全部产品
Search

搜索本产品

    云防火墙：日志字段说明

    文档中心

    云防火墙：日志字段说明

    更新时间：Sep 18, 2026

    日志分析功能开启后，云防火墙自动实时采集并存储流量与事件日志。您可通过指定字段快速检索日志，以支持日志分析与故障排查。本文介绍云防火墙支持的日志类型及字段含义。

    说明

    本文展示的日志字段数量较多，请通过Ctrl + F搜索，提升查找效率。

    日志类型

    云防火墙支持采集如下类型的日志，通过log_type字段进行区分：

    log_type

    日志类型

    __topic__

    internet_log

    互联网边界防火墙IPv4资产流量日志

    cloudfirewall_access_log

    vpc_firewall_log

    VPC边界防火墙流量日志

    cloudfirewall_access_log

    nat_firewall_log

    NAT边界防火墙流量日志

    cloudfirewall_access_log

    ipv6_firewall_log

    互联网边界防火墙IPv6资产流量日志

    cloudfirewall_access_log

    dns_firewall_log

    DNS边界防火墙流量日志

    cloudfirewall_access_log

    internet_ips_log

    互联网边界防火墙IPS入侵防御日志

    cloudfirewall_ips_log

    vpc_ips_log

    VPC边界防火墙IPS入侵防御日志

    cloudfirewall_vpc_ips_log

    tls

    互联网边界防火墙TLS检查日志

    event_log

    appid_ctrl

    互联网边界防火墙应用程序控制日志

    event_log

    web_filter

    互联网边界防火墙Web过滤日志

    event_log

    • 各类型日志共有的字段：

      log_type、src_ip、dst_ip、src_port、dst_port、aliuid、__topic__、__time__

    • 各类型日志支持的具体字段：请单击以下折叠面板进行查看。

    internet_log

    log_type、src_ip、dst_ip、src_port、dst_port、ip_protocol、new_conn、direction、domain、acl_rule_id、rule_result、rule_source、in_packet_bytes、in_packet_count、out_packet_bytes、out_packet_count、total_packet_bytes、total_packet_count、start_time、end_time、aliuid、region_id、tcp_seq、start_time_min、url、app_name、app_dpi_state、loose_allow_acl_id、ips_rule_id、vul_level、total_pps、total_bps、in_pps、in_bps、out_pps、out_bps、city_id、country_id、member_uid、l4_protocol、l7_protocol、net_connect_dir、traffic_type

    SLS 系统字段：__topic__、__time__

    vpc_firewall_log

    log_type、src_ip、dst_ip、src_port、dst_port、ip_protocol、new_conn、domain、acl_rule_id、rule_result、rule_source、in_packet_bytes、in_packet_count、out_packet_bytes、out_packet_count、total_packet_bytes、total_packet_count、start_time、end_time、firewall_id、tcp_seq、start_time_min、app_name、app_dpi_state、loose_allow_acl_id、ips_rule_id、vul_level、total_pps、total_bps、in_pps、in_bps、out_pps、out_bps、aliuid、src_region、dst_region、src_network_instance_id、dst_network_instance_id

    SLS 系统字段：__topic__、__time__

    nat_firewall_log

    log_type、src_ip、dst_ip、src_port、dst_port、ip_protocol、new_conn、direction、domain、acl_rule_id、rule_result、rule_source、in_packet_bytes、in_packet_count、out_packet_bytes、out_packet_count、total_packet_bytes、total_packet_count、start_time、end_time、aliuid、src_vpc_id、tcp_seq、start_time_min、app_name、app_dpi_state、loose_allow_acl_id、total_pps、total_bps、in_pps、in_bps、out_pps、out_bps、src_region、cloud_instance_id

    SLS 系统字段：__topic__、__time__

    ipv6_firewall_log

    log_type、src_ip、dst_ip、src_port、dst_port、ip_protocol、direction、domain、acl_rule_id、rule_result、in_packet_bytes、in_packet_count、out_packet_bytes、out_packet_count、total_packet_bytes、total_packet_count、start_time、end_time、aliuid、region_id、tcp_seq、start_time_min、url、app_name、ips_rule_id、vul_level、total_pps、total_bps、in_pps、in_bps、out_pps、out_bps、city_id、country_id、l4_protocol、l7_protocol、net_connect_dir、traffic_type

    SLS 系统字段：__topic__、__time__

    dns_firewall_log

    log_type、src_ip、dst_ip、src_port、dst_port、ip_protocol、direction、domain、acl_rule_id、rule_result、in_packet_bytes、in_packet_count、out_packet_bytes、out_packet_count、total_packet_bytes、total_packet_count、start_time、end_time、aliuid、region_id、src_vpc_id、src_region

    SLS 系统字段：__topic__、__time__

    internet_ips_log

    src_ip、dst_ip、src_port、dst_port、rule_id、rule_source、aliuid、attack_type、direction、proto、time、action_user、uuid、vul_level、payload、region_id、city_id、country_id、isp_id、firewall_id、user_ips_mode、payload_text、ips_rule_name、attack_type_name、log_type

