你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

教程：在 Log Analytics 工作区中查询 Azure DDoS 防护日志

本教程介绍如何执行下列操作：

• 查看 Azure DDoS 防护诊断日志，包括通知、风险缓解报表和缓解流日志。

DDoS 防护诊断日志使你能够在 DDoS 攻击后查看 DDoS 防护通知、缓解报告和缓解流日志。 可以在 Log Analytics 工作区中查看这些日志。

攻击缓解报告使用 Netflow 协议数据，这些数据聚合在一起，提供有关资源所受攻击的详细信息。 只要公共 IP 资源受到攻击，就会在缓解措施启动时开始生成报告。 每 5 分钟生成一份增量报告，整个缓解过程结束后，生成一份缓解后报告。 这是为了确保在 DDoS 攻击持续时间较长时，能够每隔 5 分钟查看一次最新的缓解报告快照，并在攻击缓解结束后查看完整总结。

先决条件

• 具有活动订阅的 Azure 帐户。 免费创建帐户。
• 必须在虚拟网络上启用 DDoS 网络保护，或者必须在公共 IP 地址上启用 DDoS IP 保护。
• 配置 DDoS 防护诊断日志。 若要了解详细信息，请参阅配置诊断日志。
• 使用我们的模拟合作伙伴之一模拟攻击。 要了解详细信息，请参阅与模拟合作伙伴一起测试。

在 Log Analytics 工作区中查看

1. 登录 Azure 门户。

2. 在门户顶部的搜索框中，输入“Log Analytics 工作区”。 在搜索结果中选择“Log Analytics 工作区”。

3. 在“Log Analytics 工作区”边栏选项卡下，选择工作区。

4. 在左侧选项卡上，选择“日志”。 在这里，可以看到查询资源管理器。 退出“查询”窗格以利用“日志”页。

   

5. 在“日志”页中，输入查询，然后点击“运行”以查看结果。

   

在 Log Analytics 工作区中查询 Azure DDoS 防护日志

有关日志架构的详细信息，请参阅查看诊断日志。

DDoSProtectionNotifications 日志

1. 在“日志分析工作区”边栏选项卡下，选择日志分析工作区。

2. 在左侧窗格上，选择“日志”。

   

3. 在查询资源管理器中，键入以下 Kusto 查询，将时间范围更改为“自定义”，并将时间范围更改为过去 3 个月。 然后单击“运行”。

   AzureDiagnostics
   | where Category == "DDoSProtectionNotifications"
   

4. 若要查看 DDoSMitigationFlowLogs，请将查询更改为如下所示，保留相同的时间范围，然后单击“运行”。

   AzureDiagnostics
   | where Category == "DDoSMitigationFlowLogs"
   

5. 若要查看 DDoSMitigationReports，请将查询更改为如下所示，保留相同的时间范围，然后单击“运行”。

   AzureDiagnostics
   | where Category == "DDoSMitigationReports"
   

示例日志查询

DDoS 防护通知

通知会在公共 IP 资源遭受攻击以及攻击风险缓解结束时向你发出通知。

AzureDiagnostics
| where Category == "DDoSProtectionNotifications"

下表列出了字段的名称和描述：

字段名称	说明
TimeGenerated	创建通知时的日期和时间 (UTC)。
ResourceId	公共 IP 的资源 ID。
类别	对于通知，这将为 DDoSProtectionNotifications。
ResourceGroup	包含公共 IP 和虚拟网络的资源组。
SubscriptionId	你的 DDoS 防护计划订阅 ID。
资源	公共 IP 的名称。
ResourceType	这将始终为 PUBLICIPADDRESS。
OperationName	对于通知，这是 DDoSProtectionNotifications。
消息	攻击的详细信息。
类型	通知的类型。 可能的值包括 MitigationStarted。 MitigationStopped。
PublicIpAddress	你的公共 IP。

