Todos los productos
Search

Este producto

    Anti-DDoS:Introducción al análisis de registros

    Centro de documentos

    Anti-DDoS:Introducción al análisis de registros

    Última actualización: Sep 04, 2026

    Este tema explica cómo habilitar y utilizar la función de análisis de registros.

    Antes de empezar

    Antes de utilizar el análisis de registros, familiarícese con sus conceptos básicos, los cálculos de capacidad de almacenamiento necesarios y el mecanismo de muestreo de registros. Para obtener más información, consulte Overview.

    Requisitos previos

    • Debe haber adquirido una instancia de Anti-DDoS Proxy y agregado su sitio web para protegerlo. Para obtener más información, consulte Add a website.

    • Debe haber iniciado sesión en la consola de Simple Log Service y activado Simple Log Service (SLS).

    Paso 1: Adquirir el análisis de registros

    1. Inicie sesión en la consola de Anti-DDoS Proxy.

    2. En la barra de navegación superior, seleccione la región de su instancia.

      • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

      • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

    3. En el panel de navegación izquierdo, elija Analysis > Log Analysis.

    4. En la página Log Analysis, haga clic en Buy Now.

    5. En la página de compra de Full Logs, configure los parámetros, haga clic en Buy Now y complete el pago.

      Parámetro

      Descripción

      Applicable To

      Seleccione el tipo de su instancia de Anti-DDoS Proxy.

      Almacenamiento de registros

      Seleccione la capacidad máxima de almacenamiento de registros en terabytes (TB).

      Si el servicio está activo y cuenta con almacenamiento suficiente, los registros se conservan durante 180 días. Transcurrido este periodo, los registros más antiguos se sobrescriben con los nuevos, lo que garantiza la disponibilidad de una ventana móvil de datos de registro de 180 días.

      Importante

      Si se agota el almacenamiento de registros, no se guardarán los nuevos registros.

      Log Storage Period

      Seleccione el periodo de validez del servicio.

      Importante

      Una vez que expire el servicio, no se almacenarán nuevos registros.

    Paso 2: Autorizar el acceso al servicio de registros

    1. Regrese a la página Log Analysis y complete la autorización.

      El sistema crea automáticamente el rol vinculado al servicio AliyunDDoSCOOLogArchiveRole. Anti-DDoS Proxy utiliza este rol para acceder a SLS y almacenar datos de registro en un logstore dedicado.

    2. Seleccione la región del logstore para su instancia de Anti-DDoS Proxy (Outside Chinese Mainland), la cual servirá como región de almacenamiento para sus datos de registro.

      Las regiones compatibles son Singapore, Indonesia (Jakarta), US (Virginia), China (Hong Kong), UK (London), Germany (Frankfurt), Japan (Tokyo) y Malaysia (Kuala Lumpur).

      Importante

      • La región seleccionada es permanente. Para cambiarla, debe deshabilitar y volver a habilitar la función, lo que elimina permanentemente el logstore y todos los datos de registro asociados. Esta acción es irreversible.

      • Anti-DDoS Proxy (Chinese Mainland) no requiere selección de región y se almacena en la región China (Hangzhou) de forma predeterminada.

      • Después de habilitar el análisis de registros, Anti-DDoS Proxy crea un logstore en la región especificada y recopila en él los registros de los nombres de dominio indicados.

    Paso 3: Habilitar la recopilación de registros

    En la página Log Analysis, habilite la recopilación de registros para los nombres de dominio de su sitio web.

    • Para habilitar la recopilación de registros de un solo nombre de dominio, seleccione el nombre de dominio deseado en la lista desplegable Select Domain Names y active el interruptor de Status.

    • Para habilitar la recopilación de registros de varios nombres de dominio, haga clic en Batch Configure en la esquina superior derecha. En el panel Batch Configure, seleccione los nombres de dominio y haga clic en Batch Enable.

    Después de habilitar la recopilación de registros, SLS crea automáticamente un project dedicado para que Anti-DDoS Proxy gestione sus datos de registro.

    Puede consultar los proyectos dedicados de Anti-DDoS Proxy en la página principal de la consola de Simple Log Service. Los nombres de los proyectos dedicados comienzan con ddoscoo-project para Anti-DDoS Proxy (Chinese Mainland) y con ddosdip-project para Anti-DDoS Proxy (Outside Chinese Mainland). De forma predeterminada, un proyecto dedicado contiene los siguientes recursos:

    • Un Logstore dedicado que se utiliza para almacenar datos de registro de Anti-DDoS Proxy. El logstore dedicado se denomina ddoscoo-LogStore para el servicio Anti-DDoS Proxy (Chinese Mainland) y ddosdip-LogStore para el servicio Anti-DDoS Proxy (Outside Chinese Mainland).

