业务流量接入DDoS高防实例进行防护后，您可以查询DDoS高防（新BGP）、DDoS高防（国际）实例上发生的攻击事件记录和详情，了解攻击防护的具体信息，并针对性地进行防护配置。本文介绍了如何通过攻击分析页面查询攻击事件。

背景信息

通过攻击分析页面，您可以查询历史攻击事件的攻击目标、起止时间、攻击峰值等信息，以及攻击事件详情，帮助您了解攻击来源IP、攻击类型分布、攻击来源地区分布等信息，实现攻击防护流程的透明化，提升防护分析体验。

DDoS攻击事件分为以下类型：
攻击事件类型 说明
Web资源耗尽型 攻击方以业务域名为攻击目标，通过模拟正常用户请求，频繁访问Web服务中资源消耗较大的页面，大量消耗服务器资源，导致服务器资源耗尽，无法响应正常业务请求。

如果多个业务域名在同一时间遭受攻击，则产生多个Web资源耗尽型攻击事件。
连接型 攻击方以业务端口为攻击目标，通过非法占用服务器的TCP、UDP连接通道，大量消耗服务器连接数资源，使服务器无法处理新的连接请求，导致正常业务无法运行。

如果一个DDoS高防IP下的多个业务端口在同一时间遭受攻击，则产生多个连接型攻击事件。
流量型 攻击方以DDoS高防IP为攻击目标，通常利用大量傀儡机同时发起大量业务请求，通过大流量压垮网络设备和服务器，导致带宽拥塞，服务无法响应。

如果多个DDoS高防IP在同一时间遭受攻击，则产生多个流量型攻击事件。

前提条件

查询攻击事件记录

  1. 登录DDoS高防控制台。
  2. 在顶部菜单栏左上角处，选择服务所在地域：
    • DDoS高防（新BGP）：选择中国内地地域。
    • DDoS高防（国际）：选择非中国内地地域。
    您可以通过切换地域分别管理和配置DDoS高防（新BGP）和DDoS高防（国际）实例。在使用DDoS高防服务时，请确认您已选择正确的地域。
  3. 在左侧导航栏，选择调查分析 > 攻击分析。
  4. 在攻击分析页面，选择要查询的攻击类型和时间范围，查询相关的攻击记录。
    • 攻击类型：支持选择Web资源耗尽型、连接型、流量型或全部攻击类型。
    • 时间范围：支持快速查询近1天、近7天或近30天的攻击事件，也可以自定义查询时间范围。自定义查询时间范围时，最多允许查询最近180天内的攻击事件。
    攻击分析页面向您展示以下信息：
    • 页面上方展示了查询时间范围内的流量型攻击峰值（单位：bps）、连接型攻击峰值（单位：cps）和Web资源耗尽型攻击峰值（单位：qps）。
    • 页面下方展示了攻击事件记录。每条攻击事件记录包含攻击类型、攻击目标、起止时间和攻击峰值信息。

    DDoS攻击事件支持查看攻击事件详情。您可以单击事件操作列下的查看详情，查看攻击事件详情。更多信息，请参见查看Web资源耗尽型攻击详情、查看连接型攻击详情和查看流量型攻击详情。

    如果您对某个攻击事件的防护效果有任何建议或疑问，可以通过单击事件操作列下的效果反馈向我们反馈，我们会根据您的宝贵意见持续优化和改进防护效果。

查看Web资源耗尽型攻击详情

您可以在攻击分析页面，单击某个Web资源耗尽型DDoS攻击事件操作列的查看详情，前往事件详情页面，查看事件详情并执行相关操作。
说明 只有在2021年07月15日零点以后发生的Web资源耗尽型攻击事件，支持查询事件详情。
事件详情页面包含以下内容：
支持查看的事件内容 说明
攻击时间 展示被攻击的时间。
攻击目标 展示被攻击的域名。

您可以单击攻击目标后的防护设置，前往网站业务DDoS防护策略页签，为被攻击域名配置防护策略。具体操作，请参见网站业务DDoS防护。

攻击防护详情 展示了攻击期间，入方向总QPS和触发不同模块下防护策略的QPS的变化趋势图，以及触发的防护策略的策略生效时间和拦截次数信息。您也可以在该区域的右上角，设置要查询的时间范围。

网站业务防护模块包括黑名单、区域封禁、频率控制、精确访问控制、其他（例如人机校验失败等）。关于不同防护模块的配置方法，请参见网站业务DDoS防护。

来源地区 展示了攻击请求的来源地区分布，支持切换查看全球分布（国家维度）、中国内地分布（省市区维度）。单击更多可以查看不同来源地区的请求占比数据。

如果您需要封禁某个攻击来源地区的流量，可以单击图表下的防护设置，前往网站业务DDoS防护页签，为被攻击域名配置区域封禁（针对域名）防护策略。具体操作，请参见设置区域封禁（针对域名）。

URL 展示了被请求次数最多的5条URL。按照被请求次数由高到低排序。单击更多可以查看所有被请求的URL（即URI和所属域名）及不同URL的占比。

如果您需要针对具体URI配置访问限速策略，可以单击图表下的防护设置，前往网站业务DDoS防护页签，为被攻击域名配置频率控制防护策略。具体操作，请参见设置频率控制。