    SLS 系统字段：__tag__:__receive_time__、__topic__、__time__

    vpc_ips_log

    src_ip、dst_ip、src_port、dst_port、rule_id、rule_source、member_uid、attack_type、direction、proto、time、action_user、uuid、vul_level、payload、region_id、firewall_id、src_vpc_id、dst_vpc_id、payload_text、user_ips_mode、ips_rule_name、attack_type_name、aliuid、log_type

    SLS 系统字段：__tag__:__receive_time__、__topic__、__time__

    tls

    log_type、time、src_ip、src_port、dst_ip、dst_port、ip_protocol、region_id、aliuid、member_uid、session_id、ssl_handshake_res、ssl_error_index、ssl_error_msg、sni、ssl_protocol、ssl_cipher

    SLS 系统字段：__topic__、__tag__:__receive_time__、__time__

    appid_ctrl

    log_type、time、src_ip、src_port、dst_ip、dst_port、ip_protocol、region_id、aliuid、member_uid、direction、session_id、rule_id、action、appid_ctrl_appid

    SLS 系统字段：__topic__、__tag__:__receive_time__、__time__

    web_filter

    log_type、time、src_ip、src_port、dst_ip、dst_port、ip_protocol、region_id、aliuid、member_uid、direction、session_id、rule_id、action、url、http_method、category

