Cloud Firewall は、インバウンドとアウトバウンドのトラフィックログをリアルタイムで自動的に収集し、保存します。ログフィールドを指定して必要なコンテンツをすばやく見つけることで、ログ分析とトラブルシューティングが簡素化されます。このトピックでは、インデックス作成に対応しているフィールドを含め、Cloud Firewall のログフィールドについて説明します。
Cloud Firewall のログフィールド
インターネット境界ファイアウォール
NAT ファイアウォール
VPC ファイアウォール
インデックス可能フィールド
ログフィールド
パラメーター | 説明 | 例 |
__time__ | ログストアにログが書き込まれた時刻です。 | 1703483369 |
__topic__ | ログのトピックです。値は常に cloudfirewall_access_log となり、Cloud Firewall からのトラフィックログであることを示します。 | cloudfirewall_access_log |
acl_rule_id | 一致したアクセス制御ポリシーの ID です。 値が 00000000-0000-0000-0000-000000000000 の場合、アクセス制御ポリシーが一致しなかったことを示します。 | 073a1475-6e11-43e2-8b28-98cee9c6**** |
action_user | 一致したルールによって実行されたアクションです。有効な値は次のとおりです：
| 1 |
aliuid | Alibaba Cloud アカウントの ID です。 | 1233333333**** |
app_dpi_state | アプリケーション識別のステータスです。有効な値は次のとおりです：
| success |
app_name | トラフィックのアプリケーションタイプです。有効な値には、HTTPS、NTP、SIP、SMB、NFS、DNS、Unknown (不明なプロトコルタイプ) などが含まれます。 | HTTPS |
appid_ctrl_appid | アプリケーション ID です。 | 10010470000 |
attack_type | 攻撃タイプです。有効な値は次のとおりです：
| 11 |
attack_type_name | トラフィックで検出された攻撃タイプの名前です。 | Mining behavior |
attack_type_name_en | トラフィックで検出された攻撃タイプの英語名です。 | Mining behavior |
country_id | 国または地域です。ISO 3166-1 標準に基づく 2 文字のコードで表されます。 説明 コード YY は、不明な国または地域を示します。
| CN |
city_id | 都市の一意の識別子です。このフィールドでは、中国の県レベル以上の都市について、6 桁の行政区画コードが使用されます。コードに基づいて対応する都市を検索できます。たとえば、北京のコードは 110000 です。 | 110000 |
cloud_instance_id | 保護対象アセットインスタンスの ID です。 | ngw-bp1d5bx2orlw1p2wn**** |
direction | トラフィックの方向です。有効な値は次のとおりです：
説明 VPC ファイアウォールは、インバウンドトラフィックとアウトバウンドトラフィックを区別しません。direction フィールドの値はデフォルトで out になります。 | in |
domain | トラフィックの宛先ドメイン名です。 説明
| www.aliyundoc.com |
dst_ip | トラフィックの宛先 IP アドレスです。 | 39.108.XX.XX |
dst_network_instance_id | トラフィックの宛先ネットワークインスタンスです。 | vpc-bp18ina819injc9zs**** |
dst_port | トラフィックの宛先ポートです。 | 443 |
dst_region | トラフィックの宛先リージョンです。 | cn-beijing |
end_time | セッションが終了した時刻です。UNIX タイムスタンプ形式です。単位は秒です。 | 1702367350 |
firewall_id | VPC ファイアウォールインスタンスの ID です。 | cen-m9y9u2hgc0t9im**** |
in_bps | インバウンドトラフィックのレートです。単位は bit/s です。 | 42 |
in_packet_bytes | インバウンドトラフィックのサイズです。単位はバイトです。 | 58 |
in_packet_count | インバウンドトラフィックパケットの数です。 | 1 |
in_pps | インバウンドトラフィックパケットの平均伝送レートです。単位は秒間パケット数 (pps) です。 説明 伝送レートが 1 pps 未満の場合、値は 0 になります。小数点以下は表示されません。 | 1 |
ip_protocol | IP プロトコルタイプです。有効な値は次のとおりです：
| tcp |
ips_ai_rule_id | 一致したインテリジェント推奨アクセス制御ポリシーの ID です。 値が 00000000-0000-0000-0000-000000000000 の場合、インテリジェント推奨アクセス制御ポリシーが一致しなかったことを示します。 | 00000000-0000-0000-0000-000000000000 |
ips_rule_id | 一致した侵入防止ルールの ID です。 値が 00000000-0000-0000-0000-000000000000 の場合、侵入防止ルールが一致しなかったことを示します。 | 00000000-0000-0000-0000-000000000000 |
ips_rule_name | 一致した侵入防止ルールの名前です。 | Mining behavior on the host |
ips_rule_name_en | 一致した侵入防止ルールの英語名です。 | Mining behavior on the host |
log_type | ログタイプです。有効な値は次のとおりです：
| internet_log |
