Todos os produtos
Search

Este produto

    Cloud Firewall:Campos de log

    Central de documentação

    Cloud Firewall:Campos de log

    Última atualização: Sep 18, 2026

    Ao ativar o recurso de análise de logs, o Cloud Firewall coleta e armazena automaticamente logs de tráfego e de eventos em tempo real. Verifique logs especificando campos para auxiliar na análise e na solução de problemas. Este tópico descreve os tipos de log com suporte e o significado de cada campo.

    Nota

    Este tópico contém diversos campos de log. Para encontrar um campo específico, pressione Ctrl + F.

    Tipos de log

    O Cloud Firewall coleta os seguintes tipos de log, identificados pelo campo log_type:

    log_type

    Tipo

    __topic__

    internet_log

    logs de tráfego de ativos IPv4 do firewall de Internet

    cloudfirewall_access_log

    vpc_firewall_log

    logs de tráfego do firewall VPC

    cloudfirewall_access_log

    nat_firewall_log

    logs de tráfego do firewall NAT

    cloudfirewall_access_log

    ipv6_firewall_log

    logs de tráfego de ativos IPv6 do firewall de Internet

    cloudfirewall_access_log

    dns_firewall_log

    logs de tráfego do firewall DNS

    cloudfirewall_access_log

    internet_ips_log

    logs de IPS do firewall de Internet

    cloudfirewall_ips_log

    vpc_ips_log

    logs de IPS do firewall VPC

    cloudfirewall_vpc_ips_log

    tls

    logs de inspeção TLS do firewall de Internet

    event_log

    appid_ctrl

    logs de controle de aplicativos do firewall de Internet

    event_log

    web_filter

    logs de filtragem web do firewall de Internet

    event_log

    • Campos comuns a todos os tipos de log:

      log_type, src_ip, dst_ip, src_port, dst_port, aliuid, __topic__ e __time__

    • Campos para cada tipo de log: Expanda as seções a seguir para obter detalhes.

    internet_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, member_uid, l4_protocol, l7_protocol, net_connect_dir e traffic_type

    Campos do sistema SLS: __topic__ e __time__

    vpc_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, firewall_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, aliuid, src_region, dst_region, src_network_instance_id e dst_network_instance_id

    Campos do sistema SLS: __topic__ e __time__

    nat_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, new_conn, direction, domain, acl_rule_id, rule_result, rule_source, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, src_vpc_id, tcp_seq, start_time_min, app_name, app_dpi_state, loose_allow_acl_id, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, src_region e cloud_instance_id

    Campos do sistema SLS: __topic__ e __time__

    ipv6_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, tcp_seq, start_time_min, url, app_name, ips_rule_id, vul_level, total_pps, total_bps, in_pps, in_bps, out_pps, out_bps, city_id, country_id, l4_protocol, l7_protocol, net_connect_dir e traffic_type

    Campos do sistema SLS: __topic__ e __time__

    dns_firewall_log

    log_type, src_ip, dst_ip, src_port, dst_port, ip_protocol, direction, domain, acl_rule_id, rule_result, in_packet_bytes, in_packet_count, out_packet_bytes, out_packet_count, total_packet_bytes, total_packet_count, start_time, end_time, aliuid, region_id, src_vpc_id e src_region

    Campos do sistema SLS: __topic__ e __time__

    internet_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, aliuid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, city_id, country_id, isp_id, firewall_id, user_ips_mode, payload_text, ips_rule_name, attack_type_name e log_type

    Campos do sistema SLS: __tag__:__receive_time__, __topic__ e __time__

    vpc_ips_log

    src_ip, dst_ip, src_port, dst_port, rule_id, rule_source, member_uid, attack_type, direction, proto, time, action_user, uuid, vul_level, payload, region_id, firewall_id, src_vpc_id, dst_vpc_id, payload_text, user_ips_mode, ips_rule_name, attack_type_name, aliuid e log_type

