Anti-DDoS：Gunakan fitur analisis log

Catatan penggunaan

Sebelum menggunakan fitur analisis log, pahami informasi dasar mengenai fitur tersebut, cara menghitung kapasitas penyimpanan log yang diperlukan, serta penjelasan tentang pengambilan sampel log. Untuk informasi selengkapnya, lihat Ikhtisar.

Langkah 1: Aktifkan fitur analisis log

1. Masuk ke Konsol Anti-DDoS Proxy.

2. Pada bilah navigasi atas, pilih wilayah instans Anda.

   • Anti-DDoS Proxy (Tiongkok Daratan): Pilih wilayah Tiongkok Daratan.

   • Anti-DDoS Proxy (Luar Daratan Tiongkok): Pilih wilayah Luar Daratan Tiongkok.

3. Pada panel navigasi sebelah kiri, pilih Investigation > Log Analysis.

4. Pada halaman Log Analysis, klik Buy Now.

5. Pada halaman Log Service, konfigurasikan parameter, klik Buy Now, lalu selesaikan pembayaran.

   Parameter	Deskripsi
   Applicable Products	Pilih tipe instans Anti-DDoS Proxy.
   Log Storage	Pilih kapasitas untuk menyimpan log. Satuan: TB. Jika kapasitas penyimpanan log cukup besar dan masih dalam periode validitas, log akan disimpan sejak hari pertama fitur digunakan. Log yang dihasilkan selama 180 hari berturut-turut berikutnya akan disimpan. Log pada hari ke-181 akan menimpa log hari ke-1, artinya hanya log dari 180 hari terakhir yang disimpan. Penting Setelah kapasitas penyimpanan log habis, log baru tidak dapat disimpan.
   Duration	Pilih periode validitas untuk fitur ini. Penting Jika fitur analisis log kedaluwarsa, log baru tidak dapat disimpan.

Langkah 2: Otorisasi Anti-DDoS Proxy untuk menyimpan log ke Layanan Log Sederhana

1. Kembali ke halaman Log Analysis dan selesaikan otorisasi sesuai petunjuk.

   Sistem secara otomatis membuat peran terkait layanan AliyunDDoSCOOLogArchiveRole. Anti-DDoS Proxy menggunakan peran ini untuk mengakses Layanan Log Sederhana dan menyimpan log di Logstore khusus untuk Anti-DDoS Proxy.

2. Pilih wilayah untuk Logstore khusus instans Anti-DDoS Proxy (Luar Daratan Tiongkok). Log instans tersebut akan disimpan di wilayah yang Anda pilih.

   Anda dapat memilih salah satu wilayah berikut: Singapura, Indonesia (Jakarta), AS (Virginia), Tiongkok (Hong Kong), Inggris (London), Jerman (Frankfurt), Jepang (Tokyo), Malaysia (Kuala Lumpur).

   Penting

   • Setelah memilih wilayah, Anda tidak dapat langsung mengubah wilayah tersebut. Untuk mengganti wilayah, Anda hanya bisa menonaktifkan fitur analisis log lalu mengaktifkannya kembali. Namun, setelah menonaktifkan fitur tersebut, Logstore dan semua data log akan dihapus. Lakukan dengan hati-hati.

   • Anda tidak perlu memilih wilayah untuk Logstore khusus instans Anti-DDoS Proxy (Tiongkok Daratan). Secara default, log instans tersebut disimpan di wilayah Tiongkok (Hangzhou).

   • Setelah mengaktifkan fitur analisis log, Anti-DDoS Proxy membuat Logstore untuk instans Anda di wilayah yang ditentukan dalam Layanan Log Sederhana. Kemudian, Anti-DDoS Proxy mengumpulkan dan mengirimkan data log instans tersebut ke Logstore.

Langkah 3: Aktifkan fitur pengumpulan log

Pada halaman Log Analysis, aktifkan fitur pengumpulan log untuk nama domain situs web Anda.

