Simple Log Service:セキュリティセンター

ログフィールド

説明

__topic__

ログのトピック。値は sas-log-dns に固定されています。

owner_id

Alibaba Cloud アカウント ID。

additional

追加フィールド。値は縦棒 (|) で区切られます。

additional_num

追加フィールドの数。

answer

DNS 応答。値は縦棒 (|) で区切られます。

answer_num

DNS 応答の数。

authority

authority フィールド。

authority_num

authority フィールドの数。

client_subnet

クライアントサブネット。

dst_ip

宛先 IP アドレス。

dst_port

宛先ポート。

net_connect_dir

データ転送方向には以下が含まれます：

• in: インバウンド

• out: アウトバウンド

qid

クエリ ID。

query_name

クエリされたドメイン名。

query_type

クエリタイプ。

query_datetime

クエリのタイムスタンプ。単位：ミリ秒。

rcode

リターンコード。

region

送信元リージョンの ID。有効な値：

• 1: 北京

• 2: 青島

• 3: 杭州

• 4: 上海

• 5: 深セン

• 6: その他

response_datetime

戻り時間。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

開始タイムスタンプ。単位：秒。

フィールド名

説明

__topic__

ログのトピック。値は local-dns に固定されています。

owner_id

Alibaba Cloud アカウント ID。

answer_rdata

DNS 応答。値は縦棒 (|) で区切られます。

answer_ttl

DNS 応答の生存時間 (TTL)。値は縦棒 (|) で区切られます。

answer_type

DNS 応答のタイプ。値は縦棒 (|) で区切られます。DNS 応答タイプの一般的な値は次のとおりです：

• 1: A レコード。

• 2: NS レコード。

• 5: CNAME レコード。

• 6: SOA レコード。

• 10: NULL レコード。

• 12: PTR レコード。

• 15: MX レコード。

• 16: TXT レコード。

• 25: KEY レコード。

• 28: AAAA レコード。

• 33: SRV レコード。

• 41: OPT レコード。

• 43: DS レコード。

• 44: SSHFP レコード。

• 45: IPSECKEY レコード。

• 46: RRSIG レコード。

• 47: NSEC レコード。

answer_name

DNS 応答の名前。値は縦棒 (|) で区切られます。

dst_ip

宛先 IP アドレス。

dst_port

宛先ポート。

group_id

グループ ID。

host

ホスト名。

id

クエリ ID。

instance_id

インスタンス ID。

internet_ip

パブリック IP アドレス。

ip_ttl

IP アドレスの TTL。

query_name

クエリされたドメイン名。

query_type

クエリタイプ。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

クエリのタイムスタンプ。単位：秒。

time_usecond

応答時間。単位：マイクロ秒。

tunnel_id

チャネル ID。

ログフィールド

説明

__topic__

ログのトピック。値は sas-log-session に固定されています。

owner_id

Alibaba Cloud アカウント ID。

asset_type

Elastic Compute Service (ECS)、Server Load Balancer (SLB)、RDS などの関連アセットのタイプ。

net_connect_dir

ネットワーク接続の方向。

dst_ip

宛先 IP アドレス。

dst_port

宛先ポート。

l4_proto

TCP や UDP などのプロトコルタイプ。

session_time

セッション時間。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は sas-log-http に固定されています。

owner_id

Alibaba Cloud アカウント ID。

response_content_length

コンテンツの長さ。

dst_ip

宛先 IP アドレス。

dst_port

宛先ポート。

host

ホスト名。

jump_location

リダイレクトアドレス。

request_method

HTTP アクセスメソッド。

request_datetime

リクエスト時間。

status

HTTP ステータスコード。

content_type

リクエストのコンテンツタイプ。

response_content_type

レスポンスのコンテンツタイプ。

src_ip

送信元 IP アドレス。

src_port

送信元ポート。

request_uri

リクエスト URI。

http_user_agent

クライアントリクエストの User-Agent ヘッダー。

http_x_forward_for

ルーティングおよびリダイレクト情報。

ログフィールド

説明

__topic__

ログのトピック。値は sas-vul-log に固定されています。

owner_id

Alibaba Cloud アカウント ID。

vul_name

脆弱性の名前。

vul_alias_name

脆弱性のエイリアス。

risk_level

リスクレベル。

vul_primary_id

脆弱性識別子。

instance_name

マシンの名前。

operation

操作情報には以下が含まれます：

• new: 新規作成。

• Validation

• Bug fix

status

ステータス。詳細については、「セキュリティログのステータスコード」をご参照ください。

tag

oval、system、cms などの脆弱性のタグ。このパラメーターは、緊急の脆弱性を識別するために使用されます。

type

脆弱性タイプは次のとおりです：

• sys: Windows の脆弱性

• cve: Linux の脆弱性

• cms: Web CMS の脆弱性

• emg: 緊急の脆弱性

uuid

クライアント ID。

extend_content

脆弱性に関する拡張情報。

instance_id

インスタンス ID。

internet_ip

アセットのパブリック IP アドレス。

intranet_ip

アセットのプライベート IP アドレス。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は sas-hc-log に固定されています。

