查看防护日志

操作场景

业务接入DDoS高防后，您可以通过查看高防实例线路的DDoS攻击防护日志和防护域名的CC攻击防护日志，了解当前业务的网络安全状态。

操作须知

• DDoS高防不支持下载防护日志数据。
• 在“概览”页面，您可以查看以下时间段的防护日志数据：
  • DDoS攻击防护

    可以查看指定高防实例和线路“24小时”、“近3天”、“近7天”、“近30天”和“自定义”的DDoS攻击防护数据，其中，“自定义”可以配置查看近90天的DDoS攻击防护数据。

  • CC攻击防护

    可以查看防护域名“昨天”、“今天”、“近3天”、“近7天”和“近30天”的CC攻击防护数据。

前提条件

已成功购买高防实例。

查看DDoS攻击防护日志

1. 登录管理控制台。
2. 在页面上方选择“区域”后，单击页面左上方的，选择“ 安全与合规 > DDoS防护 AAD”，进入“Anti-DDoS流量清洗”界面。
3. 在左侧导航栏选择“DDoS高防 > 概览”，进入“概览”页面。
4. 单击“DDoS攻击防护”页签。
5. 选择待查看的实例名称、线路地址和历史时间段（24小时、近3天、近7天、近30天、自定义，其中，自定义可以查看90天内的防护日志），相关参数说明如表1所示。

   表1 DDoS攻击参数说明

   参数	说明
   高防入流量峰值	每秒访问指定实例指定IP的最高流量。
   攻击流量峰值	每秒攻击指定实例指定IP的最高流量。
   DDoS攻击次数	DDoS攻击指定实例指定IP的次数。
   流量	查看接收流量和攻击流量趋势图。
   报文	查看接收数据包和攻击数据包趋势图。
   攻击类型分布	查看攻击事件类型。 单击“攻击次数”中的其中一个颜色区域，可查看指定域名被攻击的类型、攻击的次数、以及攻击占比。 单击“攻击流量”中的其中一个颜色区域，可查看指定域名被攻击的类型、攻击的流量、以及流量占比。
   TOP5攻击类型流量清洗	TOP5攻击类型次数统计。
   安全事件	查看DDoS攻击事件。 单击攻击源IP后的“详细”，可以查看完整的攻击源IP列表。 攻击中的事件，单击“查看动态黑名单”，可以查看攻击中的黑名单列表。 单击“导出”，可导出安全事件报告。 说明： 关于DDoS攻击事件报表中攻击源的字段，请您注意以下几点说明： 进行中的攻击事件可能不展示攻击源。 一些只包含部分攻击类型的攻击事件不含攻击源。 攻击源随机采样，不是全量的攻击源信息。
   黑洞事件	查看被封堵的IP、状态，封堵开始和结束的时间。 单击“导出”，可导出黑洞事件报告。

   

   在防护日志页面的流量或报文的图表中，不同的查询时间间隔对应的展示粒度不同，具体如下：

   • 查询时间＜20分钟：展示粒度为1分钟。
   • 20分钟＜查询时间＜40分钟：展示粒度为2分钟。
   • 40分钟＜查询时间＜60分钟：展示粒度为3分钟。
   • 1小时＜查询时间≤6小时：展示粒度为5分钟。
   • 6小时＜查询时间≤24小时：展示粒度为10分钟。
   • 1天＜查询时间≤7天：展示粒度为30分钟。
   • 7天＜查询时间≤15天：展示粒度为1小时。
   • 15天＜查询时间≤30天：展示粒度为14小时。

查看CC攻击防护日志

1. 登录管理控制台。
2. 在页面上方选择“区域”后，单击页面左上方的，选择“安全与合规 > DDoS防护 AAD”，进入“Anti-DDoS流量清洗”界面。
3. 在左侧导航栏选择“DDoS高防 > 概览”，进入“概览”页面。
4. 单击“CC攻击防护”页签。
5. 选择需要查看域名和时间范围，相关参数说明如表2所示。
   图1 CC攻击防护
   

   表2 CC攻击防护参数说明

   参数	说明
   请求次数	访问者访问指定域名的总次数。 如果“全部域名”下拉列表中选择的是“全部域名”，则统计的是访问全部已开启 WAF 的域名的总次数。
   请求峰值	每秒访问指定域名的最高次数。 如果“全部域名”下拉列表中选择的是“全部域名”，则统计的是每秒访问全部已开启WAF的域名的最高次数。
   攻击次数	攻击指定域名的次数。
   QPS	域名平均每秒钟的请求量。 QPS（Queries Per Second）即每秒钟的请求量，例如一个HTTP GET请求就是一个Query。
   带宽	平均值：查看出带宽和入带宽的平均值。 峰值：查看出带宽和入带宽的峰值。
   响应码	DDoS高防响应：DDoS高防返回给客户端的响应码以及响应次数。 源站响应：源站返回给DDoS高防的响应码以及响应次数。
   攻击源个数	攻击指定域名的攻击源个数。
   次数统计（次）	请求次数：访问次数趋势图。 攻击次数：攻击次数趋势图。
   攻击类型分布	查看攻击事件类型。 单击“攻击类型分布”中的其中一个颜色区域，可查看指定域名被攻击的类型、攻击的次数、以及攻击占比。 当不需要展示某种类型的攻击时，单击事件分布图右侧攻击类型对应的颜色方块，取消在事件分布圆环中的展示。
   攻击类型分布(次)	不同攻击类型的次数统计。
   攻击源IP TOP100	排名前100的攻击源IP数据。
   URL TOP100	排名前100的攻击URL数据。
   攻击事件	攻击事件具体参数请参考表3。 单击“导出”，可导出攻击事件报告。

   表3 攻击事件参数说明

   参数	说明
   攻击目标	被攻击的域名。
   攻击URL	攻击的防护域名的URL，如“/4b87ef”。
   攻击类型	发生攻击的类型，如“频率控制”。
   攻击时间	本次攻击发生的时间。
   防御动作	防护配置中设置的防护动作。 阻断 仅记录 人机验证
   攻击源IP	攻击者的IP地址。