loose_allow_acl_id | プリマッチアクセス制御ポリシーの ID です。このポリシーは、トラフィックを完全に識別できない場合にトラフィックの通過を許可します。有効な値は次のとおりです：
| 00000000-0000-0000-0000-000000000000 |
new_conn | 新しい接続が確立されたかどうかを示します。有効な値は次のとおりです：
| 1 |
out_bps | アウトバウンドトラフィックのレートです。単位は bit/s です。 | 0 |
out_packet_bytes | アウトバウンドトラフィックのサイズです。単位はバイトです。 | 0 |
out_packet_count | アウトバウンドトラフィックパケットの数です。 | 0 |
out_pps | アウトバウンドトラフィックパケットの平均伝送レートです。単位は秒間パケット数 (pps) です。 説明 伝送レートが 1 pps 未満の場合、値は 0 になります。小数点以下は表示されません。 | 0 |
payload | 侵入防止ルールに一致したパケットからのペイロードです。16 進数形式です。このフィールドは、 | 302602010104067075626c6963a1190204dc63c29a0201000xxxxx |
region_id | リージョン ID です。リージョン ID の詳細については、「サポートされているリージョン」をご参照ください。
| cn-beijing |
rule_result | アクセス制御ポリシーに一致したトラフィックに対して実行されたアクションです。有効な値は次のとおりです：
侵入防止イベントをトリガーしたトラフィックに対して実行されたアクションです。有効な値は次のとおりです：
| alert |
rule_source | 一致したポリシーのソースです。有効な値は次のとおりです：
| basic_acl |
session_id | セッション ID です。 | 16000208880536122104 |
ssl_protocol | TLS プロトコルバージョンです。有効な値は次のとおりです：
| TLSv1.3 |
ssl_cipher | 暗号スイートタイプです。 | TLS_AES_128_GCM_SHA256 |
ssl_handshake_res | TLS オフロードが成功したかどうかを示します。有効な値は次のとおりです：
| success |
ssl_error_index | エラーカテゴリです。有効な値は次のとおりです：
| Certificate |
ssl_error_msg | エラーの詳細です。 | certificate verify failed |
sni | SNI (Server Name Indication) です。 | example.com |
src_ip | トラフィックの送信元 IP アドレスです。 | 167.94.XX.XX |
src_network_instance_id | トラフィックの送信元ネットワークインスタンスです。 | vpc-bp18ina819injc9zs**** |
src_port | トラフィックの送信元ポートです。 | 47915 |
src_region | トラフィックの送信元リージョンです。 | cn-beijing |
src_vpc_id | 送信元 VPC の ID です。 | vpc-bp18ina819injc9zs**** |
start_time | セッションが開始した時刻です。UNIX タイムスタンプ形式です。単位は秒です。 | 1701759171 |
start_time_min | セッションの開始時刻を分単位に切り捨てたものです。UNIX タイムスタンプ形式です。単位は秒です。 | 1701759120 |
tcp_seq | TCP シーケンス番号です。 | 388367**** |
total_bps | インバウンドとアウトバウンドトラフィックの合計伝送レートです。単位は bit/s です。 | 42 |
total_packet_bytes | インバウンドとアウトバウンドトラフィックの合計サイズです。単位はバイトです。 | 58 |
total_packet_count | インバウンドとアウトバウンドトラフィックパケットの合計数です。 | 1 |
total_pps | すべてのインバウンドとアウトバウンドトラフィックパケットの平均伝送レートです。単位は秒間パケット数 (pps) です。 説明 伝送レートが 1 pps 未満の場合、値は 0 になります。小数点以下は表示されません。 | 0 |
url | アクセスされた URL です。 説明 このフィールドは、app_name が HTTP の場合にのみ設定されます。 | http://aliyundoc.com/index.html |
user_ips_mode | IPS 保護モードです。有効な値は次のとおりです：
| 1 |
vul_level | 悪意のあるトラフィックによって悪用された脆弱性のリスクレベルです。有効な値は次のとおりです：
| 1 |
ndr_log_type | ネットワークの検出と対応 (NDR) のプロトコルログタイプで、ログのプロトコルを識別します。 | HTTP |
net_type | NDR トラフィックが検出された場所です。有効な値は次のとおりです：
| 0 |
request_uri |
| /api?key=value |
request_path | クエリパラメーターを含まない URI のパス部分です。 | /api |
host | リクエストの Host ヘッダーに含まれる宛先ホスト名とポート番号です。 | aliyun.com:8080 |
request_method | GET、POST、PUT、DELETE などの HTTP リクエストメソッドです。 | POST |
http_user_agent | リクエストの User-Agent ヘッダーに含まれるクライアント識別子です。 | Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36 |
status | 3 桁の HTTP 応答ステータスコードです。 | 200 |