Security Center:Integrar logs de products

Ative manualmente

1. Configure a source de dados. O Agentic SOC fornece sources de dados pré-configuradas para os principais products da Alibaba Cloud. Verifique se as configurações correspondem às informações do seu Logstore.

   1. Encontre o product em cloud.

      1. Faça login no Security Center console > Agentic SOC > Management > Integration Settings. No canto superior esquerdo, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

      2. Na aba Service Integration, defina Access Settings como Alibaba Cloud, selecione o product (como Web Application Firewall) e clique em Access Settings na coluna Actions.

   2. Verifique o status da source de dados.

      1. Clique em o nome da source de dados associada ao product. A página será redirecionada para a aba Data Source.

      2. Verifique o status da conexão:

         • Normal: O Agentic SOC consegue acessar o Logstore. Prossiga para a próxima etapa.

         • Abnormal: A configuração está incorreta. Clique em Edit na coluna Actions e verifique:

           • Instance information: Confirme se Region, Project e Logstore correspondem aos recursos criados na Etapa 1.

           • Source log service: Confirme se o Logstore do SLS está ativo, ou seja, se o Project não está desativado e se novos logs estão sendo gravados.

         • Not connected: A source de dados não está configurada. Clique em Edit na coluna Actions, em seguida clique em Create Instance e selecione o Region ID, o Project e o Logstore criados na Etapa 1.

3. Ative a política de acesso integrada.

   1. Retorne à aba Service Integration e acesse as Access Settings do product.

   2. Configure a política de acesso (opcional). Para políticas integradas, configure a política na página Access Binding. Selecione um modo de ingestão de logs: Ingest and store (native), Ingest and store (standardized) ou Ingest without storage (standardized). Este fluxo não utiliza o painel de política de acesso personalizada nem sua etapa opcional de Access Test. Para detalhes, consulte Log ingestion mode comparison.

      Importante

      • Se o tipo de source de dados for Security Center Log Service ou o log for de alerta, apenas os modos Ingest and store são suportados.

      • Se o dataset (StoreView) associado a Standardization Category or Structure já possuir cinco políticas de acesso que utilizam Ingest without storage (standardized), selecione um modo Ingest and store para a política atual. Caso contrário, não será possível ative a política.

   3. Teste de acesso (opcional).

      Execute um teste para verifique a entrega e a análise (parsing) de logs. Também é possível ignorar o teste e concluir a configuração primeiro.

      Aviso

      O Logstore da source de dados deve conter dados. Não é possível execute o teste em um Logstore vazio.

      1. Log sample selection: Por padrão, o sistema busca automaticamente amostras de logs dos últimos 7 dias. Você também pode selecione manualmente um intervalo de tempo.

      2. SPL syntax: A sintaxe da regra de parsing da política atual é sincronizada por padrão. Para que você modifique a sintaxe, acesse a aba Parsing rules e edite a regra.

      3. Após obter as amostras de log, clique em Parse and Test.

      4. Após a conclusão do teste, clique em Complete. É possível concluir a configuração mesmo que o teste não tenha sido execute ou aprovado.

         Nota

         Se o teste falhar, consulte What do I do if the access test fails?.

   4. Ative a política.

      Ative a chave na coluna Enabling Status.

      Importante

      Se a política de acesso recomendada foi ativada durante a compra do Agentic SOC, as políticas integradas para Security Center, WAF, Cloud Firewall e ActionTrail já estarão ativadas. Consulte Enable access policies for subscription e Enable log access policies for pay-as-you-go.

Ative em lotes (recomendado)

A integração em lote descobre sources de dados e ative políticas de acesso em vários products simultaneamente.

1. Acesse o Security Center console - Agentic SOC - Management -Integration Settings. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

2. Configure a integração em lote.

   Clique em Access Settings e conclua a configuração:

   • Access Settings:

     • Increment Access: Mantém todas as políticas de acesso ativadas e adiciona apenas as sources de dados e políticas da configuração atual.

     • Full Access: Substitui todas as configurações de acesso existentes. As políticas não selecionadas na configuração atual serão desativadas.

