Tous les produits
Search

Ce produit

    Cloud Firewall:Log fields

    Centre de documentation

    Cloud Firewall:Log fields

    Dernière mise à jour :Sep 18, 2026

    Une fois la fonction d'analyse des journaux activée, Cloud Firewall collecte et stocke automatiquement les journaux de trafic et d'événements en temps réel. Vous pouvez interroger les journaux en spécifiant des champs pour faciliter l'analyse et le dépannage. Cette rubrique décrit les types de journaux pris en charge ainsi que la signification de chaque champ.

    Remarque

    Cette rubrique contient un grand nombre de champs de journal. Pour trouver un champ spécifique, appuyez sur Ctrl + F.

    Types de journaux

    Cloud Firewall collecte les types de journaux suivants, distingués par le champ log_type :

    log_type

    Type

    __topic__

    internet_log

    Journaux de trafic des actifs IPv4 du pare-feu Internet

    cloudfirewall_access_log

    vpc_firewall_log

    Journaux de trafic du pare-feu VPC

    cloudfirewall_access_log

    nat_firewall_log

    Journaux de trafic du pare-feu NAT

    cloudfirewall_access_log

    ipv6_firewall_log

    Journaux de trafic des actifs IPv6 du pare-feu Internet

    cloudfirewall_access_log

    dns_firewall_log

    Journaux de trafic du pare-feu DNS

    cloudfirewall_access_log

    internet_ips_log

    Journaux IPS du pare-feu Internet

    cloudfirewall_ips_log

    vpc_ips_log

    Journaux IPS du pare-feu VPC

    cloudfirewall_vpc_ips_log

    tls

    Journaux d'inspection TLS du pare-feu Internet

    event_log

    appid_ctrl

    Journaux de contrôle des applications du pare-feu Internet

    event_log

    web_filter

    Journaux de filtrage web du pare-feu Internet

    event_log

    • Champs communs à tous les types de journaux :

      log_type, src_ip, dst_ip, src_port, dst_port, aliuid, __topic__ et __time__

    • Champs propres à chaque type de journal : Développez les sections suivantes pour plus de détails.

    internet_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, member_uid, l4_protocol, l7_protocol, net_connect_dir et traffic_type

    Champs système SLS : __topic__ et __time__

    vpc_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, firewall_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, aliuid, src_region, dst_region, src_network_instance_id et dst_network_instance_id

    Champs système SLS : __topic__ et __time__

    nat_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, src_vpc_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, src_region et cloud_instance_id

    Champs système SLS : __topic__ et __time__

    ipv6_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, l4_protocol, l7_protocol, net_connect_dir et traffic_type

    Champs système SLS : __topic__ et __time__

    dns_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, src_vpc_id et src_region

    Champs système SLS : __topic__ et __time__

    internet_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, aliuid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, city_id, country_id, isp_id, firewall_id, user_ips_mode, payload_text, ips_rule_name, attack_type_name et log_type

    Champs système SLS : __tag__:__receive_time__, __topic__ et __time__

    vpc_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, member_uid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, firewall_id, src_vpc_id, dst_vpc_id, payload_text, user_ips_mode, ips_rule_name, attack_type_name, aliuid et log_type

    Champs système SLS : __tag__:__receive_time__, __topic__ et __time__

    tls

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, session_id, ssl_handshake_res, ssl_error_index, ssl_error_msg, sni, ssl_protocol et ssl_cipher

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    appid_ctrl

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action et appid_ctrl_appid

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    web_filter

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action, url, http_method et category

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    Champs de journal

    Paramètre

    Description

    Exemple

    __time__

    L'heure à laquelle le journal est écrit dans un Logstore. La valeur correspond à un horodatage Unix en secondes.

    1703483369

    __topic__

    Le sujet du journal. La valeur est fixée à cloudfirewall_access_log, ce qui indique un journal de trafic provenant de Cloud Firewall.

    cloudfirewall_access_log

    __tag__:__receive_time__

    Un tag système SLS indiquant l'heure à laquelle le serveur SLS a reçu le journal.

