Lorsqu'une attaque se produit ou que vous devez examiner des requêtes bloquées, la page Log Analysis vous permet d'exécuter des requêtes personnalisées sur les journaux de trafic d'Anti-DDoS Pro et d'Anti-DDoS Premium. Analysez la répartition du trafic brut ou des données agrégées sur n'importe quelle période au cours des 180 derniers jours. Contrairement au tableau de bord de synthèse des attaques, qui affiche des résumés prédéfinis, Log Analysis vous donne un accès direct aux données brutes des journaux. Approfondissez l'analyse d'incidents spécifiques, diagnostiquez les faux positifs ou surveillez le comportement de la protection dans le temps.
Fonctionnement de la collecte des journaux
Lorsque le nombre de requêtes par seconde (QPS) de votre service reste dans les limites des spécifications de l'instance, le système collecte les journaux pour l'ensemble du trafic. Plus le volume de trafic est faible, plus la précision de la collecte est élevée. En cas de pics de trafic, le système ajuste automatiquement le ratio de collecte : un volume de trafic plus important augmente ce ratio.
Prérequis
Avant de commencer, assurez-vous d'avoir :
Ajouté un domaine de site web à Anti-DDoS Pro ou Anti-DDoS Premium. Consultez la rubrique Ajouter un ou plusieurs sites web.
Activé la fonctionnalité d'analyse des journaux pour le domaine. Consultez la rubrique Présentation.
Interroger les journaux
Connectez-vous à la console Anti-DDoS Pro.
-
Dans la barre de navigation supérieure, sélectionnez la région correspondant à votre instance :
Anti-DDoS Proxy (Chine continentale) : sélectionnez Chinese Mainland pour les instances Anti-DDoS Pro.
Anti-DDoS Proxy (Hors Chine continentale) : sélectionnez Outside Chinese Mainland pour les instances Anti-DDoS Premium.
Dans le volet de navigation de gauche, choisissez Investigation > Log Analysis.
-
Sélectionnez le nom de domaine dont vous souhaitez interroger les journaux.
Assurez-vous que l'état Status est activé pour le nom de domaine.
-
Spécifiez une plage de temps. Choisissez une heure relative, une période prédéfinie ou une plage de temps personnalisée.
Les journaux sont conservés pendant 180 jours. Par défaut, les requêtes couvrent les 180 jours précédents. Les résultats peuvent inclure des journaux générés jusqu'à 1 minute en dehors de la plage spécifiée.
-
Saisissez une instruction de requête dans la zone de recherche. Une instruction de requête comprend deux parties facultatives séparées par une barre verticale (
|) :Partie Facultatif Description Instruction de recherche Oui Filtre les journaux par mot-clé, valeur numérique, plage ou caractère générique ( *). Un espace ou*renvoie tous les journaux. Consultez la rubrique Syntaxe de recherche et la section Champs inclus dans les journaux complets.Instruction d'analyse Oui Agrège ou calcule des données à partir des résultats de la recherche ou de l'ensemble des journaux. Si cette partie est laissée vide, les résultats de la recherche bruts sont renvoyés sans analyse. La clause from log(équivalente àFROM <table>en SQL) peut être omise. Par défaut, les 100 premiers journaux sont renvoyés. Utilisez la clauseLIMITpour modifier ce paramètre. Consultez les rubriques Présentation de l'analyse des journaux et Clause LIMIT.Search statement | Analytics statement Cliquez sur Search & Analyze. Les résultats s'affichent sous forme d'histogramme de distribution des journaux dans l'onglet Raw Logs ou sous forme de visualisations dans l'onglet Graph. À partir de là, configurez des alertes et enregistrez des recherches pour une utilisation ultérieure. Consultez la rubrique Afficher les résultats de la requête et de l'analyse.
Étapes suivantes
Champs inclus dans les journaux complets — Comprenez la signification de chaque champ de journal et son utilisation dans les requêtes.
Syntaxe de recherche — Construisez des instructions de recherche précises.
Présentation de l'analyse des journaux — Rédigez des instructions d'analyse pour agréger et visualiser les données de trafic.