• Aktifkan fitur pengumpulan log untuk satu nama domain: Pilih nama domain dari daftar drop-down Select Domain Names dan aktifkan Status.

• Aktifkan fitur pengumpulan log untuk beberapa nama domain sekaligus: Klik Batch Configure di pojok kanan atas halaman. Pada panel Batch Configure, pilih beberapa nama domain lalu klik Batch Enable.

Setelah mengaktifkan fitur pengumpulan log, Layanan Log Sederhana secara otomatis membuat proyek khusus untuk Anti-DDoS Proxy. Proyek khusus ini digunakan untuk mengelola log Anti-DDoS Proxy.

Anda dapat melihat proyek khusus tersebut di halaman utama Konsol Layanan Log Sederhana. Nama proyek khusus untuk Anti-DDoS Pro dan Anti-DDoS Premium (Tiongkok daratan) diawali dengan ddoscoo-project. Nama proyek khusus untuk Anti-DDoS Pro dan Anti-DDoS Premium (luar daratan Tiongkok) diawali dengan ddosdip-project. Proyek khusus berisi sumber daya berikut secara default:

• Logstore khusus untuk menyimpan log Anti-DDoS Pro dan Anti-DDoS Premium. Logstore khusus ini bernama ddoscoo-logstore untuk Anti-DDoS Pro dan Anti-DDoS Premium (Tiongkok daratan) dan ddosdip-logstore untuk Anti-DDoS Pro dan Anti-DDoS Premium (luar daratan Tiongkok).

• Dua dasbor log preset yang digunakan untuk menampilkan hasil Analisis Log dalam bentuk grafik. Dasbor tersebut adalah DDoS Access Center dan DDoS Operation Center. Informasi dalam dasbor ini sama baik untuk Anti-DDoS Proxy (Tiongkok Daratan) maupun Anti-DDoS Proxy (Luar Daratan Tiongkok).

Langkah 4: (Opsional) Lakukan kueri dan analisis log

1. Pada halaman Log Analysis, pilih nama domain dari daftar drop-down Select Domain Names.

2. Pada tab Full Logs, tentukan rentang waktu untuk kueri.

   Catatan

   • Log Anti-DDoS Proxy disimpan selama 180 hari. Secara default, Anda hanya dapat melakukan kueri log dari 180 hari sebelumnya.

   • Hasil kueri mungkin berisi log yang dihasilkan 1 menit lebih awal atau lebih lambat dari rentang waktu yang ditentukan.

3. Masukkan pernyataan kueri di kotak pencarian, lalu klik Search & Analyze.

   Pernyataan pencarian dan analisis terdiri dari pernyataan pencarian dan pernyataan analitik, dipisahkan oleh tanda garis vertikal (|). Format: Pernyataan pencarian|Pernyataan analitik.

   Pernyataan	Opsional	Deskripsi
   Pernyataan kueri.	Opsi	Pernyataan pencarian menentukan kondisi pencarian, seperti kata kunci, nilai numerik, rentang nilai numerik, tanda bintang (*), atau kombinasi kondisi pencarian. Jika Anda menentukan spasi atau tanda bintang (*) sebagai pernyataan pencarian, tidak ada kondisi yang digunakan untuk pencarian, dan semua log akan dikembalikan. Untuk informasi selengkapnya, lihat Sintaks pencarian. Catatan Untuk informasi selengkapnya mengenai field log, lihat Field yang termasuk dalam log lengkap.
   Pernyataan analitik	Opsional	Pernyataan analitik digunakan untuk mengagregasi dan menghitung data dalam hasil pencarian atau semua log. Jika Anda tidak mengisi pernyataan analitik, hasil pencarian akan dikembalikan tetapi tidak dilakukan analisis. Untuk informasi selengkapnya, lihat Ikhtisar analisis log. Catatan Dalam pernyataan analitik, Anda dapat menghilangkan klausa from <table_name> dari sintaks SQL standar, yaitu from log. Secara default, 100 entri log pertama dikembalikan. Jika ingin menyesuaikan jumlah ini, Anda dapat menjalankan pernyataan LIMIT. Untuk informasi selengkapnya, lihat Klausa LIMIT.

