日誌欄位 - Cloud Firewall

全流量威脅檢測與響應NDR（Network Detection and Response）自動即時採集並組建記錄檔，您可以通過指定日誌欄位快速查詢所需的日誌內容，方便您進行日誌分析和流量審計。本文為您介紹NDR日誌欄位類型及含義。

支援的協議類型

NDR支援識別55種協議。其中 HTTP、DNS、ICMP、TLS、MySQL、PostgreSQL、FTP、WebSocket、SSH、RDP、MQTT、Syslog、SIP、Kerberos與SOCKS 協議支援深度解析，可在通用欄位基礎上提取並展示具體協議欄位。其他協議目前僅支援識別，暫不支援具體協議欄位提取。

支援的所有協議識別類型：

FTP_CONTROL、DNS、HTTP、PostgreSQL、MySQL、SSL、ICMP、WebSocket、POP3、SMTP、IMAP、NTP、NetBIOS、NFS、SSDP、SNMP、SMB、Syslog、RTSP、Telnet、LDAP、RTP、RDP、VNC、SSH、TFTP、SIP、Kerberos、MsSQL-TDS、PPTP、Citrix、OpenVPN、RTCP、RSYNC、Oracle、SOCKS、RTMP、Redis、QUIC、MQTT、MongoDB、Memcache、RPC、RPCBind、SVN、Cassandra、Zookeeper、IPsec、Nagios、Oracle_docker、Impala、Zabbix、Kafka、Thrift、SSE

協議日誌欄位分類

協議類別	欄位類別	欄位名稱
通用欄位	標識資訊	ndr_log_type
	會話資訊	start_time、end_time、src_ip、src_port、dst_ip、dst_port、net_connect_dir、l3_protocol、l4_protocol、l7_protocol、tcp_flags、new_conn、app_id_extend、app_name_extend、category_id、category_name
	地理位置資訊	country_id、city_id
	原始負載資料	req_trans_data、resp_trans_data、req_trans_offsets、resp_trans_offsets、req_trans_lens、resp_trans_lens
ICMP協議	報文類型欄位	type、code、type_str
	匹配欄位	id、seq
	ICMP 攜帶的資料包	inner_src_ip、inner_src_port、inner_dest_ip、inner_dest_port、inner_l4_proto
HTTP協議	摘要資訊	host、request_uri、request_method、http_referer、http_user_agent、querystring、request_path、http_x_forwarded_for、status、response_set_cookie、content_type、response_content_type、proxy_connection、proxy_authorization、location
HTTP協議	負載資訊	request_header、request_body、response_header、response_info
TLS協議	TLS 基礎資訊	version、sni、state
	TLS 認證資訊	cert_subject、cert_issuer、cert_serial、cert_fingerprint
	TLS 指紋	ja3_str_client、ja3_str_server、ja3_hash_client、ja3_hash_server
	TLS 加密套件	cipher_suite
DNS協議	基礎資訊	type、id、rcode
	問題部分	query_name、query_type
	回答部分	answers、additional、authority
資料庫協議	資料庫基礎資訊	db_type、type、user、db
	握手-登入階段資訊	protocol_version、salt、server_version、server_status、auth_response
	用戶端命令資訊	command_type、sql
	服務端響應資訊	fail、result、error_code、error_message、return_rows、return_rows_data、affect_rows、last_insert_id
FTP協議	基礎資訊	user、password、cwd
FTP協議	命令-響應資訊	request_command、request_arg、response_code、response_arg
WebSocket協議	幀資訊	opcode、masking_key
WebSocket協議	負載資訊	payload_len、payload
SSH協議	版本資訊	client、server、version
	密鑰資訊	cipher_alg、compression_alg、host_key、host_key_alg、kex_alg、mac_alg
	認證資訊	auth_attempts、auth_success
RDP協議	串連資訊	cert_count、cert_type、encryption_level、encryption_method、result
RDP協議	用戶端資訊	client_build、client_channels、client_dig_product_id、client_name、cookie
MQTT協議	訂閱訊息	ack、action、topics
	串連資訊	client_id、connect_status、proto_name、proto_version、will_payload、will_topic
	發布訊息	from_client、payload、payload_len、qos、retain、status、topic
Syslog協議	日誌資訊	facility、message、severity
SIP協議	訊息標識	call_id、method、seq、uri
	響應資訊	content_type、response_body_len、response_from、response_to、status_code、status_msg、warning
	請求資訊	reply_to、request_body_len、request_from、request_to、user_agent
Kerberos協議	基本資料	client、request_type、service
	請求選項	forwardable、renewable
	響應結果	cipher、error_code、error_msg、from、success、till
Socks 協議	基礎資訊	status、user、version
	請求選項	bound_host、bound_name
	響應結果	bound_p、request.host、request.name、request_p

