huella digital JA3 sin procesar.	c1bd7c674bbec9f0f2474e3eee3564f4
`ssl_client_ja4_fingerprinting`	Huella digital JA4 sin procesar del cliente TLS, derivada de los parámetros del protocolo de enlace TLS, incluida la versión de TLS, los conjuntos de cifrado, los algoritmos de compresión, las extensiones TLS, la versión del navegador y el sistema operativo.	t13d1516h2_acb858a92679_e5627efa2ab1
`ssl_client_ja4_fingerprinting_md5`	Hash MD5 derivado de la huella digital JA4 sin procesar.	8c3d99fb6ed08a39c799aad27b4854f4
`ssl_client_tls_fingerprinting_md5`	Hash MD5 derivado de la huella digital TLS del cliente.	21d696a76962c9912d765a9372d8c773
`cache_status`	Indica si la solicitud coincide con la caché de Anti-DDoS Proxy. Valores válidos: `hit` (encontrado en la caché), `miss` (no encontrado en la caché).	hit
`traceid`	Identificador único global (GUID) asignado a cada solicitud en un sistema distribuido. Persiste durante todo el ciclo de vida de la solicitud y vincula entradas de registro entre servicios, lo que permite la trazabilidad y el análisis de rendimiento.	ac11000117388144519311412e387f

Información del cliente

Campo	Descripción	Ejemplo
`ua_browser`	Identificador del navegador. Nota En algunos casos, un registro no contiene este campo.	ie9
`ua_browser_family`	Familia del navegador. Nota En algunos casos, un registro no contiene este campo.	internet explorer
`ua_browser_type`	Tipo de navegador. Nota En algunos casos, un registro no contiene este campo.	web_browser
`ua_browser_version`	Versión del navegador. Nota En algunos casos, un registro no contiene este campo.	9.0
`ua_device_type`	Tipo de dispositivo del cliente. Nota En algunos casos, un registro no contiene este campo.	computer
`ua_os`	Identificador del sistema operativo. Nota En algunos casos, un registro no contiene este campo.	windows_7
`ua_os_family`	Familia del sistema operativo. Nota En algunos casos, un registro no contiene este campo.	windows
`server_protocol`	Protocolo y versión devueltos por el servidor de origen en respuesta a las solicitudes de retorno al origen.	HTTP/1.1
`ssl_protocol`	Versión del protocolo SSL o TLS utilizada en la solicitud.	TLSv1.2
`ssl_cipher`	Conjunto de cifrado utilizado en la solicitud.	ECDHE-RSA-AES128-GCM-SHA256
`ssl_handshake_time`	Duración del protocolo de enlace TLS iniciado por el cliente, en milisegundos.	99

Configuración de mitigación

Campo	Descripción	Ejemplo
`cc_action`	Acción ejecutada por una regla de mitigación de inundaciones HTTP. Consulte Valores de cc_action.	accept
`cc_blocks`	Indica si una regla de mitigación de inundaciones HTTP bloqueó la solicitud. `1` significa bloqueada; cualquier otro valor significa permitida. Si este campo no está presente, `last_result` registra el resultado en su lugar.	1
`cc_phase`	Función de mitigación que procesó la solicitud. Los valores varían según la versión del motor. Consulte Valores de cc_phase.	gfbwip
`last_module`	Función de mitigación que tomó la decisión final para la solicitud. Consulte Valores de last_module.	gfareaban
`last_owner`	Nombre de la regla que tomó la decisión final. Convenciones de nomenclatura de reglas de Anti-DDoS Proxy: los nombres que comienzan con `smartcc_` pertenecen a reglas de protección inteligente, los nombres que comienzan con `global` pertenecen a reglas de política de mitigación de DDoS, y los nombres que comienzan con `gf_internal` pertenecen a reglas de mitigación de inundaciones HTTP.	global_th_4_C_****
`last_result`	Acción final ejecutada sobre la solicitud. `ok` significa permitida; `failed` significa no permitida (bloqueada o verificación CAPTCHA fallida). Si este campo no está presente, `cc_blocks` registra el resultado en su lugar.	failed

Valores de cc_action

Valor	Descripción
`accept`	La solicitud se permite.
`block`	La solicitud se bloquea.
`challenge`	Se activa la verificación CAPTCHA para validar la dirección IP de origen.
`alarm`	La solicitud se registra en los registros y se permite.

Valores de cc_phase

El valor depende de la versión del motor que utilice su instancia de Anti-DDoS Proxy.

Motor Tengine

Valor	Función
`gfbwip`	Lista negra y lista blanca
`gfcc`	Mitigación de inundaciones HTTP
`gfacl`	Política de mitigación personalizada
`gfglobal`	Política de mitigación de DDoS
`gfareaban`	Lista negra por ubicación

Motor Famax

Valor	Función
`ipFilter`	Lista negra y lista blanca
`statProtect`	Mitigación de inundaciones HTTP
`preciseProtect`	Política de mitigación personalizada
`regionBLock`	Lista negra por ubicación

Valores de last_module

Valor	Función
`gfareaban`	Lista negra por ubicación
`gfbwip`	Lista negra y lista blanca
`gfacl`	Control de acceso preciso
`gfcc`	Mitigación de inundaciones HTTP
`gfglobal`	Política de mitigación de DDoS