   Setelah pernyataan kueri dijalankan, hasil analisis secara otomatis ditampilkan dalam bentuk tabel. Hasil analisis juga dapat ditampilkan dalam berbagai jenis grafik, seperti grafik garis, grafik kolom, atau grafik pai. Anda dapat memilih metode tampilan sesuai kebutuhan. Untuk informasi selengkapnya, lihat Ikhtisar grafik.

   Anda juga dapat mengonfigurasi aturan peringatan berdasarkan grafik dalam dasbor untuk memantau status layanan secara real-time. Untuk informasi selengkapnya, lihat Ikhtisar.

   Pernyataan kueri umum

   • Menanyakan jumlah kunjungan ke nama domain.

     * | SELECT COUNT(*) as times, host GROUP by host ORDER by times desc limit 100

   • Menanyakan jenis serangan yang diblokir.

     * | select cc_action,cc_phase,count(*) as t group by cc_action,cc_phase order by t desc limit 10

   • Menanyakan permintaan per detik (QPS).

     * | select time_series(__time__,'15m','%H:%i','0') as time,count(*)/900 as QPS group by time order by time

   • Menanyakan nama domain yang diserang.

     * and cc_blocks:1 | select cc_action,cc_phase,count(*) as t group by cc_action,cc_phase order by t desc limit 10

   • Menanyakan URL yang diserang.

     * and cc_blocks:1 | select count(*) as times,host,request_path group by host,request_path order by times

   • Menanyakan detail permintaan.

     * | select date_format(date_trunc('second',__time__),'%H:%i:%s') as time,host,request_uri,request_method,status,upstream_status,querystring limit 10

   • Menanyakan detail mengenai kode status 5XX.

     * and status>499 | select host,status,upstream_status,count(*)as t group by host,status,upstream_status order by t desc

   • Menanyakan distribusi latensi permintaan.

     * | SELECT count_if(upstream_response_time<20) as "<20",
     count_if(upstream_response_time<50 and upstream_response_time>20) as "<50",
     count_if(upstream_response_time<100 and upstream_response_time>50) as "<100",
     count_if(upstream_response_time<500 and upstream_response_time>100) as "<500",
     count_if(upstream_response_time<1000 and upstream_response_time>500) as "<1000",
     count_if(upstream_response_time>1000) as ">1000"

Langkah 5: (Opsional) Lakukan kueri laporan log

Layanan Log Sederhana menyediakan dasbor agar Anda dapat menganalisis data secara real-time. Setelah melakukan kueri dan analisis log menggunakan pernyataan kueri dan analisis, Anda dapat menyimpan grafik hasil analisis ke dasbor. Analisis Log Sederhana menyediakan dua dasbor preset: DDoS Access Center dan DDoS Operation Center.

1. Pada halaman Log Analysis, pilih nama domain dari daftar drop-down Select Domain Names.

2. Pada tab Log Reports, klik Select Time Range untuk menentukan rentang waktu.

   Catatan

   Setiap grafik pada dasbor dihasilkan berdasarkan statistik dalam rentang waktu tertentu. Misalnya, rentang waktu default adalah 1 jam untuk grafik akses situs web dan 1 minggu untuk grafik tren akses. Setelah Anda menentukan rentang waktu, semua grafik pada halaman saat ini akan ditampilkan berdasarkan rentang waktu yang ditentukan.

3. Lihat dasbor preset.

   Laporan log ditampilkan dalam berbagai jenis grafik. Untuk informasi selengkapnya mengenai jenis grafik, lihat Ikhtisar grafik.

   • DDoS Access Center: menampilkan metrik dasar situs web, tren akses, distribusi sumber permintaan, dan statistik lainnya seperti nama domain akses dan tipe klien. Metrik situs web mencakup PV, UV, lalu lintas masuk, dan bandwidth puncak.