    Campos do sistema SLS: __tag__:__receive_time__, __topic__ e __time__

    tls

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, session_id, ssl_handshake_res, ssl_error_index, ssl_error_msg, sni, ssl_protocol e ssl_cipher

    Campos do sistema SLS: __topic__, __tag__:__receive_time__ e __time__

    appid_ctrl

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action e appid_ctrl_appid

    Campos do sistema SLS: __topic__, __tag__:__receive_time__ e __time__

    web_filter

    log_type, time, src_ip, src_port, dst_ip, dst_port, ip_protocol, region_id, aliuid, member_uid, direction, session_id, rule_id, action, url, http_method e category

    Campos do sistema SLS: __topic__, __tag__:__receive_time__ e __time__

    Campos de log

    Parâmetro

    Descrição

    Exemplo

    __time__

    O horário em que o log é gravado em um Logstore. O valor é um carimbo de data/hora Unix em segundos.

    1703483369

    __topic__

    O tópico do log. O valor é fixo como cloudfirewall_access_log, que indica um log de tráfego do Cloud Firewall.

    cloudfirewall_access_log

    __tag__:__receive_time__

    Uma tag do sistema SLS que indica o horário em que o servidor SLS recebeu o log.

    1785833241

    acl_rule_id

    O ID da política de controle de acesso que correspondeu ao tráfego.

    O valor 00000000-0000-0000-0000-000000000000 indica que o tráfego não correspondeu a nenhuma política de controle de acesso.

    073a1475-6e11-43e2-8b28-98cee9c6****

    action

    A ação que a regra executa.

    deny

    action_user

    A ação aplicada ao tráfego que correspondeu à regra. Valores possíveis:

    • 0 (pass): permite o tráfego.

    • 1 (alert): gera um alerta.

    • 2 (drop): descarta o tráfego.

    1

    aliuid

    O ID da conta da Alibaba Cloud.

    1233333333****

    app_dpi_state

    O status da identificação do aplicativo. Valores possíveis:

    • success: aplicativo identificado com sucesso.

    • policy_discard: uma política bloqueou o tráfego.

    • tcp_not_establish: falha ao estabelecer a conexão TCP.

    • analysing: o sistema está identificando o aplicativo.

    • no_payload: nenhum payload recebido.

    • unknown_loose: não foi possível identificar o aplicativo no modo flexível.

    • unknown_strict: a identificação do aplicativo falhou no modo restrito.

    • none: sem estado.

    success

    app_name

    O tipo de aplicativo do tráfego. Por exemplo: HTTPS, NTP, SIP, SMB, NFS, DNS ou Unknown (indica um tipo de protocolo desconhecido).

    HTTPS

    appid_ctrl_appid

    O ID do aplicativo.

    10010470000

    attack_type

    O tipo de ataque. Valores possíveis:

    • 1: Conexão anômala

    • 2: Execução de comando

    • 3: Ataque de força bruta

    • 4: Varredura

    • 5: Outros

    • 6: Vazamento de informações

    • 7: Ataque DoS

    • 8: Ataque de estouro de buffer

    • 9: Ataque web

    • 10: Backdoor de trojan

    • 11: Vírus ou worm

    • 12: Comportamento de mineração

    • 13: Shell reverso

    11

    attack_type_name

    O nome em chinês do tipo de ataque detectado.

    Mining behavior

    attack_type_name_en

    O nome em inglês do tipo de ataque detectado.

    mining behavior

    category

    A categoria de URL para filtragem web.

    country_id

    O código de duas letras do país ou região, definido na ISO 3166-1.

    Nota

    O código YY indica um país ou região desconhecido.

    • Se direction for in, este campo indica o país ou região de origem.

    • Se direction for out, este campo indica o país ou região de destino.

    CN

    city_id

    O id exclusivo da cidade. Este campo usa o código de divisão administrativa de seis dígitos para cidades da China continental no nível de condado ou superior. Por exemplo, o código de Pequim é 110000.