owner_id

Alibaba Cloud アカウント ID。

risk_level

リスクレベル。

operation

操作情報には以下が含まれます：

• Add

• verify: リスクが検証されます。

risk_name

リスクの名前。

status

ステータス。詳細については、「セキュリティログのステータスコード」をご参照ください。

sub_type_alias_name

サブタイプのエイリアス

sub_type_name

サブタイプの名前。

type_name

タイプ名。詳細については、「ベースラインのタイプとサブタイプのペアのリスト」をご参照ください。

type_alias_name

タイプのエイリアス

uuid

クライアント ID。

check_item_name

確認項目の名前。

check_item_level

確認項目のレベル。

check_type

確認項目のタイプ。

instance_id

インスタンス ID。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は sas-security-log に固定されています。

data_source

データソース。詳細については、「セキュリティアラートの data_source 値のリスト」をご参照ください。

level

アラートレベル。

name

名前。

operation

操作情報。有効な値：

• Add New

• Processing

status

ステータス。詳細については、「セキュリティログのステータスコード」をご参照ください。

uuid

クライアント ID。

detail

アラートの詳細。

unique_info

アラートの一意の識別子。

instance_id

インスタンス ID。

internet_ip

アセットのパブリック IP アドレス。

intranet_ip

アセットのプライベート IP アドレス。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は aegis-log-process に固定されています。

uuid

クライアント ID。

host_ip

クライアントホストの IP アドレス。

cmdline

ユーザーが起動したコマンドライン。

username

ユーザー名。

uid

ユーザー ID。

pid

プロセス ID。

proc_name

プロセスのファイル名。

proc_path

プロセスファイルの完全なパス。

proc_start_time

プロセスの起動時間。

parent_proc_start_time

親プロセスの起動時間。

groupname

ユーザーグループ。

ppid

親プロセス ID。

parent_proc_name

親プロセスのファイル名。

parent_proc_path

親プロセスファイルの完全なパス。

cmd_chain

プロセスチェーン。

container_hostname

コンテナのホスト名。

container_pid

コンテナ PID。

container_image_id

イメージ ID。

container_image_name

イメージ名。

container_name

コンテナ名。

container_id

コンテナ ID。

cwd

プロセスの実行ディレクトリ。

owner_id

Alibaba Cloud アカウント ID。

start_time

開始タイムスタンプ。単位：秒。

cmd_chain_index

プロセスチェーンのインデックス。インデックスを使用して、対応するプロセスチェーンを見つけます。

cmd_index

コマンドライン内の各パラメーターのインデックス。2 つのインデックスが 1 つのグループを形成し、パラメーターの開始と終了を識別します。

comm

プロセスに関連付けられたコマンド名。

gid

プロセスグループの ID。

instance_id

インスタンス ID。

parent_cmd_line

親プロセスのコマンドライン。

sas_group_name

サーバーが属するセキュリティセンターのアセットグループ。

srv_cmd

祖先プロセスのコマンドライン。

tty

ログインターミナル。N/A は、アカウントが一度もターミナルにログインしたことがないことを示します。

uid

ユーザー ID。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は aegis-snapshot-process に固定されています。

owner_id

Alibaba Cloud アカウント ID。

uuid

クライアント ID。

host_ip

クライアントホストの IP アドレス。

cmdline

ユーザーが起動したコマンドライン。

pid

プロセス ID。

proc_name

プロセスのファイル名。

proc_path

プロセスファイルの完全なパス。

md5

プロセスファイルの MD5 ハッシュ。1 MB を超えるプロセスファイルの MD5 ハッシュは計算されません。

parent_proc_name

親プロセスのファイル名。

proc_start_time

プロセスの起動時間。これは組み込みフィールドです。

user

ユーザー名。

uid

ユーザー ID。

start_time

開始タイムスタンプ。単位：秒。

instance_id

インスタンス ID。

pname

親プロセスのファイル名。

sas_group_name

サーバーが属するセキュリティセンターのアセットグループ。

フィールド名

説明

__topic__

ログのトピック。値は aegis-log-crack に固定されています。

owner_id

Alibaba Cloud アカウント ID。

uuid

クライアント ID。

host_ip

クライアントホストの IP アドレス。

src_ip

ログインの送信元 IP アドレス。

dst_port

ログインポート。

login_type

SSHLOGIN、RDPLOGIN、IPCLOGIN などのログインタイプ。

username

ログインユーザー名。

login_count

失敗したログイン試行の回数。

instance_id

インスタンス ID。

sas_group_name

サーバーが属するセキュリティセンターのアセットグループ。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は aegis-snapshot-port に固定されています。

