Consulter les journaux d'accès au site en temps réel dans la console - Edge Security Acceleration

Les journaux instantanés constituent un service de journalisation léger et simple d'utilisation, ne nécessitant aucune configuration supplémentaire. Cette fonctionnalité permet de consulter les journaux d'accès au site en temps réel depuis la console ESA afin d'identifier des attaques, de résoudre des pannes système ou encore de déboguer et tester la connectivité réseau du site.

Pourquoi utiliser les journaux instantanés

Les produits traditionnels de Content Delivery Network (CDN) s'appuient souvent sur des journaux hors ligne pour détecter et vérifier les anomalies métier. Toutefois, ces journaux présentent des limites importantes dans les scénarios suivants :

Identification des pannes interrégionales : lorsque des utilisateurs signalent des problèmes d'accès dans une région spécifique, les méthodes classiques (exploitation des journaux d'un nœud unique ou journaux réseau à forte latence) compliquent la recherche rapide de la cause racine.
Vérification des déploiements progressifs : après avoir configuré une fonctionnalité, vous devez valider son impact sur une fraction du trafic. Les journaux hors ligne ne permettent pas de filtrer rapidement les requêtes spécifiques liées à ce déploiement partiel.
Analyse des caractéristiques d'attaque en temps réel : pour contrer de nouvelles attaques malveillantes, l'analyse en temps réel des requêtes sur l'ensemble du réseau est indispensable à la création de politiques d'atténuation. La latence élevée des journaux hors ligne retarde la mise en œuvre des contre-mesures.
Surveillance métier à la seconde près : lors d'événements promotionnels, le suivi en temps réel des variations du volume de requêtes est crucial. Des statistiques présentant une latence de l'ordre de la minute manquent de réactivité pour ajuster dynamiquement les politiques.
Validation de l'intégration de nouveaux services : lorsqu'un nouveau client configure un site, la latence des journaux empêche de confirmer immédiatement le bon fonctionnement de la connexion, ce qui nuit à l'efficacité du processus d'intégration.

Les journaux instantanés ESA offrent une visualisation des journaux en temps réel. Vous pouvez ainsi surveiller à tout moment les informations détaillées d'accès au site directement depuis la console. Ce fonctionnement s'apparente à la commande Linux ou Unix tail -f, qui permet de suivre les modifications d'un fichier en temps réel.

Limites

Un site ne peut disposer que d'une seule fenêtre de surveillance active à la fois. La durée maximale d'activation d'une fenêtre de surveillance est de 60 minutes.
Les journaux instantanés stockent jusqu'à 40 enregistrements simultanément. Classés par ordre chronologique, les enregistrements les plus récents écrasent les plus anciens.
Une fois la surveillance lancée, toute action parmi les suivantes interrompt la session. Pour reprendre la surveillance, cliquez de nouveau sur Start Monitoring :
- Le développement d'un enregistrement de journal, l'arrêt de la surveillance ou un clic sur le bouton Exporter mettent fin à la session de surveillance. Les enregistrements historiques restent alors accessibles sur la page Instant Logs.
- L'ajout d'un filtre, la navigation vers une autre page (comme Offline Logs) ou l'actualisation de la page courante interrompent également la session. Dans ce cas, les enregistrements historiques sont supprimés.

Démarrer la surveillance des journaux instantanés

Dans la console ESA, sélectionnez Websites. Dans la colonne Websites, cliquez sur le site cible.
Sur la page Website, cliquez sur Instant Logs pour lancer la collecte des journaux.
- Ajoutez un Start Monitoring pour restreindre le périmètre des journaux et faciliter la détection des anomalies.
- Après l'arrêt de la surveillance, développez un enregistrement pour examiner ses champs détaillés. Cliquez également sur le bouton Exporter situé à droite pour télécharger les données au format JSON.

