網路服務Log分析

不管企業內部還是外部，在資訊電子化的企業裡，存在大大小小不同類型的網路服務，而這些運行網路服務的伺服機，在服務的同時都會記錄存取軌跡，一般而言都會稱之為Log。其中，一般最常見的Log為Apache服務的Access Log，記錄著每一次服務存取的來源與路徑、以及存取結果。

然而密密麻麻的 Log，卻隱含著您的客戶來自何方，以及是在什麼時候使用您的服務，甚至可以了解您的客戶最喜歡存取您什麼服務，或是在使用什麼服務的時候最容易導致錯誤。透過了解使用者，改善用戶體驗來增加客戶數量以及停留時間，進而為網站服務帶來更多收益。

此外，有時候更可以透過這些Log找出隱藏的威脅者，讓您可以提早發現這些攻擊行為。藉由提早發現與預防，更有充足的時間來應付威脅者的攻擊，並且將其來源IP阻擋在防火牆外，降低因威脅者攻擊導致服務異常的風險。

然而過去要做這些分析達到前述的功能，從最原始的資料開始做拆解，資料清理，資料轉換，資料分析最後再做視覺化呈現，需要耗費非常多人力時間，同時也需要特定領域的專業。但現在只要將Log上傳至AAAS分析平台，就可以解決以上之問題，以下會以一個案例進行說明，此案例的Log數量總共有一千萬筆，當這些數據經由分析後，透過視覺化的呈現，您也有機會為您的網站服務帶來更多收益，以及降低服務異常的風險。

了解您的客戶來自何方
透過存取地理資訊分析，您可以掌握您的客戶來自哪一個國家，甚至是哪一座城市。您可以透過存取國家排名長條圖，來查閱您的使用者大部來自哪裡，在此案例中，可以了解到這個服務大部分都是來自於台灣。

您也可透過選取左上的排名，進行右上角城市地圖的過濾，這個時候可以更精確地了解您的客戶來自於哪個城市。圓圈越大，代表該城市的客戶數越多，顏色越深，代表該城市的存取量越高。因此我們可了解到，此案例來自於台北的客戶是最多了。

左下角則可以查閱到您的客戶通常是在什麼時段進行存取，可以做為服務維修停止時段的參考，或是透過虛擬化技術，降低客戶數量較少時的使用資源，達到降低成本的目的。因此透過此圖在這個案例中，可發現在台灣的凌晨一點到早上六點是最少人存取的時候。因此若有軟體服務升級，可以藉此時進行停機維護。

右下角的是該國家的IP對服務存取的排名，我們可以透過左上角的國家排名來找出在目標客群以外國家的存取，這個時候可以發現到，某些語言不通的國家竟然會進行服務存取，這個時候可藉由這種方式，找到異常存取的國外IP。

了解服務的熱門時段
存取時間分析，透過時間軸結合折線圖，可以知道服務在那段時間比較熱門，同時結合存取的回應狀態，更進一步可以了解到各服務被存取時，在那段時間比較經常發生，進而釐清是系統問題或是有惡意的存取。

除了每天存取數量外，回應狀態讓企業對服務的掌握更為全面，2與3 開頭代表存取成功，但是4與5開頭分別代表用戶端異常與伺服機異常。回應狀態4開頭的部分，可以深入去探就是使用者發出異常的存取，還是因為網站服務設計有問題，導致使用者進行異常的存取，或是有惡意的使用者想嘗試漏洞攻擊。若是回應為5開頭，則有可能是服務在該時段發生異常，透過視覺化呈現可以快速抓出異常時間。

了解您的客戶使用習慣
了解客戶用什麼作業系統、使用什麼瀏覽器，企業可以依據這些資訊進行使用者體驗的改善。左上圖可以看到客戶存取的作業系統分布，因此在此案例中，仍然可發現使用Windows作業系統的使用者，佔絕大的部分，佔第二多的則是Mac的使用者。

另外，可看到右圖瀏覽器類型中IE仍然佔絕大的部分，Chrome則是佔第二多。若想要更精確了解使用者的作業系統與瀏覽器類型的比例，可以透過點擊作業系統與瀏覽器類型區塊，來與資料進行互動。在此案例中，若您點擊Windows 7 區塊，可發現瀏覽器類型區塊進行變動，這個時候Mac 專屬的Safari就不會出現在瀏覽器類型區塊。

隨著行動裝置的流行，也可透過下圖的桌上型與行動裝置分布比例，了解存取您網站服務的用戶，目前傾向使用什麼行動裝置進行存取。


透過檔案類型與狀態，找出異常存取用戶
要從數千萬筆的Log找出有問題或是異常存取的用戶，有如大海撈針般困難，但是透過視覺化的呈現，在本案例中變得容易許多。您可以透過互動性的過濾選項，先鎖定回應狀態404異常，在勾選檔案類型，這時候您可發現疑似有問題的存取路徑，在本案例中，並沒有任何一個服務的存取路徑檔名為exe，這個時候可以進一步去找出可疑的來源IP，看此IP來自什麼地方以及活動的時間。

透過異常存取下載量，找出異常存取用戶
網站頻寬對於一個網路服務來說是重要且珍貴的，若是有特定用戶占用龐大的頻寬，將會影響其他用戶的使用品質，若是存取量過大導致伺服器無法負荷，或是被惡意使用者發動DDOS攻擊，造成的損失是非常可觀了。

因此在此案例中，可以透過檔案下載排名，找出下載量最大的IP，接著可以查閱該IP的存取路徑是否正常，透過下圖還可查閱該 IP的活動時間，其中紅點越紅，代表該IP在那個時間點，用少數的存取換取流量的行為更為明顯。