Tous les produits
Search

Ce produit

    Simple Log Service:Cloud Firewall

    Centre de documentation

    Simple Log Service:Cloud Firewall

    Dernière mise à jour :Oct 10, 2026

    Cette rubrique décrit les champs présents dans les journaux de trafic du pare-feu de périmètre Internet et du pare-feu de périmètre VPC de Cloud Firewall.

    Types de journaux

    Cloud Firewall collecte les types de journaux suivants, identifiés par le champ log_type :

    log_type

    Type

    __topic__

    internet_log

    journaux de trafic des ressources IPv4 du pare-feu Internet

    cloudfirewall_access_log

    vpc_firewall_log

    journaux de trafic du pare-feu VPC

    cloudfirewall_access_log

    nat_firewall_log

    journaux de trafic du pare-feu NAT

    cloudfirewall_access_log

    ipv6_firewall_log

    journaux de trafic des ressources IPv6 du pare-feu Internet

    cloudfirewall_access_log

    dns_firewall_log

    journaux de trafic du pare-feu DNS

    cloudfirewall_access_log

    internet_ips_log

    journaux IPS du pare-feu Internet

    cloudfirewall_ips_log

    vpc_ips_log

    journaux IPS du pare-feu VPC

    cloudfirewall_vpc_ips_log

    tls

    journaux d'inspection TLS du pare-feu Internet

    event_log

    appid_ctrl

    journaux de contrôle des applications du pare-feu Internet

    event_log

    web_filter

    journaux de filtrage Web du pare-feu Internet

    event_log

    • Champs communs à tous les types de journaux :

      log_type, src_ip, dst_ip, src_port, dst_port, aliuid, __topic__ et __time__

    • Champs spécifiques à chaque type de journal : développez les sections suivantes pour en savoir plus.

    internet_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, member_uid, l4_protocol, l7_protocol, net_connect_dir et traffic_type

    Champs système SLS : __topic__ et __time__

    vpc_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, firewall_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, aliuid, src_region, dst_region, src_network_instance_id et dst_network_instance_id

    Champs système SLS : __topic__ et __time__

    nat_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, src_vpc_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, src_region et cloud_instance_id

    Champs système SLS : __topic__ et __time__

    ipv6_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, l4_protocol, l7_protocol, net_connect_dir et traffic_type

    Champs système SLS : __topic__ et __time__

    dns_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, src_vpc_id et src_region

    Champs système SLS : __topic__ et __time__

    internet_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, aliuid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, city_id, country_id, isp_id, firewall_id, user_ips_mode, payload_text, ips_rule_name, attack_type_name et log_type

    Champs système SLS : __tag__:__receive_time__, __topic__ et __time__

    vpc_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, member_uid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, firewall_id, src_vpc_id, dst_vpc_id, payload_text, user_ips_mode, ips_rule_name, attack_type_name, aliuid et log_type

    Champs système SLS : __tag__:__receive_time__, __topic__ et __time__

    tls

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, session_id, ssl_handshake_res, ssl_error_index, ssl_error_msg, sni, ssl_protocol et ssl_cipher

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    appid_ctrl

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action et appid_ctrl_appid

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    web_filter

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action, url, http_method et category

    Champs système SLS : __topic__, __tag__:__receive_time__ et __time__

    Champs des journaux

    Paramètre

    Description

    Exemple

    __time__

    Horodatage de l'écriture du journal dans le Logstore. Cette valeur correspond à un timestamp Unix exprimé en secondes.

    1703483369

    __topic__

    Thème du journal. La valeur est toujours cloudfirewall_access_log, ce qui désigne un journal de trafic issu de Cloud Firewall.

    cloudfirewall_access_log

    __tag__:__receive_time__

    Tag système SLS indiquant l'heure à laquelle le serveur SLS a reçu le journal.

    1785833241

    acl_rule_id

    ID de la politique de contrôle d'accès correspondant au trafic.

    La valeur 00000000-0000-0000-0000-000000000000 signifie qu'aucune politique de contrôle d'accès n'a été appliquée.

    073a1475-6e11-43e2-8b28-98cee9c6****

    action

    Action exécutée par la règle.

    deny

    action_user

    Traitement appliqué au trafic ayant déclenché la règle. Valeurs possibles :

    • 0 (pass) : le trafic est autorisé.

    • 1 (alert) : une alerte est générée.

    • 2 (drop) : le trafic est rejeté.

    1

    aliuid

    ID du compte Alibaba Cloud.

    1233333333****

    app_dpi_state

    État de l'identification de l'application. Valeurs possibles :

    • success : application identifiée avec succès.

    • policy_discard : trafic bloqué par une politique.