Champs des journaux instantanés

Nom du champ	Type de données	Description
BotTag	string	Type de trafic de la requête client. Exemples : Chrome Java-sdk Android-app-browser Go-http-client
ClientASN	string	Numéro de système autonome (ASN) extrait de l'adresse IP du client.
ClientCountryCode	string	Code ISO-3166 Alpha-2 déduit de l'adresse IP du client.
ClientIP	string	Adresse IP du client se connectant au nœud ESA.
ClientISP	string	Informations relatives au fournisseur d'accès Internet (FAI) extraites de l'adresse IP du client.
ClientRegionCode	string	Code ISO-3166-2 déduit de l'adresse IP du client.
ClientRequestBytes	int	Taille de la requête client, exprimée en octets.
ClientRequestHeaderRange	string	Valeur du champ `Range` dans l'en-tête de la requête client. Exemple : `bytes=0-100`.
ClientRequestHost	string	Information `Host` de la requête client.
ClientRequestID	string	Identifiant unique de la requête client.
ClientRequestMethod	string	`Méthode HTTP` employée par la requête client.
ClientRequestPath	string	Chemin de la requête client.
ClientRequestProtocol	string	Protocole utilisé par la requête client.
ClientRequestQuery	string	Paramètres `Query` de la requête client.
ClientRequestReferer	string	Information `Referer` de la requête client.
ClientRequestURI	string	Information `URI` de la requête client.
ClientRequestUserAgent	string	Information `User-Agent` de la requête client.
ClientSrcPort	int	Port utilisé par le client pour se connecter au nœud ESA.
ClientSSLCipher	string	Suite de chiffrement Secure Sockets Layer (SSL) du client.
ClientSSLProtocol	string	Version du protocole SSL utilisée par le client. Un tiret (`-`) indique l'absence de SSL.
ClientXRequestedWith	string	En-tête de requête `X-Requested-With` émis par le client.
EdgeCacheStatus	string	État du cache pour la requête client.
EdgeEndTimestamp	Timestamp ISO8601	Horodatage marquant la fin de l'envoi de la réponse au client par le nœud ESA. Exemple : `2024-01-01T00:00:00+08:00`.
EdgeRequestHost	string	Information `Host` associée à la requête vers l'origine émise par le nœud ESA.
EdgeResponseBodyBytes	int	Taille du `Body` de réponse renvoyé au client par le nœud ESA, en octets.
EdgeResponseBytes	int	Taille totale de la réponse renvoyée au client par le nœud ESA, en octets.
EdgeResponseCompressionAlgo	string	Algorithme de compression appliqué à la réponse par le nœud ESA.
EdgeResponseCompressionRatio	float	Taux de compression de la réponse fournie par le nœud ESA.
EdgeResponseContentType	string	`Content-Type` de la réponse émise par le nœud ESA.
EdgeResponseStatusCode	int	Code d'état retourné au client par le nœud ESA.
EdgeResponseTime	int	Durée écoulée entre la réception de la requête client par le nœud ESA et la fin de réception de la réponse serveur par le client, en ms.
EdgeServerID	string	Identifiant unique du serveur nœud ESA sollicité par le client.
EdgeServerIP	string	Adresse IP du nœud ESA auquel le client s'est connecté.
EdgeStartTimestamp	Timestamp ISO8601	Horodatage de réception de la requête client par le nœud ESA. Exemple : `2024-01-01T00:00:00+08:00`.
JA3Hash	string	Valeur de hachage de l'empreinte JA3 du client.
JA4Hash	string	Valeur de hachage de l'empreinte JA4 du client.
EdgeTimeToFirstByteMs	int	Temps jusqu'au premier octet (TTFB). Correspond au délai entre la réception de la requête client par le nœud ESA et l'envoi du premier octet de réponse au client, en ms.
OriginDNSResponseTimeMs	int	Temps nécessaire pour obtenir la réponse de résolution DNS du serveur d'origine. En l'absence de requête vers l'origine, la valeur est `-1`. Unité : ms.
OriginIP	string	Adresse IP d'origine contactée lors de la requête vers l'origine. Si aucune requête vers l'origine n'est effectuée, la valeur est un tiret (`-`).
OriginResponseDurationMs	int	Temps jusqu'au premier octet depuis le serveur d'origine. Sans requête vers l'origine, la valeur est `-1`. Unité : ms.
OriginResponseHeaderRange	string	Information Range présente dans la réponse du serveur d'origine. En l'absence de requête vers l'origine, la valeur est un tiret (`-`).
OriginResponseHTTPExpires	string	Information Expires contenue dans la réponse du serveur d'origine. Si aucune requête vers l'origine n'a lieu, la valeur est un tiret (`-`).
OriginResponseHTTPLastModified	string	Information Last-Modified issue de la réponse du serveur d'origine. Sans requête vers l'origine, la valeur correspond à un tiret (`-`).
OriginResponseStatusCode	int	Code d'état provenant de la réponse du serveur d'origine. En l'absence de requête vers l'origine, la valeur est `-1`.
OriginSSLProtocol	string	Version du protocole SSL utilisée pour interroger le serveur d'origine. Si aucune requête vers l'origine n'est émise, la valeur est un tiret (`-`).
OriginTCPHandshakeDurationMs	int	Durée de l'établissement de la liaison TCP avec le serveur d'origine. Sans requête vers l'origine, la valeur est `-1`. Unité : ms.
OriginTLSHandshakeDurationMs	int	Durée de l'établissement de la liaison TLS avec le serveur d'origine. En l'absence de requête vers l'origine, la valeur est `-1`. Unité : ms.
SecAction	string	Action d'atténuation finale exécutée pour cette requête.
SecActions	string	Ensemble des actions d'atténuation appliquées à cette requête.
SecRuleID	string	ID de la dernière règle d'atténuation déclenchée pour cette requête.
SecRuleIDs	string	Liste des ID de toutes les règles d'atténuation exécutées pour cette requête.
SecSource	string	Règle d'atténuation finale appliquée à cette requête.
SecSources	string	Toutes les règles d'atténuation ayant traité cette requête.
SiteName	string	Nom du site.
SmartRoutingStatus	string	État de la fonctionnalité de routage intelligent. `0` signifie qu'elle est inactive, tandis que `1` indique qu'elle est active.
TlsHash	string	Valeur de hachage MD5 décrivant l'empreinte SSL/TLS du client.
SampleInterval	float	Taux d'échantillonnage de l'enregistrement de journal actuel. `Taux d'échantillonnage = Nombre de journaux échantillonnés / Nombre de journaux générés`. Par exemple, un taux de 0,5 signifie qu'un journal a été échantillonné pour deux journaux générés.

Disponibilité de la fonctionnalité selon l'édition

Entrance

Pro

Premium

Enterprise

Non pris en charge

Pris en charge