    1785833241

    acl_rule_id

    L'ID de la politique de contrôle d'accès correspondant au trafic.

    Une valeur de 00000000-0000-0000-0000-000000000000 indique qu'aucune politique de contrôle d'accès n'a été mise en correspondance.

    073a1475-6e11-43e2-8b28-98cee9c6****

    action

    L'action exécutée par la règle.

    deny

    action_user

    L'action appliquée au trafic correspondant à la règle. Valeurs possibles :

    • 0 (pass) : Le trafic est autorisé.

    • 1 (alert) : Une alerte est générée.

    • 2 (drop) : Le trafic est bloqué.

    1

    aliuid

    L'ID du compte Alibaba Cloud.

    1233333333****

    app_dpi_state

    L'état de l'identification de l'application. Valeurs possibles :

    • success : L'application a été identifiée avec succès.

    • policy_discard : Le trafic a été bloqué par une politique.

    • tcp_not_establish : La connexion TCP n'a pas pu être établie.

    • analysing : L'application est en cours d'identification.

    • no_payload : Aucune charge utile n'a été reçue.

    • unknown_loose : L'application n'a pas pu être identifiée en mode souple.

    • unknown_strict : L'identification de l'application a échoué en mode strict.

    • none : Sans état.

    success

    app_name

    Le type d'application du trafic. Par exemple : HTTPS, NTP, SIP, SMB, NFS, DNS ou Unknown (indique un type de protocole inconnu).

    HTTPS

    appid_ctrl_appid

    L'ID de l'application.

    10010470000

    attack_type

    Le type d'attaque. Valeurs possibles :

    • 1 : Connexion anormale

    • 2 : Exécution de commande

    • 3 : Attaque par force brute

    • 4 : Analyse (Scan)

    • 5 : Autre

    • 6 : Fuite d'informations

    • 7 : Attaque par déni de service (DoS)

    • 8 : Attaque par dépassement de tampon

    • 9 : Attaque Web

    • 10 : Cheval de Troie / Porte dérobée

    • 11 : Virus ou ver

    • 12 : Activité de minage

    • 13 : Shell inversé

    11

    attack_type_name

    Le nom chinois du type d'attaque détecté.

    Mining behavior

    attack_type_name_en

    Le nom anglais du type d'attaque détecté.

    mining behavior

    category

    La catégorie d'URL pour le filtrage web.

    country_id

    Le code pays ou région à deux lettres, défini selon la norme ISO 3166-1.

    Remarque

    Le code YY indique un pays ou une région inconnu.

    • Si direction est in, ce champ indique le pays ou la région source.

    • Si direction est out, ce champ indique le pays ou la région de destination.

    CN

    city_id

    L'identifiant unique de la ville. Ce champ utilise le code administratif à six chiffres des villes de Chine continentale au niveau du comté ou supérieur. Par exemple, le code de Pékin est 110000.

    110000

    cloud_instance_id

    L'ID de l'instance de ressource protégée.

    ngw-bp1d5bx2orlw1p2wn****

    dst_vpc_id

    L'ID de l'instance VPC de destination.

    vpc-xxxxxxxxxxxxxxxxxxxx1

    direction

    La direction du flux de trafic. Valeurs possibles :

    • in : Trafic entrant depuis Internet ou d'autres instances ECS sur le réseau interne vers votre ressource.

    • out : Trafic sortant depuis votre ressource vers Internet ou d'autres instances ECS sur le réseau interne.

    Remarque

    Les pare-feu VPC ne distinguent pas les directions entrantes et sortantes. Pour les journaux de pare-feu VPC, ce champ prend par défaut la valeur out.

    in

    domain

    Le nom de domaine de destination.

    Remarque

    • Ce champ est renseigné uniquement si le trafic contient des informations de nom de domaine.