    • tcp_not_establish : échec de l'établissement de la connexion TCP.

    • analysing : identification de l'application en cours.

    • no_payload : aucune charge utile reçue.

    • unknown_loose : identification impossible en mode permissif.

    • unknown_strict : échec de l'identification en mode strict.

    • none : sans état.

    success

    app_name

    Type d'application associé au trafic. Exemples : HTTPS, NTP, SIP, SMB, NFS, DNS ou Unknown (protocole non reconnu).

    HTTPS

    appid_ctrl_appid

    Identifiant de l'application.

    10010470000

    attack_type

    Type d'attaque détecté. Valeurs possibles :

    • 1 : connexion anormale

    • 2 : exécution de commande

    • 3 : attaque par force brute

    • 4 : analyse

    • 5 : autre

    • 6 : fuite d'informations

    • 7 : attaque DoS

    • 8 : attaque par dépassement de tampon

    • 9 : attaque Web

    • 10 : porte dérobée de type cheval de Troie

    • 11 : virus ou ver

    • 12 : comportement de minage

    • 13 : shell inversé

    11

    attack_type_name

    Nom chinois du type d'attaque détecté.

    Comportement de minage

    attack_type_name_en

    Nom anglais du type d'attaque détecté.

    mining behavior

    category

    Catégorie de l'URL utilisée pour le filtrage Web.

    country_id

    Code pays ou région à deux lettres, défini par la norme ISO 3166-1.

    Remarque

    Le code YY signale un pays ou une région inconnu(e).

    • Lorsque direction vaut in, ce champ désigne le pays ou la région source.

    • Lorsque direction vaut out, il indique le pays ou la région de destination.

    CN

    city_id

    Identifiant unique de la ville. Pour les villes de Chine continentale de niveau comté ou supérieur, ce champ utilise le code de division administrative à six chiffres. Par exemple, le code de Pékin est 110000.

    110000

    cloud_instance_id

    ID de l'instance de ressource protégée.

    ngw-bp1d5bx2orlw1p2wn****

    dst_vpc_id

    ID d'instance du VPC de destination.

    vpc-xxxxxxxxxxxxxxxxxxxx1

    direction

    Sens du flux de trafic. Valeurs possibles :

    • in : trafic entrant, depuis Internet ou d'autres instances ECS sur le réseau interne vers votre ressource.

    • out : trafic sortant, depuis votre ressource vers Internet ou d'autres instances ECS sur le réseau interne.

    Remarque

    Les pare-feu VPC ne font pas de distinction entre trafic entrant et sortant. Dans leurs journaux, ce champ prend donc la valeur out par défaut.

    in

    domain

    Nom de domaine de destination.

    Remarque

    • Ce champ n'est renseigné que si le trafic contient des informations de nom de domaine.

    • Si app_name correspond à DNS, domain représente le nom de domaine résolu dans la requête DNS.

    www.aliyundoc.com

    dst_ip

    Adresse IP de destination.

    39.108.XX.XX

    dst_network_instance_id

    Instance réseau de destination.

    vpc-bp18ina819injc9zs****

    dst_port

    Port de destination.

    443

    dst_region

    Région de destination.

    cn-beijing

    end_time

    Heure de fin de la session, sous forme de timestamp Unix en secondes.

    1702367350

    firewall_id

    ID de l'instance de pare-feu VPC.

    cen-m9y9u2hgc0t9im****

    http_method

    Méthode de la requête HTTP.

    GET

    in_bps

    Débit du trafic entrant, en bit/s.

    42

    in_packet_bytes

    Volume du trafic entrant, en octets.

    58

    in_packet_count

    Nombre de paquets du trafic entrant.

    1

    in_pps

    Débit moyen du trafic entrant, en paquets par seconde (pps).

    Remarque

    Si ce débit est inférieur à 1 pps, le champ affiche 0 sans décimales.

    1

    ip_protocol

    Protocole IP utilisé. Valeurs possibles :

    • tcp

    • udp

    • icmp

    tcp

    ips_ai_rule_id

    ID de la politique de contrôle d'accès recommandée automatiquement et correspondant au trafic.

    La valeur 00000000-0000-0000-0000-000000000000 indique qu'aucune politique de ce type n'a été appliquée.

    00000000-0000-0000-0000-000000000000

    ips_rule_id

    ID de la règle de prévention des intrusions correspondant au trafic.

    La valeur 00000000-0000-0000-0000-000000000000 signifie qu'aucune règle de prévention des intrusions n'a été déclenchée.

    00000000-0000-0000-0000-000000000000

    ips_rule_name

    Nom chinois de la règle de prévention des intrusions déclenchée.