       Aviso

       O Full Access é uma operação de substituição. Ele pode desativar políticas em execução e interromper a integração de dados. Prossiga com cautela.

   • Accessible Account: Selecione a conta atual e suas contas de membro.

   • Alibaba Cloud Services: Selecione os products em cloud e suas respectivas sources de dados.

     Nota

     Para que você ative rapidamente a análise de dados, clique em Use Recommended Policy. O sistema selecione as sources de dados com maior valor analítico para cada product com base nas melhores práticas.

   • Auto-Add New Data Sources: Quando ativado, novos Logstores são incluídos automaticamente no escopo de coleta da source de dados, sem necessidade de atualize manuais.

3. Confirme e inicie a integração de dados.

   Clique em OK. O sistema automaticamente:

   • Integra todos os Logstores: Ingere todos os Logstores ativados associados aos products e contas selecionados no SLS.

   • Ative políticas de acesso: Ative as políticas de acesso que correspondem às sources de dados selecionadas.

   Importante

   Novas políticas de acesso podem levar algum tempo para serem implantadas e inicializadas. Aguarde a conclusão do processo antes que você verifique os resultados.

4. Confirme o status ativado.

   1. Retorne à lista de acesso, selecione o product e clique em Access Settings na coluna Actions.

      Nota

      Para contas de membro, acesse Multi-account Access Settings e clique em Multi-account Access na coluna Actions da source de dados de destino.

   2. Verifique o status de acesso na lista de políticas de acesso. Se o status for anormal, verifique o status da source de dados. Consulte Check the data source status.

Etapa 3: Adicionar uma política de acesso personalizada (opcional)

Alguns products suportam a adição de políticas de acesso personalizadas. A configuração segue um fluxo de três etapas: Access Binding → Access Test → Complete.

Nota

Os testes de acesso verifique a entrega de logs e os resultados do parsing. É possível ignorar o teste e conclua a configuração primeiro.

1. Na lista de políticas de acesso, clique em Create Access Policy.

   Nota

   Se Create Access Policy não for exibido, o product não suporta políticas de acesso personalizadas.

2. Etapa 1: Access Binding — Vincule uma source de dados e uma regra de parsing.

   Selecione uma source de dados

   Campo	Interação	Descrição
   Nome da source de dados	Lista suspensa	As opções são filtradas pelo contexto do product atual.
   Atributos da source de dados	Exibição de tag	Mostra o tipo de source de dados e o status de saúde da conexão.
   Conta de ingestão	Somente leitura	Exibe a conta, a região, o Project e o Logstore.
   Instâncias de ingestão	Tabela	Mostra a região, o Project, o Logstore e o status.

   Nota

   • Ao alternar a source de dados, os atributos da source de dados, a conta de ingestão, a tabela de instâncias e os logs de amostra são atualizados. O status do teste de acesso é redefinido para Not run.

   • Caso nenhum log seja detectado para a source de dados, a seguinte mensagem será exibida: No available logs detected for the current data source. Configure data import first. You can continue the setup after logs arrive in the Logstore. Esta mensagem não impede a progressão para a próxima etapa.

   Selecione um modo de ingestão de logs

   Escolha entre os seguintes modos de ingestão de logs:

   Modo de ingestão de logs	Tag	Descrição
   Ingest and store (native)	Recommended	Preserva todos os campos originais para análise forense e solução de problemas. Os campos entre sources não são unificados, o que aumenta o custo de reutilização das regras de detecção.
   Ingest and store (standardized)	Write-time standardization	Unifica a semântica dos campos entre sources. As regras de detecção e os relatórios são reutilizáveis. O mapeamento e a transformação de campos exigem esforço adicional de governança.
   Ingest without storage (standardized)	Read-time standardization	Unifica a semântica de segurança e controla os custos de armazenamento. Depende de pipelines externos. O desempenho de consulta e o encerramento de alertas são limitados.

   Importante

   Ingest without storage (native) não é suportado nesta versão.

   Importante

   O acesso multiconta não é suportado para Ingest without storage (standardized). Para detalhes, consulte Log ingestion mode comparison.