協議日誌通用及附加欄位說明

通用欄位

欄位名	說明	樣本值
ndr_log_type	NDR 協議日誌類型，不同協議該值不同，具體取值範圍，請參見：支援的協議類型。	HTTP
start_time	會話開始時間，使用 Unix 時間戳記格式表示，單位：秒。	1750157428
end_time	會話結束時間，使用 Unix 時間戳記格式表示，單位：秒。	1750157428
src_ip	會話的源 IP。	8.153.XX.XXX
src_port	會話的源連接埠。	33321
dst_ip	會話的目的 IP。	203.119.XXX.XXX
dst_port	會話的目的連接埠。	80
net_connect_dir	會話流量相對於資產的方向。 `in`：入方向，表示來自互連網的其他資源或內網中的其他 ECS 訪問您的資產。 `out`：出方向，表示您的資產主動訪問互連網的其他資源或內網中的其他 ECS。	in
l3_protocol	3 層協議類型。	ipv4、ipv6、other
l4_protocol	4 層協議類型。	tcp、udp、icmp、other
l7_protocol	7 層協議類型。	HTTP
tcp_flags	以十進位形式表示的TCP標誌位資訊，由這條流量所有報文的TCP標誌位經過或運算得到。	26
new_conn	當前流量是否為建立流量。 `0`：當前流量非建立流量。 `1`：當前流量為建立流量。	0
app_id_extend	應用 ID，表示網路的應用的確切身份。	72
app_name_extend	應用程式名稱，與應用 ID 對應。	HTTP_POST
category_id	應用分類別識別碼，用於將應用按照不同情境分類。	5
category_name	應用分類名稱。	WEB
country_id	國家或地區，取值採用 ISO 3166-1 國際標準中的兩位字母代碼。說明：空值表示未識別的國家或地區。 `net_connect_dir` 為 `in` 時，取值為發起流量的國家或地區。 `net_connect_dir` 為 `out` 時，取值為流量目的地所在的國家或地區。	CN
city_id	用於表示城市的唯一識別碼。取值採用中國縣以上六位元字行政區劃代碼，您可以通過中國行政區劃代碼查詢對應的城市代碼。	110000
req_trans_data	儲存原始請求資料，注意：若原始負載過長，可能會按照固定長度進行截斷。	L7PROTODATAL7PROTODATAL7PROTODATAL7PROTODATA
resp_trans_data	儲存原始響應資料，注意：若原始負載過長，可能會按照固定長度進行截斷。	L7PROTODATAL7PROTODATAL7PROTODATA
req_trans_offsets	記錄每個請求資料分段的起始位置（在`req_trans_data`中的位元組位移量）。	0,700,2472,3177,3935
resp_trans_offsets	記錄每個響應資料分段的起始位置（在`esp_trans_data`中的位元組位移量）。	0,329,1003
req_trans_lens	記錄每個請求資料的原始完整長度（截斷前的實際長度）。	700,1772,705,758,374
resp_trans_lens	記錄每個響應資料的原始完整長度（截斷前的實際長度）。	329,674,1002