防护模块过滤分布 展示了不同防护模块拦截的攻击请求的数量分布。

您可以单击图表下的防护设置，前往网站业务DDoS防护页签，为不同防护模块配置防护策略。关于不同防护模块的配置方法，请参见网站业务DDoS防护。

Top10攻防策略 展示了被命中次数最多的10条防护策略及其占比。单击更多可以查看Top 100攻防策略及不同策略的占比。

您可以单击图表下的防护设置，前往网站业务DDoS防护页签，为不同防护模块配置防护策略。关于不同防护模块的配置方法，请参见网站业务DDoS防护。

您可以在事件详情页面的右上角，单击导出报表，并选择导出图片、导出pdf，将当前事件详情页面另存为本地文件（PNG格式、PDF格式）。

查看连接型攻击详情

您可以在攻击分析页面，单击某个连接型DDoS攻击事件操作列的查看详情，前往事件详情页面，查看事件详情并执行相关操作。
说明 只有在2021年09月20日零点以后发生的连接型攻击事件，支持查询事件详情。
事件详情页面包含以下内容：
支持查看的事件内容 说明
攻击时间 展示被攻击的时间。
攻击目标 展示被攻击的DDoS高防实例的IP及端口。

您可以单击攻击目标后的防护设置，前往基础设施DDoS防护页签，为被攻击实例配置防护策略。具体操作，请参见基础设施DDoS防护。

攻击防护详情 展示了攻击期间，新建连接数和并发连接数的变化趋势图。您可以在该区域的右上角，设置要查询的时间范围。

新建连接数趋势图包含不同防护策略拦截的异常连接数据，例如，黑名单、区域封禁、源限速（具体分为源新建连接限速、源并发连接限速、源PPS限速、源带宽限速）。关于以上防护策略的配置方法，请参见设置黑白名单（针对高防实例IP）、设置区域封禁、设置源限速。

并发连接数趋势图包含活跃连接数和非活跃连接数的数据。

攻击来源IP 展示了发起异常连接次数最多的5个IP及IP所属地区。单击更多可以查看Top 100攻击来源IP的信息。
说明 攻击来源IP全部为攻击IP，不包含正常请求IP。

如果您需要封禁某个IP的流量，可以为被攻击实例配置黑 / 白名单（针对高防实例IP）防护策略。具体操作，请参见设置黑白名单（针对高防实例IP）。

攻击类型 展示了攻击流量的协议类型分布。单击更多可以查看不同攻击类型的请求占比数据。
攻击来源地区 展示了攻击请求的来源地区分布。单击更多可以查看不同来源地区的请求占比数据。

如果您需要封禁某个攻击来源地区的流量，可以为被攻击实例配置区域封禁防护策略。具体操作，请参见设置区域封禁。

您可以在事件详情页面的右上角，单击导出报表，并选择导出图片、导出pdf，将当前事件详情页面另存为本地文件（PNG格式、PDF格式）。

查看流量型攻击详情

您可以在攻击分析页面，单击某个流量型DDoS攻击事件操作列的查看详情，前往事件详情页面，查看事件详情并执行相关操作。
说明 只有在2020年09月30日零点以后发生的流量型攻击事件，支持查询事件详情。
事件详情页面包含以下内容：
支持查看的事件内容 说明
攻击时间 展示被攻击的时间。
攻击目标 展示被攻击的DDoS高防实例的IP。

您可以单击攻击目标后的防护设置，前往基础设施DDoS防护页签，为被攻击实例配置防护策略。相关操作，请参见基础设施DDoS防护。

bps、pps 展示了攻击期间，入方向、出方向流量和清洗流量的带宽的变化趋势图（位于bps页签）、报文的变化趋势图（位于pps页签）。
来源IP（Top 10） 展示了发起请求次数最多的10个IP及IP所属地区。单击更多可以查看Top 100来源IP的信息。
说明 来源IP包含攻击IP和正常请求IP。

如果您需要封禁某个IP的流量，可以单击列表下的黑名单设置，前往基础设施DDoS防护页签，为被攻击实例配置黑 / 白名单（针对高防实例IP）防护策略。具体操作，请参见设置黑白名单（针对高防实例IP）。

攻击来源运营商 展示了攻击流量的来源运营商分布。单击更多可以查看不同运营商的请求占比数据。
说明 目前只有DDoS高防（新BGP）支持该数据，DDoS高防（国际）暂不支持该数据。
攻击来源地区 展示了攻击流量的来源地区分布。单击更多可以查看不同来源地区的请求占比数据。

如果您需要封禁某个攻击来源地区的流量，可以单击图表下的区域封禁设置，前往基础设施DDoS防护页签，为被攻击实例配置区域封禁防护策略。具体操作，请参见设置区域封禁。

攻击类型 展示了攻击流量的协议类型分布。单击更多可以查看不同攻击类型的请求占比数据。

您可以在事件详情页面的右上角，单击导出报表，并选择导出图片、导出pdf，将当前事件详情页面另存为本地文件（PNG格式、PDF格式）。