   Importante

   Ao alternar o modo de ingestão de logs, a lista suspensa de regras de parsing é filtrada novamente e o status do teste de acesso é redefinido para Not run.

   Vincule uma regra de parsing

   A lista suspensa de regras de parsing está localizada na seção Log ingestion mode. As regras disponíveis são filtradas por fornecedor, product, modo de ingestão de logs, formato de log (nativo ou padronizado), IDs de regras de parsing permitidos para o pacote do product e compatibilidade de cenário SPL.

   • Se houver regras correspondentes, a primeira será selecionada por padrão.

   • Se nenhuma regra corresponder, a lista suspensa exibirá No parsing rules available e ficará desativada. O botão Next também será desativado.

   Após selecione uma regra de parsing, os seguintes atributos somente leitura são exibidos:

   Atributo	Descrição
   Vendor/Product	O fornecedor e o product aos quais a regra pertence.
   Source	Personalizada ou Predefinida.
   Security domain / Log schema	O domínio de segurança e o esquema de log, exibidos juntos.
   Schema type	Esquema padronizado ou Esquema nativo.
   SPL scenario	O cenário de sintaxe SPL para a regra de parsing.
   Extended field ingestion	Exibido apenas quando o tipo de esquema for Esquema padronizado.

3. Etapa 2: Access Test — Verifique a entrega de logs e os resultados do parsing.

   Os testes de acesso ajudam a confirme se os logs estão chegando e se a regra de parsing consegue processar logs de amostra. Os testes não são obrigatórios para conclua a configuração.

   Verificações de validação:

   Verificação	Descrição
   Log arrival	Verifique se a source de dados detectou logs.
   Parsing validation	Verifique se a regra de parsing consegue produzir uma saída processada a partir de logs de amostra.

   Clique em Run Validation para execute as verificações. Antes da execução, os campos de resultado do parsing exibem -.

   • Passed: A source de dados possui logs e uma regra de parsing está selecionada.

   • Failed: A source de dados não possui logs ou nenhuma regra de parsing está selecionada.

   Nota

   É possível prosseguir para a etapa Complete mesmo que o teste não tenha sido execute ou aprovado.

   Campos de resultado de parsing de amostra:

   • Logs padronizados: event_time, src_ip, security_domain, log_schema, rule_id

   • Logs nativos: __time__, logstore, raw_format, schema, rule_id

4. Etapa 3: Complete — Revise o resumo da configuração.

   A página de resumo exibe a configuração da política de acesso e o status do teste.

   Mensagens de status do teste:

   • Passed: Teste de acesso aprovado.

   • Failed: O teste de acesso falhou. Você pode continuar a solução de problemas posteriormente.

   • Not run: Teste de acesso não execute. É possível execute-o posteriormente.

   Campos de resumo: Source de dados, tipo de source de dados, modo de ingestão de logs, regra de parsing (exibe Not matched se nenhuma estiver selecionada), fornecedor/product, domínio de segurança, esquema de log, cenário SPL e status do teste.

   Clique em Done e salve a política de acesso e retorne à lista. A política será salva no estado desativado. Para iniciar a ingestão de logs, ative a chave na coluna Enabled status.

   Após ative a política, você pode:

   • Visualize o painel.

   • Visualize as regras de detecção.

   Importante

   Apenas as sources de dados da conta atual são suportadas. Sources de dados de contas de membro não podem ser usadas para políticas de acesso personalizadas.

Integrar logs de terceiros

Você pode integrar logs de clouds de terceiros — Fortinet, Chaitin, Microsoft, Sangfor, Tencent Cloud, Huawei Cloud, Hillstone Networks, Knownsec e Microsoft Cloud — bem como logs de aplicações de products personalizados.

Integrar logs de products em cloud de terceiros

Products em cloud de terceiros com logs fora do SLS

Para os products WAF e CFW da Tencent Cloud e Huawei Cloud, o Agentic SOC fornece um recurso de importação de dados integrado.