DDoS 缓解流日志

通过攻击缓解流日志，可近乎实时地查看活动的 DDoS 攻击期间的丢弃流量、转发流量和其他相关数据点。 可通过事件中心将此数据的恒定流引入 Microsoft Sentinel 或第三方 SIEM 系统，以实现近实时监视，还可采取可能的措施，解决防御运营需求。

AzureDiagnostics
| where Category == "DDoSMitigationFlowLogs"

下表列出了字段的名称和描述：

字段名称	说明
TimeGenerated	创建流日志时的日期和时间 (UTC)。
ResourceId	公共 IP 的资源 ID。
类别	对于流日志，这是 DDoSMitigationFlowLogs。
ResourceGroup	包含公共 IP 和虚拟网络的资源组。
SubscriptionId	你的 DDoS 防护计划订阅 ID。
资源	公共 IP 的名称。
ResourceType	这将始终为 PUBLICIPADDRESS。
OperationName	对于流日志，这是 DDoSMitigationFlowLogs。
消息	攻击的详细信息。
SourcePublicIpAddress	客户端的公共 IP，该客户端生成到公共 IP 的流量。
SourcePort	端口号范围介于 0 到 65535 之间。
DestPublicIpAddress	你的公共 IP。
DestPort	端口号范围介于 0 到 65535 之间。
协议	协议的类型。 可能的值包括 tcp、udp、other。

DDoS 缓解报告

AzureDiagnostics
| where Category == "DDoSMitigationReports"

下表列出了字段的名称和描述：

字段名称	说明
TimeGenerated	创建通知时的日期和时间 (UTC)。
ResourceId	公共 IP 的资源 ID。
类别	对于缓解报表，这是 DDoSMitigationReports。
ResourceGroup	包含公共 IP 和虚拟网络的资源组。
SubscriptionId	你的 DDoS 防护计划订阅 ID。
资源	公共 IP 的名称。
ResourceType	这将始终为 PUBLICIPADDRESS。
OperationName	对于缓解报表，这是 DDoSMitigationReports。
ReportType	可能的值为 Incremental 和 PostMitigation。
MitigationPeriodStart	风险缓解开始时的日期和时间 (UTC)。
MitigationPeriodEnd	风险缓解终止时的日期和时间 (UTC)。
IPAddress	你的公共 IP 地址。
AttackVectors	攻击类型的降级。 键包括 TCP SYN flood、TCP flood、UDP flood、UDP reflection 和 Other packet flood。
TrafficOverview	攻击流量的降级。 键包括 Total packets、Total packets dropped、Total TCP packets、Total TCP packets dropped、Total UDP packets、Total UDP packets dropped、Total Other packets 和 Total Other packets dropped。
协议	所包含协议的明细。 键包括 TCP、UDP 和 Other。
DropReasons	丢弃数据包的原因分析。 键包括 Protocol violation invalid TCP。 syn Protocol violation invalid TCP、Protocol violation invalid UDP、UDP reflection、TCP rate limit exceeded、UDP rate limit exceeded、Destination limit exceeded、Other packet flood Rate limit exceeded 和 Packet was forwarded to service。 协议冲突无效的丢弃原因是指格式不正确的数据包。
TopSourceCountries	按入站流量划分的前 10 个源国家/地区的明细。
TopSourceCountriesForDroppedPackets	受限制的前 10 个攻击流量源国家/地区的分析。
TopSourceASNs	传入流量的前 10 个自治系统编号 (ASN) 源的分析。
SourceContinents	入站流量的源洲的分析。
类型	通知的类型。 可能的值包括 MitigationStarted。 MitigationStopped。

后续步骤

本教程介绍了如何在 Log Analytics 工作区中查看 Azure DDoS 防护诊断日志。 若要详细了解受到 DDoS 攻击时要采取的建议步骤，请参阅后续步骤。

通过 Azure DDoS 快速响应互动

DDoS 快速响应策略的组件