    110000

    cloud_instance_id

    O ID da instância do ativo protegido.

    ngw-bp1d5bx2orlw1p2wn****

    dst_vpc_id

    O ID da instância da VPC de destino.

    vpc-xxxxxxxxxxxxxxxxxxxx1

    direction

    A direção do fluxo de tráfego. Valores possíveis:

    • in: tráfego de entrada da Internet ou de outras instâncias ECS na rede interna para o seu ativo.

    • out: tráfego de saída do seu ativo para a Internet ou para outras instâncias ECS na rede interna.

    Nota

    Os firewalls VPC não distinguem as direções de entrada e saída. Para logs de firewall VPC, o valor padrão deste campo é out.

    in

    domain

    O nome de domínio de destino.

    Nota

    • Este campo é preenchido apenas se o tráfego conter informações de nome de domínio.

    • Se app_name for DNS, domain indica o nome de domínio em resolução na solicitação DNS.

    www.aliyundoc.com

    dst_ip

    O endereço IP de destino.

    39.108.XX.XX

    dst_network_instance_id

    A instância de rede de destino.

    vpc-bp18ina819injc9zs****

    dst_port

    A porta de destino.

    443

    dst_region

    A região de destino.

    cn-beijing

    end_time

    O horário em que a sessão terminou. O valor é um carimbo de data/hora Unix em segundos.

    1702367350

    firewall_id

    O ID da instância do firewall VPC.

    cen-m9y9u2hgc0t9im****

    http_method

    O método de solicitação HTTP.

    GET

    in_bps

    A taxa de tráfego de entrada, em bit/s.

    42

    in_packet_bytes

    O volume de tráfego de entrada, em bytes.

    58

    in_packet_count

    O número de pacotes no tráfego de entrada.

    1

    in_pps

    A taxa média de tráfego de entrada, em pacotes por segundo (pps).

    Nota

    Se a taxa for menor que 1 pps, este campo exibe 0 e não mostra casas decimais.

    1

    ip_protocol

    O protocolo IP. Valores possíveis:

    • TCP

    • UDP

    • ICMP

    tcp

    ips_ai_rule_id

    O ID da política de controle de acesso recomendada por inteligência artificial que correspondeu ao tráfego.

    O valor 00000000-0000-0000-0000-000000000000 indica que o tráfego não correspondeu a nenhuma política de controle de acesso recomendada por inteligência artificial.

    00000000-0000-0000-0000-000000000000

    ips_rule_id

    O ID da regra de prevenção de intrusões que correspondeu ao tráfego.

    O valor 00000000-0000-0000-0000-000000000000 indica que o tráfego não correspondeu a nenhuma regra de prevenção de intrusões.

    00000000-0000-0000-0000-000000000000

    ips_rule_name

    O nome em chinês da regra de prevenção de intrusões correspondente.

    The host exhibits mining behavior.

    ips_rule_name_en

    O nome em inglês da regra de prevenção de intrusões correspondente.

    Mining behavior on the host

    isp_id

    O id do provedor de service de Internet (ISP).

    50003280

    l4_protocol

    O protocolo da Camada 4, como TCP ou UDP.

    tcp

    l7_protocol

    O protocolo de aplicativo da Camada 7, como HTTP ou Unknown.

    HTTP

    log_type

    O tipo de log. Valores possíveis:

    • internet_log: logs de tráfego do firewall de Internet.

    • vpc_firewall_log: logs de tráfego do firewall VPC.

    • nat_firewall_log: logs de tráfego do firewall NAT.

    • dns_firewall_log: logs do firewall DNS.

    • ipv6_firewall_log: logs de proteção de tráfego para ativos IPv6.

    • internet_ips_log: logs de eventos de prevenção de intrusões do firewall de Internet.

    • vpc_ips_log: logs de eventos de prevenção de intrusões do firewall VPC.

    • appid_ctrl: logs de controle de aplicativos do firewall de Internet.

    • web_filter: logs de filtragem web do firewall de Internet.