    • Dos dashboards de registro preconfigurados (DDoS Access Center y DDoS Operation Center) que proporcionan informes de análisis gráfico. El contenido es idéntico para todos los tipos de instancia.

    (Opcional) Paso 4: Consultar y analizar registros

    1. En la página Log Analysis, seleccione un nombre de dominio objetivo en la lista desplegable Select Domain Names.

    2. En la pestaña Full Logs, establezca un intervalo de tiempo para su consulta.

      Nota

      • Puede consultar registros de los últimos 180 días. Los registros anteriores se eliminan automáticamente.

      • Los resultados de la consulta pueden incluir registros generados hasta 1 minuto fuera del intervalo de tiempo especificado.

    3. Introduzca una sentencia de consulta en el cuadro de búsqueda y haga clic en Search & Analyze.

      Una sentencia de consulta consta de una sentencia de búsqueda y una sentencia analítica, separadas por una barra vertical (|): sentencia de búsqueda|sentencia analítica.

      Componente

      Obligatorio

      Descripción

      Sentencia de búsqueda

      No

      Especifica las condiciones de búsqueda. Puede usar palabras clave, búsquedas aproximadas, valores numéricos, rangos o una combinación de condiciones.

      Si se deja vacía o se establece en un asterisco ()), no se aplica ningún filtro y se devuelven todos los datos dentro del intervalo de tiempo actual. Para obtener más información, consulte Search syntax.

      Nota

      Para obtener una descripción de los campos del registro de acceso de Anti-DDoS Proxy, consulte Log fields.

      Sentencia analítica

      No

      Procesa los resultados de la búsqueda para realizar cálculos y análisis estadísticos. Si no se proporciona una sentencia de búsqueda, analiza todo el conjunto de datos dentro del intervalo de tiempo.

      Si se deja vacía, solo se devuelven los resultados de la búsqueda sin análisis estadístico. Para obtener más información, consulte Overview of search and analysis.

      Nota

      • Puede omitir la cláusula SQL estándar from table_name, lo que significa que puede omitir from log en la sentencia analítica.

      • De forma predeterminada, se devuelven las primeras 100 entradas de registro. Puede modificar este rango mediante LIMIT clause.

      Los resultados de la consulta aparecen en una tabla de forma predeterminada. También puede mostrar los resultados en otros formatos, como gráficos de líneas, gráficos de columnas y gráficos circulares. Para obtener más información, consulte Overview of statistical charts.

      También puede crear alertas basadas en los gráficos del panel para supervisar el estado del servicio en tiempo real. Para obtener más información, consulte Alerting overview.

      Ejemplos comunes de consultas

      • Consultar el número de visitas a un nombre de dominio

        * | SELECT COUNT(*) as times, host GROUP by host ORDER by times desc limit 100

      • Consultar tipos de interceptación

        * | select cc_action,cc_phase,count(*) as t group by cc_action,cc_phase order by t desc limit 10

      • Consultar QPS

        * | select time_series(__time__,'15m','%H:%i','0') as time,count(*)/900 as QPS group by time order by time

      • Consultar nombres de dominio atacados

        * and cc_blocks:1 | select cc_action,cc_phase,count(*) as t group by cc_action,cc_phase order by t desc limit 10

      • Consultar URL atacadas

        * and cc_blocks:1 | select count(*) as times,host,request_path group by host,request_path order by times

      • Consultar detalles de solicitudes

        * | select date_format(date_trunc('second',__time__),'%H:%i:%s') as time,host,request_uri,request_method,status,upstream_status,querystring limit 10

      • Consultar detalles de códigos de estado 5xx

        * and status>499 | select host,status,upstream_status,count(*)as t group by host,status,upstream_status order by t desc

      • Consultar distribución de latencia de solicitudes

        * | SELECT count_if(upstream_response_time<20) as "<20",
count_if(upstream_response_time<50 and upstream_response_time>20) as "<50",
count_if(upstream_response_time<100 and upstream_response_time>50) as "<100",
count_if(upstream_response_time<500 and upstream_response_time>100) as "<500",
count_if(upstream_response_time<1000 and upstream_response_time>500) as "<1000",
count_if(upstream_response_time>1000) as ">1000"

    (Opcional) Paso 5: Ver informes de registros

    Un panel es una consola de análisis en tiempo real proporcionada por SLS. Puede guardar en un panel los gráficos generados a partir de los resultados de las consultas. La función de análisis de registros proporciona dos paneles predeterminados: DDoS Access Center y DDoS Operation Center.

    1. En la página Log Analysis, seleccione un nombre de dominio objetivo en la lista desplegable Select Domain Names.

    2. Haga clic en la pestaña Log Reports y luego en Time Selection para establecer un intervalo de tiempo.

      Nota

      Cada gráfico de un informe tiene un intervalo de tiempo predeterminado (por ejemplo, 1 hora para métricas de tráfico y 1 semana para tendencias). Sin embargo, al usar el control Time Selection se anulan estos valores predeterminados y se actualizan todos los gráficos de la página para reflejar el intervalo que especifique.