owner_id

Alibaba Cloud アカウント ID。

uuid

クライアント ID。

host_ip

クライアント IP アドレス。

connection_type

リスナープロトコル。

src_ip

リスナー IP アドレス。

src_port

リッスンポート。

pid

プロセス ID。

proc_name

プロセス名。

net_connect_dir

ネットワーク接続の方向。

dst_ip

ネットワーク接続の受信者の IP アドレス。

• dir が out の場合、このパラメーターはピアホストを示します。

• dir が in の場合、このパラメーターはローカルホストを示します。

dst_port

ネットワーク接続の受信者のポート。

instance_id

インスタンス ID。

sas_group_name

サーバーが属するセキュリティセンターのアセットグループ。

status

ネットワーク接続ステータス。有効な値：

• 1: 接続が閉じられています (CLOSED)。

• 2: ポートが接続要求を待っています (LISTEN)。

• 3: SYN リクエストが送信されました (SYN_SENT)。

• 4: SYN リクエストが受信されました (SYN_RECV)。

• 5: 接続が確立されました (ESTABLISHED)。

• 6: ポートが接続を閉じるのを待っています (CLOSE_WAIT)。

• 7: 接続が閉じられています (CLOSING)。

• 8: ポートがピアからのクローズリクエストを待っています (FIN_WAIT_1)。

• 9: ポートがピアからのクローズリクエストと確認応答を待っています (FIN_WAIT_2)。

• 10: ポートは、ピアがクローズリクエストの確認応答を受信したことを確認するのに十分な時間を待っています (TIME_WAIT)。

• 11: 伝送制御ブロック (TCB) が削除されました (DELETE_TCB)。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は aegis-snapshot-host に固定されています。

owner_id

Alibaba Cloud アカウント ID。

name

脆弱性名。

alias_name

脆弱性のエイリアス。

op

操作情報には以下が含まれます：

• Add

• Verification

• Bug fix

status

接続ステータス。詳細については、「ネットワーク接続ステータスの説明のリスト」をご参照ください。

tag

oval、system、cms などの脆弱性タグは、主に EMG 緊急脆弱性を識別するために使用されます。

type

脆弱性タイプ。有効な値には以下が含まれます：

• sys: Windows の脆弱性

• cve: Linux の脆弱性

• cms: Web CMS の脆弱性

• EMG: 緊急の脆弱性

uuid

クライアント ID。

username

ログインユーザー名。

host_ip

サーバーの IP アドレス。

account_expire

アカウントの有効期限。値 never は、アカウントが期限切れにならないことを示します。

domain

アカウントが属するドメインまたはディレクトリサービス。N/A は、アカウントがどのドメインにも属していないことを示します。

groups

アカウントが属するグループ。N/A は、アカウントがどのグループにも属していないことを示します。

home_dir

ホームディレクトリ。これは、システム内でファイルを保存および管理するためのデフォルトの場所です。

instance_id

インスタンス ID。

last_chg

パスワードが最後に変更された日付。

last_logon

最後のログインの日時。N/A は、アカウントがログインに使用されたことがないことを示します。

login_ip

最後のログインに使用されたリモート IP アドレス。N/A は、アカウントがログインに使用されたことがないことを示します。

passwd_expire

パスワードの有効期限。値 never は、パスワードが期限切れにならないことを示します。

perm

アカウントに root 権限があるかどうかを示します。有効な値：

• 0: root 権限は付与されていません。

• 1: root 権限が付与されています。

sas_group_name

サーバーが属するセキュリティセンターのアセットグループ。

shell

Linux シェルコマンド。

tty

ログインターミナル。N/A は、アカウントが一度もターミナルにログインしたことがないことを示します。

warn_time

パスワードの有効期限のリマインダーが送信される日付。値 never は、リマインダーが送信されないことを示します。

start_time

開始タイムスタンプ。単位：秒。

ログフィールド

説明

__topic__

ログのトピック。値は aegis-log-dns-query に固定されています。

owner_id

Alibaba Cloud アカウント ID。

uuid

クライアント ID。

host_ip

クライアントマシンの IP アドレス。

pid

DNS クエリを開始したプロセスの ID。

ppid

DNS クエリを開始したプロセスの親プロセスの ID。

time

DNS クエリが開始された時間。

domain

DNS クエリのドメイン名。

proc_path

DNS クエリを開始したプロセスのパス。

cmdline

DNS クエリを開始したプロセスのコマンドライン。

cmd_chain

DNS クエリを開始したプロセスのプロセスチェーン。

sas_group_name

セキュリティセンターのグループ名。

instance_id

インスタンス ID。

start_time

開始タイムスタンプ。単位：秒。