    • tls: logs de inspeção TLS do firewall de Internet.

    internet_log

    loose_allow_acl_id

    O ID da política de controle de acesso que permite tráfego com um tipo de aplicativo não identificado. Valores possíveis:

    • 00000000-0000-0000-0000-000000000000: indica que o sistema não permitiu nenhum tráfego não identificado.

    • Outro: indica que o tráfego com um tipo de aplicativo não identificado foi permitido. O valor é o ID da política.

    00000000-0000-0000-0000-000000000000

    member_uid

    Em um cenário de gerenciamento de múltiplas contas, este é o UID da conta de membro associada ao log.

    1234567890654321

    net_connect_dir

    A direção da conexão de rede, in ou out.

    in

    new_conn

    Indica se uma nova conexão foi estabelecida. Valores possíveis:

    • 1: Sim

    • 0: Não

    1

    out_bps

    A taxa de tráfego de saída, em bit/s.

    0

    out_packet_bytes

    O volume de tráfego de saída, em bytes.

    0

    out_packet_count

    O número de pacotes no tráfego de saída.

    0

    out_pps

    A taxa média de tráfego de saída, em pacotes por segundo (pps).

    Nota

    Se a taxa for menor que 1 pps, este campo exibe 0 e não mostra casas decimais.

    0

    payload

    O payload do pacote que acionou um evento de prevenção de intrusões, formatado em hexadecimal. Este campo é preenchido apenas quando o log_type é internet_ips_log ou vpc_ips_log.

    302602010104067075626c6963a1190204dc63c29a0201000xxxxx

    payload_text

    O payload do pacote, decodificado do campo payload para texto simples ASCII.

    The ASCII plaintext of the payload

    proto

    O número do protocolo IP. Valores possíveis:

    • 6: TCP

    • 17: UDP

    • 1: ICMP

    6

    region_id

    O ID da região. Para mais informações, consulte Supported regions.

    • Se direction for in, este campo indica o ID da região onde está localizado o ativo de destino.

    • Se direction for out, este campo indica o ID da região onde está localizado o ativo de origem.

    cn-beijing

    rule_id

    O ID da regra correspondente.

    Para logs de prevenção de intrusões, este é um ID de regra numérico. Para logs de controle de aplicativos ou filtragem web, este é um ID de instância de regra com o prefixo ati- ou wft-.

    Intrusion prevention log: 20000080; appid_ctrl: ati-xxxx; web_filter: wft-xxxx

    rule_result

    A ação aplicada ao tráfego que correspondeu a uma política de controle de acesso. Valores possíveis:

    • pass: permite o tráfego.

    • alert: monitora o tráfego.

    • drop: nega o tráfego.

    A ação aplicada ao tráfego que correspondeu a um evento de prevenção de intrusões. Valores possíveis:

    • alert: gera um alerta.

    • drop: descarta o tráfego.

    alert

    rule_source

    A source da política ou regra correspondente. Valores possíveis:

    • basic_acl: controle de acesso

    • dns_acl_rule: política de controle de acesso do firewall DNS

    • intelligence: inteligência contra ameaças

    • ips_basic_rule: proteção básica

    • virtual_patch: correção virtual

    • unknown: desconhecido

    basic_acl

    session_id

    O ID da sessão.

    16000208880536122104

    ssl_protocol

    A versão do protocolo TLS. Valores possíveis:

    • TLSv1

    • TLSv1.1

    • TLSv1.2

    • TLSv1.3

    TLSv1.3

    ssl_cipher

    A suíte de criptografia.

    TLS_AES_128_GCM_SHA256

    ssl_handshake_res

    Indica se o offload TLS foi bem-sucedido. Valores possíveis:

    • success: o offload foi bem-sucedido.

    • failed: o offload falhou.

    success

    ssl_error_index

    A categoria do erro. Valores possíveis:

    • Empty: nenhum erro ocorreu.

    • Certificate: erro de certificado, como certificado ausente ou falha na verificação.