說明

HTTP、SSL、SSH、RDP、MQTT、Syslog、SIP 類型日誌無 req_trans_data、resp_trans_data、req_trans_offsets、resp_trans_offsets、req_trans_lens、resp_trans_lens 欄位。

ICMP協議

欄位名	說明	樣本值
type	ICMP報文的標準類型代碼。	8
code	ICMP 報文代碼。	0
type_str	ICMP 報文類型的可讀字串描述（英文）。	Echo (ping) reply
id	ICMP報文中的標識符（Identifier），用於匹配請求與應答（如Ping中的會話標識）。通常由發送方產生，接收方需原樣返回。	24367
seq	ICMP報文中的序號（Sequence Number），標識同一會話中不同報文的順序（如連續Ping包的序號）。	256
inner_src_ip	ICMP負載中封裝的內層資料包的源IP（僅在ICMP負載中封裝了內層資料包時有效）。	8.8.X.X
inner_src_port	內層資料包的源連接埠（如原始TCP/UDP包的連接埠），僅在ICMP負載中封裝了內層資料包時有效。	22546
inner_dest_ip	ICMP負載中封裝的內層資料包的目的IP（僅在 ICMP 負載中封裝了內層資料包時有效）。	1.1.X.X
inner_dest_port	內層資料包的目的連接埠（如原始TCP/UDP包的連接埠），僅在 ICMP 負載中封裝了內層資料包時有效。	50988
inner_l4_proto	內層資料包的傳輸層協議類型（如TCP=6、UDP=17），僅在 ICMP 負載中封裝了內層資料包時有效。	17

HTTP協議

欄位名	說明	樣本值
host	要求標頭中的目標主機名稱及連接埠號碼（Host頭部）。	aliyun.com:8080
request_uri	完整的請求 URI，包含路徑和查詢參數（如 `/api/data?id=123`）。用於路由匹配、資源定位及審計完整請求路徑。與 `request_path` 區別：`request_uri` 包含查詢參數，`request_path` 僅路徑部分。	/api?key=value
request_method	HTTP要求方法（如 GET、POST、PUT、DELETE等）。	POST
http_referer	請求來源頁面的完整URL（Referer 頭部）。	https://aliyun.com/workplace
http_user_agent	要求標頭中的用戶端標識。	Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36
querystring	URL中 `?` 後的查詢參數。	key=value
request_path	URI的路徑部分（不含查詢參數）。	/api
http_x_forwarded_for	反向 Proxy鏈中的原始用戶端IP（`X-Forwarded-For`頭部）。格式：逗號分隔的IP列表。	11.11.XX.XX, 22.22.XX.XX
status	HTTP響應狀態代碼（三位元字代碼）。	200
response_set_cookie	伺服器通過`Set-Cookie`頭部設定的會話標識。	user=sincerexia; state1=180; state2=135; Secure
content_type	標識請求體的媒體類型。	application/x-www-form-urlencoded; charset=UTF-8
response_content_type	標識響應體的媒體類型。	text/plain;charset=UTF-8
proxy_connection	Proxy 伺服器串連控制，管理代理程式與用戶端/服務端的長串連複用。	keep-alive
proxy_authorization	Proxy 伺服器認證憑證。	Basic Yxxxxxxxxxxxxxxxxxx==
location	重新導向目標URL。	http://relocation.com
request_header	原始 HTTP 要求頭的完整內容。包含：請求行（方法 + URI + 協議版本）、所有頭部索引值對。	`POST /api?key=value HTTP/1.1 X-Real-IP: 8.8.8.8 X-Forwarded-For: 11.11.XX.XX, 22.22.XX.XX Host: aliyun.com：3080 Connection: close Content-Length: 123`
request_body	原始HTTP請求體資料（POST/PUT/PATCH等方法攜帶）。	&user=sincerexia
response_header	原始HTTP回應標頭的完整內容。	`HTTP/1.1 200 OK Cache-Control: no-cache Expires: Thu, 01 Jan 1970 00:00:00 GMT Last-Modified: Wed, 18 Jun 2025 08:25:56 GMT Content-Type: text/plain;charset=UTF-8 Transfer-Encoding: chunked Date: Wed, 18 Jun 2025 08:25:56 GMT Connection: close`
response_info	原始HTTP響應體內容。	`{ "result"："OK" }`