    • Si app_name est DNS, domain indique le nom de domaine résolu dans la requête DNS.

    www.aliyundoc.com

    dst_ip

    L'adresse IP de destination.

    39.108.XX.XX

    dst_network_instance_id

    L'instance réseau de destination.

    vpc-bp18ina819injc9zs****

    dst_port

    Le port de destination.

    443

    dst_region

    La région de destination.

    cn-beijing

    end_time

    L'heure de fin de la session. La valeur correspond à un horodatage Unix en secondes.

    1702367350

    firewall_id

    L'ID de l'instance de pare-feu VPC.

    cen-m9y9u2hgc0t9im****

    http_method

    La méthode de requête HTTP.

    GET

    in_bps

    Le débit du trafic entrant, en bits par seconde.

    42

    in_packet_bytes

    La taille du trafic entrant, en octets.

    58

    in_packet_count

    Le nombre de paquets dans le trafic entrant.

    1

    in_pps

    Le débit moyen du trafic entrant, en paquets par seconde (pps).

    Remarque

    Si le débit est inférieur à 1 pps, ce champ affiche 0 sans décimales.

    1

    ip_protocol

    Le protocole IP. Valeurs possibles :

    • tcp

    • udp

    • icmp

    tcp

    ips_ai_rule_id

    L'ID de la politique de contrôle d'accès recommandée intelligemment correspondant au trafic.

    Une valeur de 00000000-0000-0000-0000-000000000000 indique qu'aucune politique de contrôle d'accès recommandée intelligemment n'a été mise en correspondance.

    00000000-0000-0000-0000-000000000000

    ips_rule_id

    L'ID de la règle de prévention des intrusions correspondant au trafic.

    Une valeur de 00000000-0000-0000-0000-000000000000 indique qu'aucune règle de prévention des intrusions n'a été mise en correspondance.

    00000000-0000-0000-0000-000000000000

    ips_rule_name

    Le nom chinois de la règle de prévention des intrusions mise en correspondance.

    The host exhibits mining behavior.

    ips_rule_name_en

    Le nom anglais de la règle de prévention des intrusions mise en correspondance.

    Mining behavior on the host

    isp_id

    L'identifiant du fournisseur d'accès Internet (FAI).

    50003280

    l4_protocol

    Le protocole de couche 4, tel que tcp ou udp.

    tcp

    l7_protocol

    Le protocole applicatif de couche 7, tel que HTTP ou Unknown.

    HTTP

    log_type

    Le type de journal. Valeurs possibles :

    • internet_log : Journaux de trafic du pare-feu Internet.

    • vpc_firewall_log : Journaux de trafic du pare-feu VPC.

    • nat_firewall_log : Journaux de trafic du pare-feu NAT.

    • dns_firewall_log : Journaux du pare-feu DNS.

    • ipv6_firewall_log : Journaux de protection du trafic pour les ressources IPv6.

    • internet_ips_log : Journaux d'événements de prévention des intrusions du pare-feu Internet.

    • vpc_ips_log : Journaux d'événements de prévention des intrusions du pare-feu VPC.

    • appid_ctrl : Journaux de contrôle des applications du pare-feu Internet.

    • web_filter : Journaux de filtrage web du pare-feu Internet.

    • tls : Journaux d'inspection TLS du pare-feu Internet.

    internet_log

    loose_allow_acl_id

    L'ID de la politique de contrôle d'accès autorisant le trafic dont le type d'application n'est pas identifié. Valeurs possibles :

    • 00000000-0000-0000-0000-000000000000 : Indique qu'aucun trafic non identifié n'a été autorisé.

    • Autre : Indique que le trafic dont le type d'application n'est pas identifié a été autorisé. La valeur correspond à l'ID de la politique.

    00000000-0000-0000-0000-000000000000

    member_uid

    Dans un scénario de gestion multi-comptes, il s'agit de l'UID du compte membre associé au journal.