Products suportados:

Provedor de cloud	Product	Tipo de log
Tencent Cloud	Web Application Firewall (WAF)	Log de ataque, log de acesso
	Cloud Firewall (CFW)	Log de alerta
HUAWEI CLOUD	Web Application Firewall (WAF)	Log de ataque, log de acesso
	Cloud Firewall (CFW)	Log de alerta

Fluxograma de integração



Procedimento

1. Crie uma source de dados. Crie uma source de dados dedicada do Agentic SOC para receber os dados de log da cloud de terceiros. Ignore esta etapa se já possuir uma.

   1. Acesse Security Center console > Agentic SOC > Management > Integration Settings. No canto superior esquerdo, selecione a região dos ativos que você deseja proteger: Chinese Mainland ou Outside Chinese Mainland.

   2. Na aba Data Source, crie uma source de dados. Consulte Create a data source: Logs not in SLS.

      • Source Data Source Type: Selecione User Log Service ou Agentic SOC Dedicated Collection Channel. Consulte Data source type comparison.

      • Add Instances: Recomendamos crie um novo Logstore para isolar os dados.

2. Importe dados. Siga Import Huawei Cloud log data ou Import Tencent Cloud log data para importar os dados da cloud de terceiros para a source de dados criada na Etapa 1.

3. Configure uma política de acesso.

   1. Na aba Service Integration, defina Access Settings para o fornecedor de terceiros (como Huawei Cloud).

   2. Clique em Access Settings para o product de destino e clique em Create Access Policy.

   3. Configure a source de dados:

      • Data Source Name: Selecione a source de dados criada na Etapa 1.

      • Parsing Rule: Selecione as regras de parsing integradas para Huawei Cloud ou Tencent Cloud.

        Nota

        Você também pode crie regras de parsing personalizadas.

      • Log Ingestion Mode: Apenas os modos Ingest and store são suportados. Ingest without storage não está disponível para este cenário.

   4. Na página Log Parsing, clique em Parse and Test.

      Aviso

      O Logstore correspondente à source de dados deve conter dados. Caso contrário, o teste não poderá prosseguir.

   5. Execute o teste de acesso, se necessário. Depois que você clique em Complete, ative a política.

Logs de terceiros já no SLS

Se os logs de products como Fortinet, Chaitin ou Sangfor já estiverem coletados em um Logstore do SLS (via Logtail ou Syslog-ng), siga este fluxo. Para métodos de coleta de dados, consulte Data collection overview.



1. Configure a source de dados.

   1. Encontre o product de integração.

      1. Acesse Security Center console > Agentic SOC > Management > Integration Settings. No canto superior esquerdo, selecione a região onde os ativos que você deseja proteger estão localizados: Chinese Mainland ou Outside Chinese Mainland.

      2. Na aba Service Integration, defina Access Settings para o fornecedor de terceiros (como Huawei Cloud).

   2. Atualize a source de dados.

      1. Clique em o nome da source de dados associada ao product. Você será redirecionado para a aba Data Source. Clique em Edit na coluna Actions.

      2. Clique em Create Instance e selecione o Region ID, Project e Logstore onde os logs de terceiros estão armazenados.

         Nota

         Faça login no console do Simple Log Service para encontrar as informações do Logstore.

2. Ative a política de acesso integrada.

   1. Retorne à aba Service Integration e acesse as Access Settings do product.

   2. Clique em Edit na coluna Actions da política de acesso integrada. Na página Access Test, clique em Parse and Test se desejar verifique a entrega e o parsing de logs. Consulte Access test.

   3. Clique em Complete e salve a configuração e, em seguida, ative a política.

Integrar logs de aplicações de products personalizados

Aplicações de products personalizados

Use este fluxo para integrar logs de suas próprias aplicações ou products não cobertos pelas integrações nativas.

Antes de começar, confirme o seguinte:

• Se seus logs já estão coletados no SLS. Caso contrário, decida se usará o Agentic SOC Dedicated Collection Channel (o Agentic SOC crie e gerencie o Logstore) ou o User Log Service (você crie o Logstore).

• Será necessário escrever uma regra de parsing personalizada baseada em SPL para o seu formato de log.

Fluxograma de integração



1. Adicione um product.

   1. Acesse o Security Center console - Agentic SOC - Management -Integration Settings. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

   2. Na aba Service Integration, na área Multi-cloud Service Access, clique em Add Service e insira o Service Provider e o Service Name.