TLS協議

欄位名	說明	樣本值
version	SSL/TLS 版本。標識加密通訊使用的協議版本。	TLS 1.3
sni	用戶端在握手時發送的目標伺服器網域名稱。	aliyun.com
state	TLS 握手狀態。取值範圍： `IN_PROGRESS`：開始進行 TLS 握手。 `TLS_STATE_CERT_READY`：認證傳輸完成。 `HANDSHAKE_DONE`：完成 TLS 握手。	HANDSHAKE_DONE
cert_subject	認證主體。認證持有人（Subject）資訊，包含網域名稱、組織、地理位置等，採用 X.500 格式。	C=CN, ST=ZheJiang, L=HangZhou, O=Alibaba (China) Technology Co., Ltd., CN=aliyuncs.com
cert_issuer	憑證簽發者。憑證授權單位（CA）資訊。	C=BE, O=GlobalSign nv-sa, CN=GlobalSign GCC R3 OV TLS CA 2024
cert_serial	認證序號。CA 為認證分配的唯一序號。	45:33:16:59:11:9B:XX:XX:XX:XX:XX:XX
cert_fingerprint	認證指紋。認證的雜湊摘要，唯一標識認證內容。	14:2e:56:4b:8f:b1:c2:0f:8c:8b:ce:36:XX:XX:XX:XX:XX:XX:XX:XX
ja3_str_client	用戶端 JA3 字串。基於 TLS 握手特徵產生的用戶端 JA3 指紋字串，標識用戶端行為模式。	771,4866-4867-4865-49196-49200-159-52393-52392-52394-49195-49199-158-49188-49192-107-49187-49191-103-49162-49172-57-49161-49171-51-157-156-61-60-53-47-255,0-11-10-35-22-23-13-43-45-51,29-23-30-25-24,0-1-2
ja3_str_server	服務端 JA3 字串。基於 TLS 握手特徵產生的服務端 JA3 指紋字串，識別服務端行為模式。	771,4866,43-51
ja3_hash_client	用戶端 JA3 Hash。用戶端 JA3 字串的 MD5 雜湊值（32 位十六進位）。	40adfd923eb82b89d8836ba37a19bca1
ja3_hash_server	服務端 JA3 Hash。服務端 JA3 字串的 MD5 雜湊值（32 位十六進位）。	15af977ce25de452b96affa2addb1036
cipher_suite	加密套件。表示 TLS 串連使用的加密套件（Cipher Suite），包含金鑰交換、認證、對稱式加密和訊息認證碼（MAC）演算法的組合。	TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

DNS協議

欄位名	說明	樣本值
type	表示 DNS 訊息類型，分為查詢（Query）或響應（Response）。取值範圍： `query`：該條日誌是 DNS 查詢日誌。 `response`：該條日誌是 DNS 響應日誌。	query
id	事務 ID（Transaction ID），16 位唯一識別碼，用於匹配請求與響應。	40125
rcode	響應碼（Response Code），表示 DNS 請求的處理結果狀態。	NOCODE
query_name	用戶端請求解析的完整網域名稱（FQDN）。	oss-cn-hangzhou.aliyuncs.com
query_type	請求的資源記錄類型（RR Type），決定返回的資料類型。	A
answers	響應中的答案部分（Answer Section），包含直接回答查詢的資源記錄，以 JSON 數組形式表示。	`[ { "name"："oss-cn-hangzhou.aliyuncs.com", "type"："A", "data"："118.31.XX.XX", "ttl"：131 } ]`
additional	響應中的附加資訊部分（Additional Section），提供與查詢相關的額外資料，以 JSON 數組形式表示。	[ ]
authority	響應中的權威部分（Authority Section），提供指向網域名稱的權威 DNS 伺服器資訊（NS 記錄），以 JSON 數組形式表示。	`[ { "name"："", "type"："SOA", "data"："ns1.alidns.com", "ttl"：600 } ]`