    1234567890654321

    net_connect_dir

    La direction de la connexion réseau, in ou out.

    in

    new_conn

    Indique si une nouvelle connexion est établie. Valeurs possibles :

    • 1 : Oui

    • 0 : Non

    1

    out_bps

    Le débit du trafic sortant, en bits par seconde.

    0

    out_packet_bytes

    La taille du trafic sortant, en octets.

    0

    out_packet_count

    Le nombre de paquets dans le trafic sortant.

    0

    out_pps

    Le débit moyen du trafic sortant, en paquets par seconde (pps).

    Remarque

    Si le débit est inférieur à 1 pps, ce champ affiche 0 sans décimales.

    0

    payload

    La charge utile du paquet ayant déclenché un événement de prévention des intrusions, formatée en hexadécimal. Ce champ est renseigné uniquement lorsque le log_type est internet_ips_log ou vpc_ips_log.

    302602010104067075626c6963a1190204dc63c29a0201000xxxxx

    payload_text

    La charge utile du paquet, décodée à partir du champ payload en texte ASCII brut.

    The ASCII plaintext of the payload

    proto

    Le numéro de protocole IP. Valeurs possibles :

    • 6 : TCP

    • 17 : UDP

    • 1 : ICMP

    6

    region_id

    L'ID de la région. Pour plus d'informations, consultez la rubrique Régions prises en charge.

    • Si direction est in, ce champ indique l'ID de la région où se trouve la ressource de destination.

    • Si direction est out, ce champ indique l'ID de la région où se trouve la ressource source.

    cn-beijing

    rule_id

    L'ID de la règle mise en correspondance.

    Pour les journaux de prévention des intrusions, il s'agit d'un ID de règle numérique. Pour les journaux de contrôle des applications ou de filtrage web, il s'agit d'un ID d'instance de règle préfixé par ati- ou wft-.

    Journal de prévention des intrusions : 20000080 ; appid_ctrl : ati-xxxx ; web_filter : wft-xxxx

    rule_result

    L'action appliquée au trafic correspondant à une politique de contrôle d'accès. Valeurs possibles :

    • pass : Le trafic est autorisé.

    • alert : Le trafic est surveillé.

    • drop : Le trafic est refusé.

    L'action appliquée au trafic correspondant à un événement de prévention des intrusions. Valeurs possibles :

    • alert : Une alerte est générée.

    • drop : Le trafic est bloqué.

    alert

    rule_source

    La source de la politique ou de la règle mise en correspondance. Valeurs possibles :

    • basic_acl : Contrôle d'accès

    • dns_acl_rule : Politique de contrôle d'accès du pare-feu DNS

    • intelligence : Renseignement sur les menaces

    • ips_basic_rule : Protection de base

    • virtual_patch : Correctif virtuel

    • unknown : Inconnu

    basic_acl

    session_id

    L'ID de la session.

    16000208880536122104

    ssl_protocol

    La version du protocole TLS. Valeurs possibles :

    • TLSv1

    • TLSv1.1

    • TLSv1.2

    • TLSv1.3

    TLSv1.3

    ssl_cipher

    La suite de chiffrement.

    TLS_AES_128_GCM_SHA256

    ssl_handshake_res

    Indique si le déchargement TLS a réussi. Valeurs possibles :

    • success : Le déchargement a réussi.

    • failed : Le déchargement a échoué.

    success

    ssl_error_index

    La catégorie d'erreur. Valeurs possibles :

    • Empty : Aucune erreur ne s'est produite.

    • Certificate : Erreur de certificat, telle qu'un certificat manquant ou un échec de vérification.

    • Protocol : Version de protocole non prise en charge.

    • Syscall : Échec d'un appel système sous-jacent.

    • Error : Erreur SSL générale.

    Certificate

    ssl_error_msg

    Les détails de l'erreur.

    certificate verify failed

    sni

    Server Name Indication (SNI).

    example.com

    src_ip

    L'adresse IP source.

