AntiDDoSPro HostOps
本 skill 用于对火山引擎 AntiDDoSPro 防护域名做只读巡检、分析和排障。
最适合的场景：
- 域名健康巡检
- 最近攻击排查
- 防护策略检查
- 智能防护 / AI 防护状态核对
- CCAI 资产、事件、建议的只读查询
- 流量与响应异常分析
- 域名到高防实例 IP 的解析
当任务明确围绕某个 AntiDDoSPro 防护域名或 Host 展开，并且目标是查看、分析、解释现状，而不是修改配置时，应优先使用本 skill，而不是通用排障或通用报表 skill。
Compatibility
期望环境：
- Python 3
requests- 通过环境变量
VOLC_ACCESS_KEY/VOLC_SECRET_KEY提供火山引擎凭证
需要实际发起 API 调用时，使用本 skill 附带的客户端能力。
不要在对话、提示词或工具参数中传入 AK/SK。
Boundaries
本 skill 只读。
不要：
- 修改防护策略
- 增删黑白名单规则
- 修改区域封禁配置
- 调用任何写接口
如果用户要求变更配置，应明确说明本 skill 只支持查看、分析和排障，不负责下发变更。
Required inputs
尽量收集：
host：防护域名或 Hostbegin_time/end_time：如果用户明确给出了时间范围
如果用户没有给时间范围：
- 对攻击和流量类分析，默认查看最近 1 小时
如果用户没有给 host：
- 先追问防护域名或 Host，再继续
Default workflow
1. 先判断用户目标
判断用户是想要：
- 一次完整巡检
- 查看防护策略
- 核对智能防护 / AI 防护状态
- 排查攻击事件
- 查看 CCAI 资产、事件或处置建议
- 分析流量或报表异常
- 解析域名对应的高防实例 IP
如果用户表达比较模糊，默认先做完整巡检。
2. 选择合适入口
- 防护策略检查 →
query_antiddospro_policy_overview - 智能防护 / AI 防护状态核对 →
query_antiddospro_policy_overview，必要时结合 CCAI 资产查询 - 攻击事件排查 →
query_antiddospro_attack_events；如果用户明确在看 CCAI 事件，则优先走 CCAI 事件查询 - CCAI 资产、事件、建议查询 →
query_antiddospro_ccai_overview；需要进一步展开时，再分别调用ListAssets、ListEvents、DescribeEvent、ListRecommendations、DescribeRecommendation - 流量或报表分析 →
query_antiddospro_flow_traffic - 域名到实例 IP 解析 →
resolve_antiddospro_instance_ips - 需求宽泛或表述不清 →
query_antiddospro_host_healthcheck，并按需补充 CCAI 只读信息
3. 解读结果时保持保守
- 明确区分"未观测到数据"和"确认没有风险"
- 上游接口报错时，直接说明真实原因
- 需要排障时，保留请求 ID
- 如果域名无法解析出实例 IP，要明确说明四层 DDoS 视图可能不完整
- 智能防护开关只以
DescSmartCCConf的响应为准；GetHostDefStatus中的SmartEnable不是智能防护开关语义，不能据此下结论 DescSmartCCConf的查询参数是Domain，不是HostDescribeAttackEvent使用2023-03-08，请求体传InstanceIps[]DescribeBizFlowAndConnCount使用2023-03-08，请求体传InstanceIps[]- DDoS 攻击源相关接口按单个
InstanceIp查询，不要把InstanceIps数组直接传给DescribeTopAttackSrcIp、DescribeTopAttackSrcArea、DescribeTopAttackSrcInfo、DescribeAttackDistribution - 不要凭经验猜测参数位置；优先按接口当前可用的请求形态调用
4. 向用户汇总结论
先给结论，再给观测范围、关键发现、风险点和下一步建议。
Output format
除非用户明确要求其他格式，否则按以下顺序输出：
巡检结论
用一小段先说明整体判断：当前看起来正常、可疑、还是存在明确异常。如果数据不完整，也要在这里先说明。
观测范围
- 巡检对象：哪个 Host 或域名
- 时间范围：用户指定时间，或默认最近 1 小时
- 数据完整性：哪些视图完整，哪些因为接口报错或实例 IP 解析失败而不完整
策略状态
- 防护开关状态
- 智能防护开关状态（必须以
DescSmartCCConf的响应为准，不要把GetHostDefStatus返回的SmartEnable当成智能防护开关） - CCAI / AI 防护资产状态（如用户明确询问 AI 防护状态，可补充读取 CCAI
ListAssets的AiDefenseStatus） - CC 规则状态
- WAF 黑白名单状态
- 区域封禁状态
攻击观测
- 指定时间窗口内是否观测到攻击
- 可用时列出来源 IP、来源地区、Top URL 等重点信息
- 如果用户明确关注 CCAI 事件，可补充
ListEvents与DescribeEvent的结果 - 如果只能看到七层数据或只能看到部分数据，要明确说清楚
流量观测
- BPS、PPS、QPS、响应码等是否存在异常
- 流量变化更像正常波动还是异常波动
风险与下一步建议
- 当前最值得关注的风险点
- 建议下一步查看什么
- 哪些结论暂时无法确认，以及原因
保持回答简洁，优先输出提炼后的结论，不要直接倾倒原始 payload。除非观测数据足以支持，否则不要轻易下"域名健康"这种结论。
Error handling
接口失败时不要隐藏错误。
应以用户能理解的方式说明问题，但保留必要的技术细节。常见坑点见 references/troubleshooting.md。
References
按需读取：
references/api-surface.md：接口名称、版本、请求方式、主要参数references/troubleshooting.md：常见 API 坑点与排障方式references/examples.md：典型请求、推荐入口和不支持场景
Implementation notes
如需实际发起查询，可使用本 skill 附带的调用能力。