資料庫協議

說明

資料庫類型協議（MySQL、PostgreSQL 等）使用相同的日誌欄位，但並非每種協議均支援全部欄位提取，部分資料庫協議暫不支援結果集的提取。

欄位名	說明	樣本值
db_type	標識資料庫引擎類型。取值範圍： `MySQL`：MySQL 資料庫。 `PostgreSQL`：PostgreSQL 資料庫。	MySQL
type	當前日誌類型。取值範圍： `Server Greeting`：服務端握手類型日誌。 `Login Request`：用戶端登入請求類型日誌。 `Server Greeting & Login Request`：同時包含服務端握手和用戶端登入請求類型日誌。 `Request`：普通請求類型日誌。 `Unknown`：其他類型日誌。	Server Greeting & Login Request
user	發起操作的使用者名稱。	root
db	目標資料庫名稱（在串連時指定的預設庫）。	test_db
protocol_version	資料庫協議版本號碼。	10
salt	認證階段服務端產生的隨機鹽值。	x!2k7Gg^9TqL
server_version	資料庫服務端版本字串。	5.7.40-log
server_status	伺服器狀態標誌位。	2
auth_response	用戶端加密後的認證響應。	5f28eeab88bfc739938db314591ff3f9501e8cd5
command_type	SQL 命令類型。	Query
sql	原始 SQL 陳述式文本。	`SELECT * FROM users;`
fail	操作是否失敗。取值範圍： `0`：成功。 `1`：失敗。 `-1`：未知。	0
result	操作結果摘要。	SUCCESS
error_code	資料庫特定錯誤碼。	0
error_message	人類可讀的錯誤描述。	You have an error in your SQL syntax
return_rows	查詢返回的結果行數。	1
return_rows_data	結果集的具體內容（CSV 格式）。	admin,123456
affect_rows	DML 操作影響的行數。	3
last_insert_id	自增主鍵的最近插入值。	42

FTP協議

欄位名	說明	樣本值
user	記錄通過 FTP 協議進行身分識別驗證的使用者名稱。該欄位標識發起會話的用戶端實體。	user
password	用戶端在身分識別驗證階段提交的純文字密碼。	password
cwd	用戶端當前的工作目錄路徑。記錄使用者執行命令時所處的檔案系統位置，該欄位隨 `CWD`（Change Working Directory）命令動態更新。	/test
request_command	用戶端發送的FTP協議命令（RFC 959 定義）。代表用戶端請求的操作類型，例如： `USER`/`PASS`：認證。 `LIST`/`NLST`：目錄列表。 `RETR`：下載檔案。 `STOR`：上傳檔案。 `DELE`：刪除檔案。 `PORT`/`PASV`：資料連線模式。	USER
request_arg	用戶端發送的 FTP 命令所附帶的參數。與 `request_command` 結合形成完整操作語義。	username
response_code	伺服器對請求的三位元狀態代碼（RFC 959 標準）。首位元字標識響應類別： `1xx`：預備響應（如 `150 File status okay`）。 `2xx`：成功（如 `226 Transfer complete`）。 `3xx`：需進一步操作（如 `331 Password required`）。 `4xx`：臨時錯誤（如 `425 Can't open data connection`）。 `5xx`：永久錯誤（如 `530 Not logged in`）。	331
response_arg	伺服器響應狀態代碼後的附加資訊文本，提供可讀的解釋或詳情。	Anonymous access granted, restrictions apply

