Simple Log Service:Security Center

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-log-dnsとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

追加

追加のセクションのフィールド。 複数のフィールドは垂直バー (|) で区切られています。

additional_num

追加フィールドの数。

答え

DNS応答。 複数の応答は、垂直バー (|) によって分離される。

answer_num

DNS応答の数。

権限

権限セクションのフィールド。

authority_num

権限セクションのフィールド数。

client_subnet

クライアントが存在するサブネット。

dst_ip

送信先 IP アドレス。

dst_port

宛先ポート。

net_connect_dir

データフローの方向。 有効な値：

• in: インバウンド

• アウト: アウトバウンド

qid

クエリのID。

query_name

照会されるドメイン名。

query_type

クエリのタイプです。

query_datetime

クエリのタイムスタンプ。 単位：ミリ秒。

rcode

返されたコード。

region

ソースリージョンのID。 有効な値：

• 1: 中国 (北京)

• 2: 中国 (チンタオ)

• 3: 中国 (杭州)

• 4: 中国 (上海)

• 5: 中国 (深セン)

• 6: その他のリージョン

response_datetime

レスポンスが返された時刻。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はlocal-dnsとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

answer_rdata

DNS応答。 複数の応答は、垂直バー (|) によって分離される。

answer_ttl

DNS応答のリソースレコードの有効期限 (TTL) 値。 複数の値は縦棒 (|) で区切られています。

answer_type

DNS応答のリソースレコードのタイプ。 複数のタイプは縦棒 (|) で区切られています。 有効な値：

• 1: レコード

• 2: NSレコード

• 5: CNAMEレコード

• 6: SOAレコード

• 10: NULLレコード

• 12: PTRレコード

• 15: MXレコード

• 16: TXTレコード

• 25: キーレコード

• 28: AAAAレコード

• 33: SRVレコード

• 41: OPTレコード

• 43: DSレコード

• 44: SSHFPレコード

• 45: IPSECKEYレコード

• 46: RRSIGレコード

• 47: NSECレコード

answer_name

DNS応答のドメイン名。 複数の名前は縦棒 (|) で区切られています。

dst_ip

送信先 IP アドレス。

dst_port

宛先ポート。

group_id

ホストが属するグループのID。

host

ホスト名。

id

クエリのID。

instance_id

ECS インスタンス ID

internet_ip

インスタンスのパブリック IP アドレスです。

ip_ttl

ホストから送信されるデータパケットのTTL。

query_name

照会されるドメイン名。

query_type

クエリのタイプです。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

クエリのタイムスタンプ。 単位は秒です。

time_usecond

応答時間。 単位：マイクロ秒。

tunnel_id

トンネルID。

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-log-sessionとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

asset_type

関連するAlibaba Cloudサービスのタイプ (ECS (Elastic Compute service) 、SLB (Server Load Balancer) 、ApsaraDB RDSなど) 。

net_connect_dir

ネットワーク接続の方向。

dst_ip

送信先 IP アドレス。

dst_port

宛先ポート。

l4_proto

TCPやUDPなどのプロトコルタイプ。

session_time

セッションの期間。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-log-httpに固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

response_content_length

HTTPリクエストのコンテンツの長さ。

dst_ip

送信先 IP アドレス。

dst_port

宛先ポート。

host

webサーバーのホスト名。

jump_location

HTTPリダイレクトのIPアドレス。

request_method

HTTP リクエストの方式。

request_datetime

リクエストが送信される時刻。

status

HTTP ステータスコード。

content_type

HTTPリクエストのコンテンツタイプ。

response_content_type

HTTPレスポンスのコンテンツタイプ。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

request_uri

リクエストのURI。

http_user_agent

User-Agent HTTPヘッダー。 このフィールドは、要求を送信するクライアントを記録します。

http_x_forward_for

X-Forwarded-For (XFF) HTTPヘッダー。

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-vul-logとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

vul_name

脆弱性の名前。

vul_alias_name

脆弱性のエイリアス。

risk_level

脆弱性のリスクレベル。

vul_primary_id

脆弱性の識別子。

instance_name

インスタンス名。

operation

実行されるアクション。 有効な値：

• new

• 検証

• 修正

status

ステータス 詳細については、表2を参照してください。 このトピックのセキュリティログのステータスコードのセクション。

tag

脆弱性のタグ (oval、system、cmsなど) 。 このフィールドは、緊急の脆弱性を区別するために使用されます。

type

脆弱性のタイプ。 有効な値：

• sys: Windowsの脆弱性

• cve: Linuxの脆弱性

• cms: Web-CMSの脆弱性

• emg: 緊急の脆弱性

uuid

クライアントのUUID。

extend_content

脆弱性に関する拡張情報。

instance_id

ECS インスタンス ID

internet_ip

アセットのパブリックIPアドレス。

intranet_ip

アセットのプライベートIPアドレス。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-hc-logとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

