常用 SLS 查询
常用 SLS 查询
-- 被拒绝流量的目标端口分布
* | select dstport, count(*) as cnt where action = 'REJECT'
group by dstport order by cnt desc limit 20
-- 某源 IP 的访问去向
* | select dstaddr, dstport, count(*) as cnt where srcaddr = '10.10.1.15'
group by dstaddr, dstport order by cnt desc limit 50| 查询语法 | 日志服务标准 SQL，字段名以实际 schema 为准 |
|---|---|
| 常用字段 | srcaddr、dstaddr、srcport、dstport、protocol、action、packets、bytes |
| 分析思路 | 先筛 action=REJECT 找被拦流量，再按源/目的聚合 |
各厂商字段命名略有差异，建好日志库后先取一条样本确认字段再写分析语句。