WebSocket協議

欄位名	說明	樣本值
opcode	位於 WebSocket 幀頭部（第4-7位），4 位元的不帶正負號的整數，標識幀的類型和資料處理邏輯。	1
masking_key	4 位元組（32 位）的隨機數，用於負載資料的逐位元組掩碼計算。通常存在於用戶端→服務端的幀中，該欄位值為掩碼密鑰的十六進位表示。	pb37e1b69
payload_len	負載資料（payload）的位元組長度。	15
payload	幀中攜帶的實際應用程式層資料。若存在 `masking_key`，該欄位為逆向解掩碼後的真實資料。	`{ "request"：true }`

SSH協議

欄位名	說明	樣本值
client	發起SSH串連的用戶端軟體名稱和版本號碼，用於識別用戶端類型（如OpenSSH）。這有助於分析相容性、安全性漏洞和用戶端行為，支援安全性原則管理。	OpenSSH_8.4p1
server	接收SSH已連線的服務端軟體名稱和版本號碼（如OpenSSH服務端），用於伺服器識別、漏洞管理和安全補丁跟蹤。	OpenSSH_8.4p1 Ubuntu-4ubuntu0.3
version	SSH協議的版本號碼（1、2 或未設定），在串連開始時協商。	2
cipher_alg	SSH會話中使用的對稱式加密演算法，用於加密資料傳輸，確保資料機密性。常見演算法如AES-CTR或ChaCha20，選擇強演算法（如AES-256）可抵禦竊聽攻擊。	AES-128-GCM
compression_alg	SSH中用於資料壓縮的演算法，以減少網路頻寬使用。值可為none（無壓縮）或具體演算法（如zlib），啟用壓縮可能影響效能，需權衡效率與安全。	none
host_key	SSH伺服器公開金鑰的指紋，用於驗證伺服器身份，防止中間人攻擊。指紋是公開金鑰的摘要，使用者可對比以確認串連到的合法伺服器。	cc:aa:aa:b7:********:cc:50:11:2d:71:f0:ee
host_key_alg	SSH伺服器主機密鑰使用的公開金鑰演算法類型，如RSA或ECDSA。演算法強度直接影響身分識別驗證安全，強演算法（如RSA-SHA2）可抵禦偽造攻擊。	ECDSA-SHA2-NISTP256
kex_alg	SSH串連初始化階段使用的金鑰交換演算法，用於協商工作階段金鑰並提供前向保密。常見演算法如Curve25519或Diffie-Hellman，安全實現可防止密鑰泄露。	Curve25519-SHA256
mac_alg	SSH中用於訊息認證碼（MAC）的演算法，確保資料完整性和真實性，防止篡改。常見如HMAC-SHA2系列，強MAC演算法是資料轉送安全的基礎。	HMAC-SHA2-256-ETM
auth_attempts	在SSH認證過程中嘗試認證的次數，包括使用者名稱、密碼、公開金鑰等認證方法的嘗試。值大於1可能表示多次失敗嘗試，或伺服器需使用了雙重要素驗證，用於監控暴力破解攻擊和審計安全事件。	3
auth_success	表示SSH認證的最終結果，值為布爾類型（true或false）。成功或失敗資訊用於檢測未授權訪問、審計日誌和安全警示，是防止賬戶劫持的關鍵計量。	false

RDP協議

欄位名	說明	樣本值
cert_count	在RDP會話中使用的數位憑證數量，用於伺服器身分識別驗證和安全通訊，以增強串連可信度。	2
cert_type	認證的簽發類型，如自我簽署憑證或由憑證授權單位（CA）簽發的認證，影響身分識別驗證的安全層級。	RSA
encryption_level	RDP串連的加密強度層級，決定資料轉送的機密性和完整性保護水平。	Client compatible
encryption_method	RDP串連的加密方法。	56bit
result	RDP串連嘗試的最終狀態，反映會話建立或終止的原因。	Success
client_build	RDP用戶端的軟體構建版本號碼，標識用戶端應用程式的特定發布版本。	RDP 5.1
client_channels	RDP用戶端支援的通道列表，用於資料轉送功能，如剪貼簿共用或印表機重新導向。	rdpdr, cliprdr, rdpsnd
client_dig_product_id	用戶端產品的唯一數位識別碼符，用於識別和追蹤軟體產品來源。	76487-OEM-******-00107
client_name	發起RDP串連的用戶端電腦名稱或主機標識符，用於會話來源識別。	UserPC
cookie	在RDP串連中用於會話管理或狀態保持的Cookie值，提供安全上下文和連續性。	session_token