    L'hôte présente un comportement de minage.

    ips_rule_name_en

    Nom anglais de la règle de prévention des intrusions déclenchée.

    Mining behavior on the host

    isp_id

    Identifiant du fournisseur d'accès à Internet (FAI).

    50003280

    l4_protocol

    Protocole de couche 4, tel que tcp ou udp.

    tcp

    l7_protocol

    Protocole applicatif de couche 7, comme HTTP ou Unknown.

    HTTP

    log_type

    Type de journal. Valeurs possibles :

    • internet_log : journaux de trafic du pare-feu Internet.

    • vpc_firewall_log : journaux de trafic du pare-feu VPC.

    • nat_firewall_log : journaux de trafic du pare-feu NAT.

    • dns_firewall_log : journaux du pare-feu DNS.

    • ipv6_firewall_log : journaux de protection du trafic pour les ressources IPv6.

    • internet_ips_log : journaux d'événements de prévention des intrusions du pare-feu Internet.

    • vpc_ips_log : journaux d'événements de prévention des intrusions du pare-feu VPC.

    • appid_ctrl : journaux de contrôle des applications du pare-feu Internet.

    • web_filter : journaux de filtrage Web du pare-feu Internet.

    • tls : journaux d'inspection TLS du pare-feu Internet.

    internet_log

    loose_allow_acl_id

    ID de la politique de contrôle d'accès autorisant le trafic dont le type d'application n'est pas identifié. Valeurs possibles :

    • 00000000-0000-0000-0000-000000000000 : aucun trafic non identifié n'a été autorisé.

    • Autre valeur : du trafic avec un type d'application non identifié a été autorisé. La valeur correspond alors à l'ID de la politique concernée.

    00000000-0000-0000-0000-000000000000

    member_uid

    Dans un scénario de gestion multi-comptes, UID du compte membre associé au journal.

    1234567890654321

    net_connect_dir

    Sens de la connexion réseau : in ou out.

    in

    new_conn

    Indique si une nouvelle connexion a été établie. Valeurs possibles :

    • 1 : oui

    • 0 : non

    1

    out_bps

    Débit du trafic sortant, en bit/s.

    0

    out_packet_bytes

    Volume du trafic sortant, en octets.

    0

    out_packet_count

    Nombre de paquets du trafic sortant.

    0

    out_pps

    Débit moyen du trafic sortant, en paquets par seconde (pps).

    Remarque

    Si ce débit est inférieur à 1 pps, le champ affiche 0 sans décimales.

    0

    payload

    Charge utile du paquet ayant déclenché un événement de prévention des intrusions, au format hexadécimal. Ce champ n'est renseigné que lorsque log_type vaut internet_ips_log ou vpc_ips_log.

    302602010104067075626c6963a1190204dc63c29a0201000xxxxx

    payload_text

    Charge utile du paquet, décodée depuis le champ payload en texte clair ASCII.

    Texte clair ASCII de la charge utile

    proto

    Numéro du protocole IP. Valeurs possibles :

    • 6 : TCP

    • 17 : UDP

    • 1 : ICMP

    6

    region_id

    ID de la région. Pour plus d'informations, consultez la rubrique Régions prises en charge.

    • Si direction vaut in, ce champ indique l'ID de la région où se trouve la ressource de destination.

    • Si direction vaut out, il précise l'ID de la région hébergeant la ressource source.

    cn-beijing

    rule_id

    ID de la règle déclenchée.

    Pour les journaux de prévention des intrusions, il s'agit d'un ID numérique. Pour les journaux de contrôle des applications ou de filtrage Web, cet identifiant est préfixé par ati- ou wft-.

    Journal de prévention des intrusions : 20000080 ; appid_ctrl : ati-xxxx ; web_filter : wft-xxxx

    rule_result

    Traitement appliqué au trafic correspondant à une politique de contrôle d'accès. Valeurs possibles :

    • pass : le trafic est autorisé.

    • alert : le trafic est surveillé.

    • drop : le trafic est refusé.

    Décision prise suite à un événement de prévention des intrusions. Valeurs possibles :

    • alert : une alerte est générée.

    • drop : le trafic est rejeté.

    alert

    rule_source

    Origine de la politique ou de la règle déclenchée. Valeurs possibles :

    • basic_acl : contrôle d'accès

    • dns_acl_rule : politique de contrôle d'accès du pare-feu DNS

    • intelligence : renseignements sur les menaces

    • ips_basic_rule : protection de base

    • virtual_patch : correctif virtuel

    • unknown : inconnu

    basic_acl

    session_id

    Identifiant de la session.