risk_level

リスクレベル。

operation

実行されるアクション。 有効な値：

• new

• 検証

risk_name

リスクの名前。

status

ステータス 詳細については、表2を参照してください。 このトピックのセキュリティログのステータスコードのセクション。

sub_type_alias_name

ベースラインのサブタイプエイリアス。

sub_type_name

ベースラインのサブタイプ。

type_name

ベースラインのタイプ。 詳細については、表1を参照してください。 このトピックのベースラインのタイプとサブタイプのセクション。

type_alias_name

ベースラインの型エイリアス。

uuid

クライアントのUUID。

check_item_name

チェックアイテムの名前。

check_item_level

チェックアイテムのレベル。

check_type

チェックアイテムのタイプ。

instance_id

インスタンス ID 。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はsas-security-logとして固定されています。

data_source

データソース。 詳細については、表3を参照してください。 このトピックのセキュリティアラートログのセクションのdata_sourceフィールドの有効な値。

level

アラートの重大度。

name

アラートの名前。

operation

実行されるアクション。 有効な値：

• new

• 取引

status

ステータス 詳細については、表2を参照してください。 このトピックのセキュリティログのステータスコードのセクション。

uuid

クライアントのUUID。

詳細

アラートの詳細。

unique_info

アラートの一意の識別子。

instance_id

インスタンス ID 。

internet_ip

アセットのパブリックIPアドレス。

intranet_ip

アセットのプライベートIPアドレス。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-log-processとして固定されています。

uuid

クライアントのUUID。

host_ip

クライアントの IP アドレス。

cmdline

プロセスを開始する完全なコマンドライン。

username

ユーザー名

uid

ユーザー ID。

ピッド

プロセスのID。

proc_name

プロセスファイルの名前。

proc_path

プロセスファイルへのフルパス。

proc_start_time

プロセスが開始された時刻。

parent_proc_start_time

親プロセスが開始された時刻。

グループ名

ユーザーグループの名を指定します。

ppid

親プロセスのID。

parent_proc_name

親プロセスファイルの名前。

parent_proc_path

親プロセスファイルのフルパス。

cmd_chain

プロセスチェーン。

container_hostname

コンテナーのホスト名。

container_pid

コンテナのプロセスID。

container_image_id

イメージ ID。

container_image_name

The image name.

container_name

コンテナ名。

container_id

コンテナID。

cwd

プロセスの現在の作業ディレクトリ (CWD) 。

owner_id

Alibaba Cloud アカウントの ID です。

start_time

開始タイムスタンプ。 単位は秒です。

cmd_chain_index

プロセスチェーンのインデックス。 インデックスを使用して、プロセスチェーンを検索できます。

cmd_index

コマンドラインのパラメータのインデックス。 各2つのインデックスは、パラメータの開始とパラメータの終了を識別するためにグループ化される。

comm

プロセスに関连するコマンド名。

gid

プロセスグループのID。

instance_id

ECS インスタンス ID

parent_cmd_line

親プロセスのコマンドライン。

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

srv_cmd

先祖プロセスのコマンドライン。

tty

ログオンしているターミナル。 N/Aの値は、アカウントが端末ログオンに使用されていないことを示します。

uid

ユーザー ID。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-snapshot-processとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

uuid

クライアントのUUID。

host_ip

クライアントの IP アドレス。

cmdline

プロセスを開始する完全なコマンドライン。

ピッド

プロセスのID。

proc_name

プロセスファイルの名前。

proc_path

プロセスファイルへのフルパス。

md5

プロセスファイルのMD5ハッシュ値。 プロセスファイルのサイズが1 MBを超える場合、MD5ハッシュ値は計算されません。

parent_proc_name

親プロセスファイルの名前。

proc_start_time

プロセスが開始される時刻。 このフィールドは組み込みフィールドです。

user

ユーザー名

uid

ユーザー ID。

start_time

開始タイムスタンプ。 単位は秒です。

instance_id

ECS インスタンス ID

pname

親プロセスファイルの名前。

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-log-crackとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

uuid

クライアントのUUID。

host_ip

クライアントの IP アドレス。

src_ip

送信元 IP アドレス。

dst_port

ログインポート。

login_type

ログオンのタイプ。 有効な値: SSHLOGIN、RDPLOGIN、およびIPCLOGIN。

username

ログインユーザー名

login_count

失敗したログオン試行の回数。

instance_id

ECS インスタンス ID

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-snapshot-portとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