MQTT協議

欄位名	說明	樣本值
ack	表示訂閱訊息是否被伺服器確認。在MQTT協議中，當訂閱請求被接受時，伺服器會發送確認標誌。	true
action	指示訂閱操作的類型，如SUBSCRIBE（訂閱）或UNSUBSCRIBE（取消訂閱）。	SUBSCRIBE
topics	客訂閱的主題列表，用於指定訊息接收的範圍。	sensor/temperature
client_id	用戶端的唯一識別碼，用於會話管理和身分識別驗證。	client123
connect_status	表示用戶端與伺服器的串連狀態。	Connection Accepted
proto_name	使用的協議名稱，通常為MQTT（Message Queuing Telemetry Transport）。	MQTT
proto_version	MQTT協議的版本號碼，如3.1.1或5.0，用於相容性管理。	3.1.1
will_payload	遺囑訊息的內容，當用戶端意外中斷連線時自動發布。	offline
will_topic	遺囑訊息發布的主題，用於指定訊息的目標路徑。	status/offline
from_client	指示訊息是否由用戶端發起發布，而非伺服器。	TRUE
payload	訊息的實際內容，可以是任意資料格式，如文本或二進位。	Hello World
payload_len	訊息內容（payload）的位元組長度，用於監控資料大小。	11
qos	服務品質等級（Quality of Service）。	at most once
retain	指示訊息是否保留在伺服器上，以便新訂閱者立即接收。	false
status	訊息發布的狀態。	ok
topic	訊息發布的主題路徑，用於路由和過濾訊息。	sensor/data

Syslog協議

欄位名	說明	樣本值
facility	表示日誌訊息的來源類型，如核心、使用者程式或郵件系統。在Syslog協議中，facility用於分類日誌的產生組件，有助於日誌過濾和分析。	USER
message	日誌訊息的實際內容，包含事件、錯誤或操作的詳細資料。在Syslog協議中，message欄位儲存核心日誌資料，用於診斷和監控系統行為。	System rebooted unexpectedly
severity	表示日誌訊息的嚴重性層級，範圍從emergency（最高緊急）到debug（調試）。層級包括emergency、alert、critical、error、warning、notice、info和debug，用於優先處理重要事件。	INFO