    3. Consulte los paneles predeterminados de Anti-DDoS Proxy.

      El área de informes de registros muestra varios informes en un diseño predefinido que incluye diversos tipos de gráficos. Para obtener más información sobre los tipos de gráficos, consulte Overview of statistical charts.

      • DDoS Access Center: Muestra métricas clave del sitio web, incluidas PV, UV, tráfico entrante, tasas máximas de tráfico, tendencias de acceso, distribuciones de origen, nombres de dominio accedidos y tipos de cliente.

        Gráfico

        Tipo

        Intervalo de tiempo predeterminado

        Descripción

        Ejemplo

        PV

        Valor único

        1 hora (relativo)

        Número total de solicitudes.

        100,000

        UV

        Valor único

        1 hora (relativo)

        Número total de clientes únicos.

        100,000

        Tráfico entrante

        Valor único

        1 hora (relativo)

        Tráfico entrante total del sitio web, en MB.

        300 MB

        Tráfico entrante máximo

        Valor único

        Hoy (por hora)

        Tasa máxima de tráfico entrante del sitio web, en Bytes/s.

        100 Bytes/s

        Tráfico saliente máximo

        Valor único

        Hoy (por hora)

        Tasa máxima de tráfico saliente del sitio web, en Bytes/s.

        100 Bytes/s

        Tendencia de tráfico y ancho de banda

        Gráfico de doble línea

        1 semana (relativo)

        Tendencia de las tasas de tráfico entrante y saliente del sitio web, en KB/s.

        N/A

        Tendencia de acceso PV/UV

        Gráfico de doble línea

        1 semana (relativo)

        Tendencia de los recuentos de PV y UV.

        N/A

        Distribución de estados de acceso

        Gráfico circular

        1 semana (relativo)

        Distribución de códigos de estado de solicitud (por ejemplo, 200, 304 y 400).

        N/A

        Origen de acceso

        Mapa mundial

        1 hora (relativo)

        Distribución de PV de visitantes por país de origen.

        N/A

        Origen de tráfico entrante (Mundo)

        Mapa mundial

        1 hora (relativo)

        Distribución del tráfico entrante total por país de origen, en MB.

        N/A

        Origen de tráfico entrante (China)

        Mapa de China

        1 hora (relativo)

        Distribución del tráfico entrante total por provincia de origen, en MB.

        N/A

        Mapa de calor de acceso

        AMap

        1 hora (relativo)

        Mapa de calor del acceso de visitantes por ubicación geográfica.

        N/A

        Proveedor de servicios de Internet (ISP)

        Gráfico de anillo

        1 hora (relativo)

        Distribución del volumen de tráfico entrante por proveedor de servicios de Internet (ISP), en MB.

        N/A

        Referer

        Tabla

        1 hora (relativo)

        Las 100 URL de referencia, hosts y recuentos de acceso más frecuentes.

        N/A

        Distribución de líneas de acceso

        Gráfico de anillo

        1 hora (relativo)

        Distribución de las líneas de acceso de Anti-DDoS Proxy utilizadas por las solicitudes entrantes.

        N/A

        Distribución de tipos de cliente

        Gráfico de anillo

        1 hora (relativo)

        Los 20 agentes de usuario más frecuentes, como iPhone, iPad, Windows IE y Chrome.

        N/A

        Distribución de tipos de contenido de solicitud

        Gráfico de anillo

        1 hora (relativo)

        Los 20 tipos de contenido de solicitud más frecuentes, como HTML, Form, JSON y datos de streaming.

        N/A

        Nombres de dominio accedidos

        Gráfico de anillo

        1 hora (relativo)

        Los 20 nombres de dominio accedidos con mayor frecuencia.

        N/A

        Principales clientes

        Tabla

        1 hora (relativo)

        Lista los 100 principales clientes por recuento de visitas, incluidos detalles como dirección IP, PV, tráfico entrante y recuentos de errores y ataques.

        N/A

        URL con respuesta más lenta

        Tabla

        1 hora (relativo)

        Lista las 100 URL con los tiempos de respuesta más lentos, incluidos detalles como la URL, el recuento de accesos y el tiempo de respuesta.

        N/A

      • DDoS Operation Center: Muestra el estado operativo general del sitio web, incluidas las tendencias de ancho de banda entrante y saliente, las tendencias de solicitudes e interceptaciones, una lista de atacantes y una lista de sitios web accedidos.

      Para recibir informes programados del panel por correo electrónico o DingTalk, haga clic en el botón Subscribe en la esquina superior derecha de un panel. Para obtener más información, consulte Subscribe to a dashboard.

    Documentos relacionados

    Common operations for logs of Alibaba Cloud services