2. Adicione uma source de dados. Na aba Data Source, clique em Add Data Source. Consulte Data source.

   • Se os logs já estiverem no SLS: Defina Source Data Source Type como User Log Service e selecione o Logstore correspondente.

     Nota

     Faça login no console do Simple Log Service para encontrar as informações do Logstore.

   • Se os logs ainda não estiverem no SLS:

     • Agentic SOC Dedicated Collection Channel: O Agentic SOC crie automaticamente um Project dedicado (aliyun-cloudsiem-channel-AlibabaCloudUID-cn-RegionID) e um Logstore no SLS.

     • User Log Service: Acesse o console do Simple Log Service e crie o Logstore primeiro.

3. Colete os logs do product e envie-os para o Logstore do SLS correspondente. Para métodos de coleta de dados, consulte Data Collection Overview ou entre em contato com o suporte do SLS.

4. Adicione uma regra de parsing.

   Na aba Parsing Rules, clique em Create Custom Rule. Consulte Create a custom parsing rule.

   Defina o fornecedor e o product para corresponder ao que você adicionou na Etapa 1.

5. Adicione e ative uma política de acesso.

   1. Retorne à aba Service Integration, encontre o product adicionado na Etapa 1 e clique em Access Settings na coluna Actions.

   2. Na página Ingestion Settings, clique em Create Access Policy e configure:

      • Data Source: Selecione a source de dados configurada na Etapa 2.

      • Parsing Rule: Selecione a regra configurada na Etapa 3.

      • Log Ingestion Mode: Selecione Ingest and store (native), Ingest and store (standardized) ou Ingest without storage (standardized).

        Importante

        Se o tipo de source de dados for Agentic SOC Dedicated Collection Channel ou o log for de alerta, apenas os modos Ingest and store são suportados.

   3. Na página Access Test, clique em Parse and Test se desejar verifique a entrega e o parsing de logs. Consulte Access test.

      Aviso

      O Logstore da source de dados deve conter dados. Não é possível execute o teste em um Logstore vazio.

   4. Clique em Complete e salve a configuração e, em seguida, ative a política.

Compatibilidade de cenário SPL

Use a tabela a seguir para consultar quais cenários SPL estão disponíveis em cada modo de ingestão de logs. Nem todos os cenários SPL são compatíveis com todos os modos.

Importante

A enumeração de cenários SPL está sujeita a alterações. Confirme os cenários suportados mais recentes com a equipe do seu product.

Cenário SPL	Modos de ingestão de logs suportados	Notas
StoreView predefined SPL	Ingest without storage (standardized), Ingest and store (standardized)	O StoreView predefined SPL é um subconjunto restrito do SPL de consumo em tempo real.
Real-time consumption SPL	Ingest and store (standardized)	Garantido apenas para padronização em tempo de gravação.
Scan Query SPL	A confirme	Aguardando confirme da enumeração de cenários SPL.

Gerenciamento da lista de políticas de acesso

A lista de políticas de acesso exibe informações-chave para gerencie políticas de acesso em cada product.

Coluna	Descrição
Source de dados	Exibe o nome da source de dados com uma tag de tipo (Center-side, User-side ou Data collection channel).
Regra de parsing	O nome da regra de parsing vinculada.
Modo de ingestão de logs	O modo de ingestão de logs para esta política.
Capacidades de segurança associadas	Mostra o número de capacidades de segurança vinculadas a esta política. Clique em o número para visualize os detalhes.
Última modificação	A data e hora da última atualize da política.
Hora da atividade do log	A data e hora em que os logs foram detectados pela última vez para esta política. Exibe -- se não houver logs disponíveis.
Status de acesso	Exibe o status de acesso, como Connected, Abnormal ou Pending verification.
Status ativado	Um botão seletor para ative ou desative a política.
Ações	Details, Preview e Edit.

Restrições de edite

Importante

As políticas de acesso ativas não podem ser editadas diretamente. A ação Edit fica desativada para políticas ativadas, e uma dica de ferramenta exibe Disable the access policy before editing.