SIP協議

欄位名	說明	樣本值
call_id	在SIP協議中，唯一標識通話會話的Call-ID頭欄位值，用於關聯同一會話的所有請求和響應訊息。	101365e0-7e65-**-**-00163e10aabd
method	SIP請求的方法類型，如INVITE（建立會話）、ACK（確認）、BYE（終止會話）或CANCEL（取消請求），用於定義操作類型。	INVITE
seq	SIP訊息中的CSeq欄位，表示命令序號和方法，用於匹配請求與響應，確保訊息順序和完整性。	12345 INVITE
uri	SIP請求行中的統一資源識別項，指定請求的目標地址資源。	sip:bob@example.com
content_type	響應訊息體的媒體類型，如application/sdp（會話描述協議），用於描述訊息內容的格式。	application/sdp
response_body_len	響應訊息體的長度（位元組數），表示資料大小，用於診斷網路傳輸問題。	256
response_from	響應訊息的來源地址，通常對應SIP From頭欄位，標識訊息發起方。	"66666" <sip:66666@example.com>
response_to	響應訊息的目標地址，通常對應SIP To頭欄位，標識訊息接收方，可能包含標籤參數。	<sip:777777@example.com>;tag=aaaaaaaaaa
status_code	SIP響應狀態代碼，表示請求處理結果，如200（成功）、404（未找到）或500（伺服器錯誤）。	180
status_msg	與狀態代碼關聯的文本描述，如OK或Not Found，提供狀態代碼的可讀解釋。	Ringing
warning	包含警告文本，用於指示潛在問題或非嚴重錯誤，如會話逾時或相容性問題。	399 example.com Session expired
reply_to	指定回複訊息的地址，用於重新導向響應，通常對應SIP Reply-To頭欄位。	sip:carol@example.com
request_body_len	請求訊息體的長度（位元組數），表示資料大小，用於監控頻寬使用和傳輸效率。	128
request_from	請求訊息的來源地址，通常對應SIP From頭欄位，標識訊息發起方。	"66666" <sip:66666@example.com>
request_to	請求訊息的目標地址，通常對應SIP To頭欄位，標識訊息接收方。	<sip:777777@example.com>;tag=aaaaaaaaaa
user_agent	標識發送請求的用戶端軟體或裝置，用於使用者代理程式識別和相容性檢查。	Zoiper/2.0

Kerberos協議

欄位名	說明	樣本值
request_type	標識 Kerberos 訊息的類型。認證服務（"AS"）或票據授予服務（"TGS"）	AS
client	發起 Kerberos 請求的使用者或服務的主體名稱 (Principal Name)。通常格式為 username@REALM 或 service/hostname@REALM。這是身份認證的核心標識，用於確定請求的來源身份。	user2/EXAMPLE.COM
service	用戶端請求訪問的目標服務的主體名稱 (Principal Name)。通常格式為 service/hostname@REALM。對於 TGS-REQ 訊息，這是用戶端請求服務票據 (Service Ticket) 的目標服務；對於 AP-REQ 訊息，這是用戶端嘗試向之出示服務票據進行認證的服務。	krbtgt/EXAMPLE.COM
forwardable	表示在票據授予票據 (TGT) 中設定的 FORWARDABLE 標誌位狀態。（true/false)	true
renewable	表示在票據中設定的 RENEWABLE 標誌位狀態。	true
success	表示 Kerberos 請求的處理結果是否成功。	true
error_code	當 Kerberos 請求失敗時，此欄位包含協議定義的錯誤碼。	24
error_msg	當 Kerberos 請求失敗時，此欄位包含與 error_code 對應的人類可讀的錯誤描述資訊。	PREAUTH_FAILED
from	票據生效的開始時間。表示從何時起該票據可以被使用。	0
till	票據失效的截止時間。表示票據有效期間結束的時刻，之後該票據將不再有效。	1763692488
cipher	表示在 Kerberos 票據或協議訊息中用於加密資料的密碼編譯演算法類型。這通常是一個枚舉值或字串標識符，如 aes256-cts-hmac-sha1-96，arcfour-hmac-md5，des3-cbc-sha1-kd 等。反映了票據或工作階段金鑰的安全強度和使用的加密機制。	aes256-cts-hmac-sha1-96

Socks 協議

欄位名	說明	樣本值
version	指示使用的SOCKS協議版本（如SOCKS4: 4/SOCKS5: 5）	5
user	用戶端用於Proxy 驗證的使用者名稱（可能為空白）	admin
status	Proxy 伺服器響應狀態	success
bound_host	Proxy 伺服器綁定 ip	true
bound_name	Proxy 伺服器綁定主機名稱	localhost
bound_p	Proxy 伺服器綁定連接埠	1080
request.host	用戶端通過代理請求訪問的目標伺服器IP	0.0.0.0
request.name	用戶端通過代理請求訪問的目標伺服器網域名稱	alibaba.com
request_p	用戶端通過代理請求訪問的目標伺服器連接埠	80