本文介绍DDoS防护访问日志的字段详情。
DDoS高防（中国内地）
日志字段 | 说明 |
__topic__ | 日志主题，固定为ddoscoo_access_log。 |
owner_id | 阿里云账号ID |
body_bytes_sent | 请求Body的大小，单位：字节。 |
cc_action | CC防护策略行为，例如none、challenge、pass、close、captcha、wait、login等。 |
cc_phase | CC防护策略，包括seccookie、server_ip_blacklist、static_whitelist、server_header_blacklist、server_cookie_blacklist、server_args_blacklist、qps_overmax等。 |
cc_blocks | 是否被CC防护策略阻断。包括：
|
content_type | 内容类型 |
host | 源网站 |
http_cookie | 请求Cookie |
http_referer | 请求Referer。如果HTTP Header中没有Referer，则显示为短划线（-）。 |
http_user_agent | 请求User Agent |
http_x_forwarded_for | 通过代理跳转的上游用户的IP地址。 |
https | 该请求是否为HTTPS请求。取值如下：
|
isp_line | 线路信息，例如BGP、电信、联通等。 |
matched_host | 匹配到的源站，可能是泛域名。如果未匹配，则显示为短划线（-）。 |
real_client_ip | 客户端的真实IP地址。如果获取不到，则显示为短划线（-）。 |
threat_real_client_ip | 客户端的真实IP地址的威胁情报。更多信息，请参见威胁情报字段。 |
remote_addr | 请求连接的客户端IP地址 |
remote_port | 请求连接的客户端端口号 |
request_length | 请求长度，单位：字节。 |
request_method | 请求的HTTP方法 |
request_time_msec | 请求时间，单位：毫秒。 |
request_uri | 请求路径 |
server_name | 匹配到的host名。如果未匹配，则显示为default。 |
status | HTTP状态 |
time | 时间 |
ua_browser | 浏览器 |
ua_browser_family | 浏览器系列 |
ua_browser_type | 浏览器类型 |
ua_device_type | 客户端设备类型 |
ua_os | 客户端操作系统 |
ua_os_family | 客户端操作系统系列 |
upstream_addr | 回源地址列表，格式为IP:Port。 多个地址之间以英文逗号（,）分隔。 |
upstream_ip | 实际回源地址IP地址 |
upstream_response_time | 回源响应时间，单位：秒。 |
upstream_status | 回源请求HTTP状态 |
DDoS高防（非中国内地）
日志字段 | 说明 |
__topic__ | 日志主题，固定为ddosdip_access_log。 |
owner_id | 阿里云账号ID |
body_bytes_sent | 请求Body的大小，单位：字节。 |
cc_action | CC防护策略行为，例如none、challenge、pass、close、captcha、wait、login等。 |
cc_phase | CC防护策略，包括seccookie、server_ip_blacklist、static_whitelist、server_header_blacklist、server_cookie_blacklist、server_args_blacklist、qps_overmax等。 |
cc_blocks | 是否被CC防护策略阻断。包括：
|
content_type | 内容类型 |
host | 源网站 |
http_cookie | 请求Cookie |
http_referer | 请求Referer。如果HTTP Header中没有Referer，则显示为短划线（-）。 |
http_user_agent | 请求User Agent |
http_x_forwarded_for | 通过代理跳转的上游用户的IP地址。 |
https | 该请求是否为HTTPS请求。取值如下：
|
isp_line | 线路信息，例如BGP、电信、联通等。 |
matched_host | 匹配到的源站，可能是泛域名。如果未匹配，则显示为短划线（-）。 |
real_client_ip | 客户端的真实IP地址。如果获取不到，则显示为短划线（-）。 |
threat_real_client_ip | 客户端的真实IP地址的威胁情报。更多信息，请参见威胁情报字段。 |
remote_addr | 请求连接的客户端IP地址 |
remote_port | 请求连接的客户端端口号 |
request_length | 请求长度，单位：字节。 |
request_method | 请求的HTTP方法 |
request_time_msec | 请求时间，单位：毫秒。 |
request_uri | 请求路径 |
server_name | 匹配到的Host名。如果未匹配，则显示为default。 |
status | HTTP状态 |
time | 时间 |
ua_browser | 浏览器 |
ua_browser_family | 浏览器系列 |
ua_browser_type | 浏览器类型 |
ua_device_type | 客户端设备类型 |
ua_os | 客户端操作系统 |
ua_os_family | 客户端操作系统系列 |
upstream_addr | 回源地址列表，格式为IP:Port。 多个地址之间以英文逗号（,）分隔。 |
upstream_ip | 实际回源地址IP地址 |
upstream_response_time | 回源响应时间，单位：秒。 |
upstream_status | 回源请求HTTP状态 |
DDoS原生
字段 | 说明 |
__topic__ | 日志主题，固定为ddosbqp_access_log。 |
data_type | 日志类型 |
event_type | 事件类型 |
ip | 事件发生的IP地址 |
subnet | 代播的网段 |
event_time | 事件发生时的时间，例如2020-01-01。 |
qps | 事件发生时的每秒查询率 |
pps_in | 事件发生时的入流量，单位：pps。 |
new_con | 事件发生时的新连接 |
kbps_in | 事件发生时的入流量，单位：bps。 |
instance_id | 实例ID |
time | 日志时间，例如2020-07-17 10:00:30。 |
destination_ip | 目的IP地址 |
port | 目的端口 |
total_traffic_in_bps | 总入流量，单位：bps。 |
total_traffic_drop_bps | 总入流量的丢弃量，单位：bps。 |
total_traffic_in_pps | 总入流量，单位：pps。 |
total_traffic_drop_pps | 总入流量的丢弃量，单位：pps。 |
pps_types_in_tcp_pps | 按协议统计的tcp类型入流量，单位：pps。 |
pps_types_in_udp_pps | 按协议统计的udp类型入流量，单位：pps。 |
pps_types_in_icmp_pps | 按协议统计的icmp类型入流量，单位：pps。 |
pps_types_in_syn_pps | 按协议统计的syn类型入流量，单位：pps。 |
pps_types_in_ack_pps | 按协议统计的ack类型入流量，单位：pps。 |
user_id | 阿里云账号ID |