    • Protocol: versão de protocolo não suportada.

    • Syscall: falha em uma chamada de sistema subjacente.

    • Error: erro geral de SSL.

    Certificate

    ssl_error_msg

    Os detalhes do erro.

    certificate verifique failed

    sni

    Server Name Indication (SNI).

    example.com

    src_ip

    O endereço IP de origem.

    167.94.XX.XX

    src_network_instance_id

    A instância de rede de origem.

    vpc-bp18ina819injc9zs****

    src_port

    A porta de origem.

    47915

    src_region

    A região de origem.

    cn-beijing

    src_vpc_id

    O ID da VPC de origem.

    vpc-bp18ina819injc9zs****

    start_time

    O horário em que a sessão começou. O valor é um carimbo de data/hora Unix em segundos.

    1701759171

    start_time_min

    O horário de início da sessão, arredondado para baixo para o minuto. O valor é um carimbo de data/hora Unix em segundos.

    1701759120

    tcp_seq

    O número de sequência TCP.

    388367****

    time

    O horário em que o evento ocorreu. O valor é um carimbo de data/hora Unix em segundos.

    1785833221

    total_bps

    A taxa total de transmissão de tráfego de entrada e saída, em bit/s.

    42

    total_packet_bytes

    O volume total de tráfego de entrada e saída, em bytes.

    58

    total_packet_count

    O número total de pacotes no tráfego de entrada e de saída.

    1

    total_pps

    A taxa média de transmissão de pacotes para os tráfegos de entrada e saída, em pacotes por segundo (pps).

    Nota

    Se a taxa for menor que 1 pps, este campo exibe 0 e não mostra casas decimais.

    0

    traffic_type

    A source dos dados do log. Para o Cloud Firewall, este valor é sempre 2, indicando que o log é gerado a partir da coleta de fluxos, e não da captura de pacotes.

    2

    url

    A URL do site acessado pelo servidor.

    Nota

    Este campo só tem valor se app_name for HTTP.

    http://aliyundoc.com/index.html

    user_ips_mode

    O modo de prevenção de intrusões. Valores possíveis:

    • 0: Desativado

    • 1: Bloquear - Flexível

    • 2: Bloquear - Médio

    • 3: Bloquear - Restrito

    1

    uuid

    Um id exclusivo para um evento de prevenção de intrusões. Use este ID para correlacionar um log de evento com os logs de tráfego da sessão correspondente.

    a1b2c3d4-0000-0000-0000-000000000002

    vul_level

    O nível de risco da vulnerabilidade explorada pelo tráfego. Valores possíveis:

    • 0: nenhuma exploração de vulnerabilidade detectada.

    • 1: vulnerabilidade de baixo risco explorada.

    • 2: vulnerabilidade de risco médio explorada.

    • 3: vulnerabilidade de alto risco explorada.

    1

    ndr_log_type

    O tipo de log do protocolo NDR, que identifica o protocolo do log.

    HTTP

    net_type

    O local onde o NDR detectou o tráfego. Valores possíveis:

    • 0: Rede pública

    • 1: Rede privada

    0

    request_uri

    • A URI de solicitação completa, incluindo o caminho e os parâmetros de consulta, por exemplo, /api/data?id=123. Este campo é usado para correspondência de rotas, localização de recursos e auditoria do caminho completo da solicitação.

    • A diferença entre este campo e request_path é que request_uri inclui parâmetros de consulta, enquanto request_path contém apenas o caminho.

    /api?key=value

    request_path

    A parte do caminho da URI, sem parâmetros de consulta.

    /api

    host

    O nome do host de destino e o número da porta do cabeçalho Host da solicitação.

    aliyun.com:8080

    request_method

    O método de solicitação HTTP, como GET, POST, PUT ou exclua.

    POST

    http_user_agent

    O id do cliente do cabeçalho User-Agent da solicitação.

    Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36

    status

    O código de status de resposta HTTP de três dígitos.

    200