Découvrez comment interroger, analyser et gérer les résultats des journaux d'atténuation. - Anti-DDoS

Une fois la fonctionnalité d'analyse de l'atténuation activée, la page Mitigation Logs enregistre les événements de nettoyage du trafic, de filtrage par trou noir et de réacheminement du trafic pour votre instance Anti-DDoS Native. Interrogez et filtrez ces journaux afin de déterminer le moment où une attaque s'est produite, le type d'atténuation appliqué et sa durée.

Prérequis

Avant de commencer, assurez-vous d'avoir :

Activé la fonctionnalité d'analyse de l'atténuation. Pour plus d'informations, consultez la rubrique Activer l'analyse de l'atténuation.

Interroger les journaux d'atténuation

Connectez-vous à la console Traffic Security.
Dans le volet de navigation de gauche, sélectionnez Traffic Security > Anti-DDoS Native > Mitigation Logs.
Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région correspondant à votre instance.
- Pour une instance Anti-DDoS Native 1.0 ou une adresse IP élastique (EIP) avec Anti-DDoS (Enhanced) activé, sélectionnez la région où se trouve l'instance ou l'EIP.
- Pour une instance Anti-DDoS Native 2.0, sélectionnez All Regions.
Sur la page Mitigation Logs, sélectionnez une instance Anti-DDoS Native.
Saisissez une instruction de requête dans la zone de recherche.

Une instruction de requête utilise le format suivant : Search statement|Analytic statement. Pour obtenir des détails sur la syntaxe, consultez les rubriques Syntaxe de recherche et Syntaxe et fonctions SQL.
Dans le coin supérieur droit, définissez une plage de temps pour la requête.

Remarque
Les résultats peuvent inclure des journaux datant d'une minute avant ou après la plage de temps spécifiée.
Cliquez sur Search & Analyze.

Analyser les résultats de la requête

La page des résultats comporte quatre zones principales, chacune adaptée à une étape spécifique de votre investigation :

Histogramme des résultats de la requête : affiche la distribution du volume de journaux dans le temps. Commencez par cette vue pour identifier les pics de trafic d'attaque.
Onglet Raw Logs : présente les entrées de journal individuelles correspondant à votre requête. Utilisez cette vue pour examiner des événements spécifiques et les valeurs des champs.
Onglet Graph : affiche les résultats sous forme de graphiques. Cette option est idéale pour l'analyse des tendances ou la création de tableaux de bord.
Onglet LogReduce : regroupe les journaux similaires. Utilisez cette fonctionnalité pour identifier des modèles au sein de grands volumes de journaux.

Important

Par défaut, une requête renvoie un maximum de 100 lignes. Pour récupérer davantage de lignes, ajoutez une clause LIMIT à votre instruction analytique. Pour plus d'informations, consultez la rubrique Clause LIMIT.

Histogramme des résultats de la requête

L'histogramme affiche la distribution des journaux sur des intervalles de temps. Query result histogram

Placez le curseur sur un rectangle vert pour afficher l'intervalle de temps et le nombre de journaux correspondants.
Double-cliquez sur un rectangle vert pour effectuer un zoom avant vers une granularité temporelle plus fine et afficher les journaux bruts correspondants.

Onglet Raw Logs

L'onglet Raw Logs affiche les entrées de journal qui correspondent à votre requête. Basculez entre les vues Table et Raw Data selon la manière dont vous souhaitez lire les données. Raw Logs tab

Les opérations suivantes sont disponibles dans cet onglet :

Quick analysis : analyse la distribution d'un champ spécifique sur la période sélectionnée. Pour plus d'informations, consultez la rubrique Analyse rapide.

Cliquez sur l'icône pour basculer entre les noms de champs et les alias de champs. Les alias sont définis lors de la création des index. Par exemple, si vous définissez l'alias de host_name sur host, la sélection de l'option Show Field Aliases affichera host dans la liste Quick Analysis.

Remarque
Si un champ ne possède pas d'alias, son nom est affiché indépendamment du paramètre Show Field Aliases.
Contextual query (vue Raw Data uniquement) : cliquez sur l'icône située à côté d'une entrée de journal pour afficher le contexte environnant issu du fichier journal brut. Pour plus d'informations, consultez la rubrique Requête contextuelle.

Important
La requête contextuelle est prise en charge uniquement pour les journaux collectés par Logtail.
LiveTail (vue Raw Data uniquement) : cliquez sur l'icône située à côté d'une entrée de journal pour surveiller les journaux en temps réel et extraire les champs clés. Pour plus d'informations, consultez la rubrique LiveTail.

Important
LiveTail est pris en charge uniquement pour les journaux collectés par Logtail.
Tag Configurations (vue Raw Data) : cliquez sur l'icône et sélectionnez Tag Configurations pour masquer les champs moins pertinents pour votre investigation.
Column Settings (vue Table) : cliquez sur l'icône et sélectionnez Column Settings pour choisir les champs à afficher sous forme de colonnes. Les noms de colonnes correspondent aux noms de champs et les valeurs de colonnes aux valeurs de champs.
JSON Configurations (vues Table ou Raw Data) : cliquez sur l'icône et sélectionnez JSON Configurations pour définir le niveau d'expansion des champs JSON.
Event Settings (vues Table ou Raw Data) : cliquez sur l'icône et sélectionnez Event Settings pour configurer les événements liés aux journaux bruts. Pour plus d'informations, consultez la rubrique Configurer les événements.
Download logs : cliquez sur l'icône pour télécharger les journaux. Spécifiez la méthode de téléchargement et la plage de journaux. Pour plus d'informations, consultez la rubrique Télécharger les journaux.

Onglet Graph

Après avoir exécuté une requête, ouvrez l'onglet Graph pour visualiser les résultats.

Afficher les graphiques : Simple Log Service convertit les résultats de la requête en graphiques. Les types disponibles incluent des tables, des courbes et des histogrammes, dans les versions Pro et Standard. Pour plus d'informations, consultez les rubriques Présentation des graphiques (Pro) et Présentation des graphiques.
Enregistrer dans un tableau de bord : cliquez sur Add to New Dashboard pour enregistrer le graphique actuel dans un tableau de bord afin d'assurer un suivi continu. Pour plus d'informations, consultez la rubrique Présentation de la visualisation.
Configurer les événements de forage : mettez en place des interactions de forage pour passer d'une dimension de données à une autre et modifier la granularité de l'analyse. Pour plus d'informations, consultez la rubrique Événements de forage.

Onglet LogReduce

Dans l'onglet LogReduce, cliquez sur Enable LogReduce pour regrouper les journaux similaires. Cette fonctionnalité s'avère utile lors de l'investigation de grands volumes d'événements d'atténuation afin d'identifier des modèles récurrents. Pour plus d'informations, consultez la rubrique LogReduce.

Configurer des alertes et des recherches enregistrées

Depuis la page Search & Analyze, vous pouvez enregistrer votre requête pour une utilisation ultérieure ou mettre en place une alerte automatisée :

Alerts : cliquez sur l'icône pour créer une règle d'alerte basée sur les résultats actuels de la requête. Pour plus d'informations, consultez la rubrique Configurer une règle de surveillance d'alerte dans Log Service.
Saved searches : cliquez sur l'icône pour enregistrer l'instruction de requête actuelle en tant que recherche enregistrée. Les recherches enregistrées vous permettent de réexécuter fréquemment des requêtes sans avoir à ressaisir l'instruction à chaque fois. Pour plus d'informations, consultez la rubrique Recherche enregistrée.