     DDoS Access Center

     Nama grafik	Tipe	Rentang waktu default	Deskripsi	Contoh
     PV	Nilai tunggal	1 jam (relatif)	Jumlah total permintaan.	100000
     UV	Nilai tunggal	1 jam (relatif)	Jumlah total UV.	100000
     Traffic In	Nilai tunggal	1 jam (relatif)	Total volume lalu lintas masuk situs web. Satuan: MB.	300 MB
     Peak network in traffic	Nilai tunggal	Hari ini (jangka waktu)	Laju transmisi data masuk maksimum situs web. Satuan: byte/s.	100 Bytes/s
     Peak network out traffic	Nilai tunggal	Hari ini (jangka waktu)	Laju transmisi data keluar maksimum situs web. Satuan: byte/s.	100 Bytes/s
     Traffic network trend	Grafik garis ganda	1 minggu (relatif)	Tren lalu lintas masuk dan keluar. Satuan: KB/s.	Tidak ada
     PV/UV trends	Grafik garis ganda	1 minggu (relatif)	Tren PV dan UV.	Tidak ada
     Access status distribution	Grafik pai	1 minggu (relatif)	Distribusi permintaan dengan kode status berbeda, seperti 400, 304, dan 200. Satuan: jumlah/menit.	Tidak ada
     Access source	Peta dunia	1 jam (relatif)	Distribusi PV dari berbagai negara.	Tidak ada
     Traffic in source (world)	Peta dunia	1 jam (relatif)	Distribusi lalu lintas masuk dari berbagai negara. Satuan: MB.	Tidak ada
     Traffic in source (China)	Peta Tiongkok	1 jam (relatif)	Distribusi lalu lintas masuk dari berbagai provinsi di Tiongkok. Satuan: MB.	Tidak ada
     Access heatmap	AMAP	1 jam (relatif)	Peta panas yang menunjukkan lokasi geografis pengunjung.	Tidak ada
     Source Network Provider	Grafik donat	1 jam (relatif)	Distribusi lalu lintas masuk dari berbagai penyedia layanan Internet (ISP), seperti China Telecom, China Unicom, China Mobile, dan CERNET. Satuan: MB.	Tidak ada
     Referer	Grafik tabel	1 jam (relatif)	100 URL referer, host, dan jumlah pengalihan terbanyak.	Tidak ada
     Access Line Distribution	Grafik donat	1 jam (relatif)	Distribusi jalur Anti-DDoS Proxy.	Tidak ada
     PC client distribution	Grafik donat	1 jam (relatif)	20 user agent terbanyak yang digunakan, seperti iPhone, iPad, Internet Explorer, dan Google Chrome.	Tidak ada
     Request content type distribution	Grafik donat	1 jam (relatif)	20 tipe konten yang paling banyak diminta, seperti HTML, form, JSON, dan data streaming.	Tidak ada
     Accessed sites	Grafik donat	1 jam (relatif)	20 nama domain situs web yang paling sering dikunjungi.	Tidak ada
     Top clients	Grafik tabel	1 jam (relatif)	Informasi tentang 100 klien teratas yang menginisiasi permintaan terbanyak. Informasi tersebut mencakup alamat IP, PV, lalu lintas masuk, jumlah permintaan tidak valid, dan jumlah serangan.	Tidak ada
     URL with slowest response	Grafik tabel	1 jam (relatif)	Informasi tentang 100 URL dengan waktu respons terlama. Informasi tersebut mencakup situs web, URL, waktu respons, dan jumlah akses.	Tidak ada

   • DDoS Operation Center: menampilkan status operasi keseluruhan situs web, termasuk tren lalu lintas masuk dan keluar, tren permintaan dan intersepsi, penyerang, serta situs web yang dikunjungi.

   Anda juga dapat mengklik Subscribe di pojok kanan atas tab Laporan Log untuk berlangganan dasbor dan mengirimkan data dasbor ke penerima tertentu melalui email atau pesan DingTalk. Untuk informasi selengkapnya, lihat Tambahkan Langganan.

Referensi

Operasi umum pada log layanan Alibaba Cloud