| name | byted-antiddospro-hostops |
| description | 火山引擎 AntiDDoSPro 高防域名只读巡检。用户要查域名健康、攻击、流量、CC/WAF/区域封禁、智能防护或 CCAI 状态时使用。 |
| version | 1.0.0 |
AntiDDoSPro HostOps
本 skill 用于对火山引擎 AntiDDoSPro 防护域名做只读巡检、分析和排障。
最适合的场景:
- 域名健康巡检
- 最近攻击排查
- 防护策略检查
- 智能防护 / AI 防护状态核对
- CCAI 资产、事件、建议的只读查询
- 流量与响应异常分析
- 域名到高防实例 IP 的解析
当任务明确围绕某个 AntiDDoSPro 防护域名或 Host 展开,并且目标是查看、分析、解释现状,而不是修改配置时,应优先使用本 skill,而不是通用排障或通用报表 skill。
Compatibility
期望环境:
- Python 3
requests
- 通过环境变量
VOLC_ACCESS_KEY / VOLC_SECRET_KEY 提供火山引擎凭证
需要实际发起 API 调用时,使用本 skill 附带的客户端能力。
不要在对话、提示词或工具参数中传入 AK/SK。
Boundaries
本 skill 只读。
不要:
- 修改防护策略
- 增删黑白名单规则
- 修改区域封禁配置
- 调用任何写接口
如果用户要求变更配置,应明确说明本 skill 只支持查看、分析和排障,不负责下发变更。
Required inputs
尽量收集:
host:防护域名或 Host
begin_time / end_time:如果用户明确给出了时间范围
如果用户没有给时间范围:
如果用户没有给 host:
Default workflow
1. 先判断用户目标
判断用户是想要:
- 一次完整巡检
- 查看防护策略
- 核对智能防护 / AI 防护状态
- 排查攻击事件
- 查看 CCAI 资产、事件或处置建议
- 分析流量或报表异常
- 解析域名对应的高防实例 IP
如果用户表达比较模糊,默认先做完整巡检。
2. 选择合适入口
- 防护策略检查 →
query_antiddospro_policy_overview
- 智能防护 / AI 防护状态核对 →
query_antiddospro_policy_overview,必要时结合 CCAI 资产查询
- 攻击事件排查 →
query_antiddospro_attack_events;如果用户明确在看 CCAI 事件,则优先走 CCAI 事件查询
- CCAI 资产、事件、建议查询 →
query_antiddospro_ccai_overview;需要进一步展开时,再分别调用 ListAssets、ListEvents、DescribeEvent、ListRecommendations、DescribeRecommendation
- 流量或报表分析 →
query_antiddospro_flow_traffic
- 域名到实例 IP 解析 →
resolve_antiddospro_instance_ips
- 需求宽泛或表述不清 →
query_antiddospro_host_healthcheck,并按需补充 CCAI 只读信息
3. 解读结果时保持保守
- 明确区分"未观测到数据"和"确认没有风险"
- 上游接口报错时,直接说明真实原因
- 需要排障时,保留请求 ID
- 如果域名无法解析出实例 IP,要明确说明四层 DDoS 视图可能不完整
- 智能防护开关只以
DescSmartCCConf 的响应为准;GetHostDefStatus 中的 SmartEnable 不是智能防护开关语义,不能据此下结论
DescSmartCCConf 的查询参数是 Domain,不是 Host
DescribeAttackEvent 使用 2023-03-08,请求体传 InstanceIps[]
DescribeBizFlowAndConnCount 使用 2023-03-08,请求体传 InstanceIps[]
- DDoS 攻击源相关接口按单个
InstanceIp 查询,不要把 InstanceIps 数组直接传给 DescribeTopAttackSrcIp、DescribeTopAttackSrcArea、DescribeTopAttackSrcInfo、DescribeAttackDistribution
- 不要凭经验猜测参数位置;优先按接口当前可用的请求形态调用
4. 向用户汇总结论
先给结论,再给观测范围、关键发现、风险点和下一步建议。
Output format
除非用户明确要求其他格式,否则按以下顺序输出:
巡检结论
用一小段先说明整体判断:当前看起来正常、可疑、还是存在明确异常。如果数据不完整,也要在这里先说明。
观测范围
- 巡检对象:哪个 Host 或域名
- 时间范围:用户指定时间,或默认最近 1 小时
- 数据完整性:哪些视图完整,哪些因为接口报错或实例 IP 解析失败而不完整
策略状态
- 防护开关状态
- 智能防护开关状态(必须以
DescSmartCCConf 的响应为准,不要把 GetHostDefStatus 返回的 SmartEnable 当成智能防护开关)
- CCAI / AI 防护资产状态(如用户明确询问 AI 防护状态,可补充读取 CCAI
ListAssets 的 AiDefenseStatus)
- CC 规则状态
- WAF 黑白名单状态
- 区域封禁状态
攻击观测
- 指定时间窗口内是否观测到攻击
- 可用时列出来源 IP、来源地区、Top URL 等重点信息
- 如果用户明确关注 CCAI 事件,可补充
ListEvents 与 DescribeEvent 的结果
- 如果只能看到七层数据或只能看到部分数据,要明确说清楚
流量观测
- BPS、PPS、QPS、响应码等是否存在异常
- 流量变化更像正常波动还是异常波动
风险与下一步建议
- 当前最值得关注的风险点
- 建议下一步查看什么
- 哪些结论暂时无法确认,以及原因
保持回答简洁,优先输出提炼后的结论,不要直接倾倒原始 payload。除非观测数据足以支持,否则不要轻易下"域名健康"这种结论。
Error handling
接口失败时不要隐藏错误。
应以用户能理解的方式说明问题,但保留必要的技术细节。常见坑点见 references/troubleshooting.md。
References
按需读取:
references/api-surface.md:接口名称、版本、请求方式、主要参数
references/troubleshooting.md:常见 API 坑点与排障方式
references/examples.md:典型请求、推荐入口和不支持场景
Implementation notes
如需实际发起查询,可使用本 skill 附带的调用能力。