    16000208880536122104

    ssl_protocol

    Version du protocole TLS. Valeurs possibles :

    • TLSv1

    • TLSv1.1

    • TLSv1.2

    • TLSv1.3

    TLSv1.3

    ssl_cipher

    Suite cryptographique utilisée.

    TLS_AES_128_GCM_SHA256

    ssl_handshake_res

    Résultat de la délégation TLS. Valeurs possibles :

    • success : la délégation a réussi.

    • failed : la délégation a échoué.

    success

    ssl_error_index

    Catégorie de l'erreur rencontrée. Valeurs possibles :

    • Empty : aucune erreur.

    • Certificate : problème de certificat (certificat manquant ou échec de vérification, par exemple).

    • Protocol : version de protocole non prise en charge.

    • Syscall : échec d'un appel système sous-jacent.

    • Error : erreur SSL générique.

    Certificate

    ssl_error_msg

    Détails de l'erreur.

    certificate verify failed

    sni

    Extension Server Name Indication (SNI).

    example.com

    src_ip

    Adresse IP source.

    167.94.XX.XX

    src_network_instance_id

    Instance réseau source.

    vpc-bp18ina819injc9zs****

    src_port

    Port source.

    47915

    src_region

    Région source.

    cn-beijing

    src_vpc_id

    ID du VPC source.

    vpc-bp18ina819injc9zs****

    start_time

    Heure de début de la session, exprimée sous forme de timestamp Unix en secondes.

    1701759171

    start_time_min

    Heure de début de la session arrondie à la minute inférieure, sous forme de timestamp Unix en secondes.

    1701759120

    tcp_seq

    Numéro de séquence TCP.

    388367****

    time

    Moment où l'événement s'est produit, représenté par un timestamp Unix en secondes.

    1785833221

    total_bps

    Débit cumulé des trafics entrant et sortant, en bit/s.

    42

    total_packet_bytes

    Volume total des trafics entrant et sortant, en octets.

    58

    total_packet_count

    Nombre total de paquets échangés dans les deux sens.

    1

    total_pps

    Débit moyen cumulé des trafics entrant et sortant, en paquets par seconde (pps).

    Remarque

    Si ce débit est inférieur à 1 pps, le champ affiche 0 sans décimales.

    0

    traffic_type

    Source de données du journal. Pour Cloud Firewall, cette valeur est toujours 2, ce qui indique que le journal provient de la collecte de flux et non d'une capture de paquets.

    2

    url

    URL du site Web consulté par le serveur.

    Remarque

    Ce champ n'est renseigné que si app_name vaut HTTP.

    http://aliyundoc.com/index.html

    user_ips_mode

    Mode de prévention des intrusions. Valeurs possibles :

    • 0 : désactivé

    • 1 : blocage - permissif

    • 2 : blocage - intermédiaire

    • 3 : blocage - strict

    1

    uuid

    Identifiant unique d'un événement de prévention des intrusions. Utilisez-le pour corréler un journal d'événement avec les journaux de trafic de la session correspondante.

    a1b2c3d4-0000-0000-0000-000000000002

    vul_level

    Niveau de risque de la vulnérabilité exploitée par le trafic. Valeurs possibles :

    • 0 : aucune exploitation de vulnérabilité détectée.

    • 1 : exploitation d'une vulnérabilité à faible risque.

    • 2 : exploitation d'une vulnérabilité à risque modéré.

    • 3 : exploitation d'une vulnérabilité à haut risque.

    1

    ndr_log_type

    Type de journal de protocole NDR, permettant d'identifier le protocole concerné.

    HTTP

    net_type

    Emplacement où NDR a détecté le trafic. Valeurs possibles :

    • 0 : réseau public

    • 1 : réseau privé

    0

    request_uri

    • URI complète de la requête, incluant le chemin et les paramètres de requête, par exemple /api/data?id=123. Ce champ sert au routage, à la localisation des ressources et à l'audit du chemin complet de la requête.

    • Contrairement à request_path, request_uri intègre les paramètres de requête, tandis que request_path ne contient que le chemin.

    /api?key=value

    request_path

    Partie chemin de l'URI, sans les paramètres de requête.

    /api

    host

    Nom d'hôte et numéro de port de destination extraits de l'en-tête Host de la requête.

    aliyun.com:8080

    request_method

    Méthode de la requête HTTP, telle que GET, POST, PUT ou DELETE.

    POST

    http_user_agent

    Identifiant du client extrait de l'en-tête User-Agent de la requête.

    Mozilla/5,0 (Windows NT 6.1; WOW64) AppleWebKit/537,36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36

    status

    Code d'état HTTP de la réponse, sur trois chiffres.

    200