Para que você edite uma política de acesso, desative-a primeiro. O fluxo de edite reutiliza o mesmo painel de três etapas (Access Binding → Access Test → Complete) e preenche previamente a source de dados, o modo de ingestão de logs e a regra de parsing da política existente.

Nota

As colunas Access status, Enabled status e Actions ficam fixadas no lado direito da tabela para permanecerem visíveis ao rolar horizontalmente.

Analisar dados integrados

Após integrar os logs de products, configure regras de detecção de ameaças para analisar logs, gerar alertas e responder a riscos de segurança em cloud. Consulte Configure threat detection rules.

Limitações

• Limite de políticas Ingest without storage (standardized): Um dataset (associado a uma regra de parsing) suporta no máximo cinco políticas de acesso que usam Ingest without storage (standardized).

• Integração multiconta:

  • Os logs de contas de membro só podem ser ingeridos usando os modos Ingest and store. O modo Ingest without storage não é suportado. Consulte contas de membro.

  • Políticas de acesso personalizadas não podem ser adicionadas para sources de dados de contas de membro.

• Restrições de modo de ingestão de logs: Se o tipo de source de dados for Agentic SOC Dedicated Collection Channel ou o log for de alerta, apenas os modos Ingest and store são suportados.

Faturamento

As taxas de integração de logs dependem do tipo de source de dados.

Nota

Consulte os detalhes de faturamento para Agentic SOC subscription, Agentic SOC pay-as-you-go e SLS billing.

Tipo de source de dados	Faturamento do Agentic SOC	Faturamento do SLS	Notas
Agentic SOC Dedicated Collection Channel	Taxas de ingestão de logs + taxas de armazenamento e gravação de logs (consome Log Ingestion Traffic)	Taxas de tráfego de Internet (não inclui armazenamento ou gravações)	O Agentic SOC crie e gerencie recursos do SLS, portanto, as taxas de armazenamento e gravação do Logstore são cobradas pelo Agentic SOC.
User Log Service	Ingestão de logs (consome Log Ingestion Traffic)	Todos os custos: armazenamento, gravação e transferência de dados	O SLS gerencie todos os recursos de log e cobra todas as taxas associadas.
Security Center Log Service	Consome Log Ingestion Traffic	Nenhum	Logs internos do Security Center. Nenhuma taxa do SLS é aplicável.

Referências

Comparação de modos de ingestão de logs

Dimensão	Ingest and store (native)	Ingest and store (standardized)	Ingest without storage (standardized)
Como funciona	O Agentic SOC consome logs em tempo real e os armazena em seu formato original.	Padronização em tempo de gravação: O Agentic SOC consome logs da source de dados, analisa-os e os armazena no espaço de logs do Agentic SOC.	Padronização em tempo de leitura: Lê logs diretamente da source de dados sem armazenar réplicas.
Formato de armazenamento	Esquema nativo (Logstore)	Esquema padronizado (dataset / StoreView)	Sem armazenamento. Parsing em tempo de consulta.
Principais vantagens	Preserva todos os campos originais. Ideal para análise forense e solução de problemas.	Semântica de campos unificada. Regras de detecção e relatórios são reutilizáveis.	Controla os custos de armazenamento mantendo a semântica de segurança unificada.
Limitações	Os campos entre sources não são unificados. A reutilização de regras de detecção é mais cara.	O mapeamento e a transformação de campos exigem esforço de governança.	Depende de pipelines externos. O desempenho de consulta e o encerramento de alertas são limitados.
Armazenamento e taxas de logs	Armazenado no Logstore. As taxas de armazenamento e gravação são cobradas pelo service que gerencie o Logstore. Consulte Billing.	Se você comprar Log Storage Capacity, os logs processados são entregues automaticamente ao Log Management. Isso consome sua Log Storage Capacity do Agentic SOC e não pode ser desativado.	Nenhuma réplica armazenada. O armazenamento de logs brutos é cobrado pela source (SLS).
Acesso multiconta	Suportado	Suportado	Não suportado