uuid

クライアントのUUID。

host_ip

クライアントの IP アドレス。

connection_type

リスナープロトコル。

src_ip

リスナーのIPアドレス。

src_port

リスニングポートです。

ピッド

プロセスのID。

proc_name

プロセスの名前。

net_connect_dir

ネットワーク接続の方向。

dst_ip

送信先 IP アドレス。

• dirの値がoutの場合、このフィールドの値はピアホストのIPアドレスです。

• dirの値が [in] の場合、このフィールドの値はホストのIPアドレスです。

dst_port

宛先ポート。

instance_id

ECS インスタンス ID

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

status

ネットワーク接続のステータス。 有効な値：

• 1: 接続が閉じられています。

• 2: 接続を確立します。

• 3: SYNパケットが送信される。

• 4: SYNパケットを受信する。

• 5: 接続が確立されました。

• 6: 接続が閉じられるのを待っています。

• 7: 接続が閉じられています。

• 8: ローカルエンドポイントは、ピアエンドポイントからの接続終了要求の確認応答を待機しています。

• 9: ローカルエンドポイントは、ピアエンドポイントから確認応答を受信した後、ピアエンドポイントからの接続終了要求を待機しています。

• 10: ローカルエンドポイントは、ピアエンドポイントがローカルエンドポイントから確認応答を受信するのに十分な時間が経過するのを待っています。

• 11: 接続のTCBが削除されます。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-snapshot-hostとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

name

脆弱性の名前。

alias_name

脆弱性のエイリアス。

op

実行されるアクション。 有効な値：

• new

• 検証

• 修正

status

接続ステータス。 詳細については、表4を参照してください。 このトピックのネットワーク接続のステータスコードのセクション。

tag

脆弱性のタグ (oval、system、cmsなど) 。 このフィールドは、緊急の脆弱性を区別するために使用されます。

type

脆弱性のタイプ。 有効な値：

• sys: Windowsの脆弱性

• cve: Linuxの脆弱性

• cms: Web-CMSの脆弱性

• EMG: 緊急の脆弱性

uuid

クライアントのUUID。

username

ログインユーザー名

host_ip

サーバーの IP アドレス。

account_expire

アカウントの有効期限が切れる日付。 値はnever、アカウントの有効期限が切れないことを示します。

domain

アカウントが属するドメインまたはディレクトリ。 値N/Aは、アカウントがドメインに属していないことを示します。

グループ

アカウントが属するグループ。 値N/Aは、アカウントがグループに属していないことを示します。

home_dir

ホームディレクトリ。システム内のファイルを保存および管理するためのデフォルトのディレクトリです。

instance_id

ECS インスタンス ID

last_chg

パスワードが最後に変更された日付。

last_logon

アカウントが最後にログインに使用された日時。 値N/Aは、アカウントがログオンに使用されていないことを示します。

login_ip

アカウントが最後にログオンに使用されたIPアドレス。 値N/Aは、アカウントがログオンに使用されていないことを示します。

passwd_expire

パスワードの有効期限が切れた日付。 never値は、パスワードの有効期限が切れないことを示します。

パーマ

アカウントにroot権限があるかどうかを示します。 有効な値：

• 0: アカウントにはroot権限がありません。

• 1: アカウントにはroot権限があります。

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

shell

Linuxシェルコマンド。

tty

ログオンしているターミナル。 N/Aの値は、アカウントが端末ログオンに使用されていないことを示します。

warn_time

パスワードの有効期限が通知された日付。 この値は、通知が送信されないことを示しません。

start_time

開始タイムスタンプ。 単位は秒です。

ログフィールド

説明

__topic__

ログのトピックです。 値はaegis-log-dns-queryとして固定されています。

owner_id

Alibaba Cloud アカウントの ID です。

uuid

クライアントのUUID。

host_ip

クライアントの IP アドレス。

ピッド

DNSリクエスタのプロセスID。

ppid

DNSリクエスタの親プロセスID。

time

DNSリクエストが開始された時刻。

domain

DNSリクエストに含まれるドメイン名。

proc_path

DNS要求を開始するプロセスへのパス。

cmdline

DNS要求を開始するプロセスのコマンドライン。

cmd_chain

DNSリクエスタのプロセスチェーン。

sas_group_name

セキュリティセンター内のサーバーが属するグループ。

instance_id

ECS インスタンス ID

start_time

開始タイムスタンプ。 単位は秒です。