    167.94.XX.XX

    src_network_instance_id

    L'instance réseau source.

    vpc-bp18ina819injc9zs****

    src_port

    Le port source.

    47915

    src_region

    La région source.

    cn-beijing

    src_vpc_id

    L'ID du VPC source.

    vpc-bp18ina819injc9zs****

    start_time

    L'heure de début de la session. La valeur correspond à un horodatage Unix en secondes.

    1701759171

    start_time_min

    L'heure de début de la session, arrondie à la minute inférieure. La valeur correspond à un horodatage Unix en secondes.

    1701759120

    tcp_seq

    Le numéro de séquence TCP.

    388367****

    time

    L'heure à laquelle l'événement s'est produit. La valeur correspond à un horodatage Unix en secondes.

    1785833221

    total_bps

    Le débit total de transmission pour le trafic entrant et sortant, en bits par seconde.

    42

    total_packet_bytes

    La taille totale du trafic entrant et sortant, en octets.

    58

    total_packet_count

    Le nombre total de paquets dans le trafic entrant et sortant.

    1

    total_pps

    Le débit moyen de transmission des paquets pour le trafic entrant et sortant, en paquets par seconde (pps).

    Remarque

    Si le débit est inférieur à 1 pps, ce champ affiche 0 sans décimales.

    0

    traffic_type

    La source de données du journal. Pour Cloud Firewall, cette valeur est toujours 2, ce qui indique que le journal est généré à partir de la collecte de flux et non de la capture de paquets.

    2

    url

    L'URL du site web accédé par le serveur.

    Remarque

    Ce champ possède une valeur uniquement si app_name est HTTP.

    http://aliyundoc.com/index.html

    user_ips_mode

    Le mode de prévention des intrusions. Valeurs possibles :

    • 0 : Désactivé

    • 1 : Blocage - Souple

    • 2 : Blocage - Moyen

    • 3 : Blocage - Strict

    1

    uuid

    Un identifiant unique pour un événement de prévention des intrusions. Utilisez cet ID pour corréler un journal d'événement avec les journaux de trafic de la session correspondante.

    a1b2c3d4-0000-0000-0000-000000000002

    vul_level

    Le niveau de risque de la vulnérabilité exploitée par le trafic. Valeurs possibles :

    • 0 : Aucune exploitation de vulnérabilité n'a été détectée.

    • 1 : Une vulnérabilité à faible risque a été exploitée.

    • 2 : Une vulnérabilité à risque moyen a été exploitée.

    • 3 : Une vulnérabilité à haut risque a été exploitée.

    1

    ndr_log_type

    Le type de journal de protocole NDR, qui identifie le protocole du journal.

    HTTP

    net_type

    L'emplacement où NDR a détecté le trafic. Valeurs possibles :

    • 0 : Réseau public

    • 1 : Réseau privé

    0

    request_uri

    • L'URI de requête complet, incluant le chemin et les paramètres de requête, par exemple /api/data?id=123. Ce champ est utilisé pour la correspondance de route, la localisation des ressources et l'audit du chemin de requête complet.

    • La différence entre ce champ et request_path réside dans le fait que request_uri inclut les paramètres de requête, tandis que request_path contient uniquement le chemin.

    /api?key=value

    request_path

    La partie chemin de l'URI, qui n'inclut pas les paramètres de requête.

    /api

    host

    Le nom d'hôte de destination et le numéro de port issus de l'en-tête Host de la requête.

    aliyun.com:8080

    request_method

    La méthode de requête HTTP, telle que GET, POST, PUT ou DELETE.

    POST

    http_user_agent

    L'identifiant client issu de l'en-tête User-Agent de la requête.

    Mozilla/5,0 (Windows NT 6.1; WOW64) AppleWebKit/537,36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36

    status

    Le code d'état de réponse HTTP à trois chiffres.

    200