Comparação de tipos de source de dados

Dimensão	User Log Service	Agentic SOC Dedicated Collection Channel	Security Center Log Service
Armazenamento e gerenciamento de logs	Você gerencie seus próprios Projects e Logstores do SLS.	O Agentic SOC crie e gerencie automaticamente Projects e Logstores dedicados do SLS.	Logs internos do Security Center; não armazenados no seu SLS.
Cenários SPL suportados	Real-time Consumption, Scan Query (exceto logs de alerta)	Real-time Consumption	Real-time Consumption
Casos de uso	Ingerir logs entregues ao SLS a partir de products da Alibaba Cloud (WAF, CFW, etc.) ou coletados no SLS a partir de products de terceiros usando Logtail.	Coletar logs de clouds de terceiros (Tencent Cloud, Huawei Cloud) que ainda não estão no SLS; coletar logs de aplicações personalizadas sem um método de entrega existente.	Analisar logs de alerta entregues automaticamente pelo centro de negócios de products de segurança da Alibaba Cloud (como alertas de proteção IPS do Cloud Firewall e alertas do WAF). Nenhuma ativação manual do service de logs do product é necessária.

Nota

Nesta tabela, Real-time Consumption e Scan Query referem-se a cenários de sintaxe SPL, não aos modos de ingestão de logs atuais. Para os modos atuais, consulte Log ingestion mode comparison.

Referências para integrar logs de products da Alibaba Cloud no SLS

• Web Application Firewall: WAF 3.0 logs

• Cloud Firewall: Cloud Firewall logs

• Bastionhost: Archive audit logs to Simple Log Service

• ActionTrail: Platform operation logs

• Anti-DDoS: Get started with full log analysis

• CDN: Best practices for delivering CDN real-time logs to SLS

• DCDN: Global Accelerator access log

• API Gateway: API Gateway access logs

• Container Service for Kubernetes: Log management

• PolarDB: Log analysis

• ApsaraDB for MongoDB: MongoDB logs

• RDS: RDS SQL Audit Log, Deliver RDS MySQL logs to Simple Log Service

• VPC: VPC flow logs, Elastic IP Address logs

• Server Load Balancer: ALB access logs, CLB access logs, Layer-7 access logs for CLB, Layer-4 monitoring metrics for CLB

• Object Storage Service: OSS access log

• File Storage NAS: Log analysis based on SLS

• CloudConfig: Configuration Audit Log

Referência de coleta de logs do Log Service (SLS)

• Logstash: Use Logstash to upload logs

• OSS: Import OSS data

• Log4j: Collect Log4j logs

• Alibaba Cloud Log Collection Agent: LoongCollector (formerly Logtail)

• Collection Selection Guide: Data collection

Perguntas frequentes

• Por que a source de dados mostra "Abnormal" ou "Not connected"?

  1. A causa mais comum é a função vinculada ao service não ter as permissões necessárias. Verifique se a função vinculada ao service AliyunServiceRoleForSas tem pelo menos AliyunLogReadOnlyAccess no Logstore do SLS.

  2. Se as permissões estiverem corretas, acesse a página de edite da source de dados no Agentic SOC e verifique os nomes de Region, Project e Logstore. Fique atento a erros de digitação e espaços extras.

  3. Por fim, faça login no console do SLS e confirme se o Project não está desativado e se novos dados estão sendo gravados.

• Por que a política de acesso falha ao ser ativada?

  A política provavelmente atingiu o limite de políticas Ingest without storage (standardized). Cada dataset (StoreView) suporta no máximo cinco políticas de acesso que usam esse modo. Altere a política para um modo Ingest and store e, em seguida, ative-a novamente. Consulte Access policy fails to be enabled.

• O que fazer se o teste de acesso falhar ou os dados não puderem ser analisados?

  1. O Logstore provavelmente está vazio. Confirme se o Logstore do SLS contém dados recentes (de preferência gravados na última hora) — não é possível execute o teste em um Logstore vazio.

  2. Se o Logstore tiver dados, mas o teste ainda falhar, verifique se a instrução SPL na sua regra de parsing analisa corretamente o formato de log bruto. Depure a instrução SPL na página de consulta e análise no console do SLS.