    SLS 系统字段：__topic__、__tag__:__receive_time__、__time__

    日志字段说明

    字段名称

    字段说明

    示例值

    __time__

    在Logstore写入日志数据时的日志时间。

    1703483369

    __topic__

    日志的主题。取值固定为cloudfirewall_access_log，表示云防火墙的流量日志。

    cloudfirewall_access_log

    __tag__:__receive_time__

    SLS 系统标签，表示SLS 服务端接收日志的时间。

    1785833241

    acl_rule_id

    流量命中的访问控制策略ID。

    取值为00000000-0000-0000-0000-000000000000时，表示未命中任何访问控制策略。

    073a1475-6e11-43e2-8b28-98cee9c6****

    action

    规则执行动作。

    deny

    action_user

    用户实际命中的规则动作。

    • 0（pass）：未启用该规则

    • 1（alert）：告警

    • 2（drop）：拦截

    1

    aliuid

    阿里云账号ID。

    1233333333****

    app_dpi_state

    应用识别状态。取值：

    • success：识别成功

    • policy_discard：已被策略拦截

    • tcp_not_establish：TCP建立失败

    • analysing：分析中

    • no_payload：尚未收到载荷

    • unknown_loose：宽松模式下未识别出结果

    • unknown_strict：严格模式下识别失败

    • none：无状态

    success

    app_name

    流量的应用类型。取值：HTTPS、NTP、SIP、SMB、NFS、DNS、Unknown（协议为未知类型）等。

    HTTPS

    appid_ctrl_appid

    应用程序ID。

    10010470000

    attack_type

    攻击类型。

    • 1：异常连接

    • 2：命令执行

    • 3：暴力破解

    • 4：扫描

    • 5：其他

    • 6：信息泄露

    • 7：DoS 攻击

    • 8：溢出攻击

    • 9：web 攻击

    • 10：木马后门

    • 11：病毒蠕虫

    • 12：挖矿行为

    • 13：反弹shell

    11

    attack_type_name

    流量包含的攻击类型的中文名称。

    挖矿行为

    attack_type_name_en

    流量包含的攻击类型的英文名称。

    Mining Behavior

    category

    Web过滤的 URL 分类。

    country_id

    国家或地区，取值采用 ISO 3166-1 国际标准中的两位字母代码。

    说明

    字母代码 YY 表示未识别的国家或地域。

    • direction为in时，取值为发起流量的国家或地区。

    • direction为out时，取值为流量目的地所在的国家或地区。

    CN

    city_id

    用于表示城市的唯一标识符。取值采用中国县以上六位数字行政区划代码，您可以通过中国行政区划代码查询对应的城市代码，例如北京市：110000。

    110000

    cloud_instance_id

    防护的资产实例ID。

    ngw-bp1d5bx2orlw1p2wn****

    dst_vpc_id

    流量目的 VPC 的实例 ID。

    vpc-xxxxxxxxxxxxxxxxxxxx1

    direction

    流量的方向。取值：

    • in：入方向，表示来自互联网的其他资源或内网中的其他ECS访问您的资产。

    • out：出方向，表示您的资产主动访问互联网的其他资源或内网中的其他ECS。

    说明

    VPC边界防火墙无出入方向概念，direction字段默认取值out。

    in

    domain

    流量的目的域名。

    说明

    • 仅当流量携带域名信息时，才会显示该字段的值。

    • 当 app_name 是DNS时，domain 表示 DNS 请求解析的域名。

    www.aliyundoc.com

    dst_ip

    流量的目的IP。

    39.108.XX.XX

    dst_network_instance_id

    流量目的网络实例。

    vpc-bp18ina819injc9zs****

    dst_port

    流量的目的端口。

    443

    dst_region

    流量目的地域。

    cn-beijing

    end_time

    会话结束时间。使用Unix时间戳格式表示，单位：秒。

    1702367350

    firewall_id

    VPC防火墙实例ID。

    cen-m9y9u2hgc0t9im****

    http_method

    HTTP 请求方法。

    GET

    in_bps

    入方向流量速率。单位：bit/s。

    42

    in_packet_bytes

    入方向流量大小。单位：Byte。

    58

    in_packet_count

    入方向流量包的数量。

    1

    in_pps

    入方向流量包平均每秒传输速率。单位：个/秒。

    说明

    传输速率小于1个/秒时，该字段显示0，不会显示小数位。

    1

    ip_protocol

    IP协议类型。取值：

    • tcp

    • udp

    • icmp

    tcp

    ips_ai_rule_id

    流量命中的智能推荐访问控制策略的ID。

    取值为00000000-0000-0000-0000-000000000000，表示未匹配或未命中任何智能推荐访问控制策略。

    00000000-0000-0000-0000-000000000000

    ips_rule_id

    流量命中的入侵防御规则的ID。

    取值为00000000-0000-0000-0000-000000000000，表示未匹配或未命中入侵防御规则。

    00000000-0000-0000-0000-000000000000

    ips_rule_name

    流量命中的入侵防御规则的中文名称。

    主机存在挖矿行为

    ips_rule_name_en

    流量命中的入侵防御规则的英文名称。

    Mining behavior on the host

    isp_id

    运营商（ISP）标识

    50003280

    l4_protocol

    四层协议（tcp/udp）

    tcp

    l7_protocol

    七层应用协议（HTTP/Unknown 等）

    HTTP

    log_type

    日志类型。取值：

    • internet_log：互联网边界防火墙流量日志

    • vpc_firewall_log：VPC边界防火墙流量日志

    • nat_firewall_log：NAT边界防火墙流量日志

    • dns_firewall_log：DNS防火墙日志

    • ipv6_firewall_log：IPv6资产流量防护日志

    • internet_ips_log：互联网边界防火墙IPS命中日志

    • vpc_ips_log：VPC 边界防火墙IPS命中日志

    • appid_ctrl：互联网边界防火墙应用程序控制日志

    • web_filter：互联网边界防火墙Web过滤日志

    • tls：互联网边界防火墙TLS检查日志

    internet_log

    loose_allow_acl_id

    预匹配访问控制策略ID。取值：

    • 00000000-0000-0000-0000-000000000000：表示不存在未识别放行的流量。

    • 其他：表示存在未识别放行状态的流量，当前取值为未识别放行策略的ID。

    00000000-0000-0000-0000-000000000000

    member_uid

    多账号统一管理场景下，日志归属的成员账号 UID。

    1234567890654321

    net_connect_dir

    网络连接方向（in/out）。

    in

    new_conn

    是否新建连接。取值：

    • 1：是

    • 0：否

    1

    out_bps

    出方向流量速率。单位：bit/s。

    0

    out_packet_bytes

    出方向流量大小。单位：Byte。

    0

    out_packet_count

    出方向流量包的数量。

    0

    out_pps

    出方向流量包平均每秒传输速率。单位：个/秒。

    说明

    传输速率小于1个/秒时，该字段显示0，不会显示小数位。

    0

    payload

    IPS防护命中时的有效负荷（十六进制格式）。仅当 log_type 为 internet_ips_log 或 vpc_ips_log 时，该字段有值。

    302602010104067075626c6963a1190204dc63c29a0201000xxxxx

    payload_text

    报文载荷的明文内容（payload 十六进制的 ASCII 解码）

    payload 的 ASCII 明文形式

    proto

    IP 协议号，取值：

    • 6：TCP

    • 17：UDP

    • 1：ICMP

    6

    region_id

    地域ID。不同地域ID的含义，请参见支持防护的云产品地域。

    • direction为in时，取值为流量目的地所在的资产地域ID。

    • direction为out时，取值为发起流量的资产地域ID。

    cn-beijing

    rule_id

    命中的规则 ID。

    IPS 日志为数字规则 ID（对应控制台入侵防御规则）；应用程序控制/Web过滤日志为规则实例 ID（ati-/wft- 前缀）。

    IPS日志：20000080；appid_ctrl：ati-xxxx；web_filter：wft-xxxx

    rule_result

    流量命中访问控制策略后的执行动作。取值：

    • pass：放行。

    • alert：观察。

    • drop：拒绝。

    流量命中入侵防御事件的执行动作。取值：

    • alert：告警提示。

    • drop：拦截。

    alert

    rule_source

    流量命中的策略来源。取值：

    • basic_acl：访问控制

    • dns_acl_rule：DNS防火墙访问控制策略

    • intelligence：威胁情报

    • ips_basic_rule：基础防御

    • virtual_patch：虚拟补丁

    • unknown：未知

    basic_acl

    session_id

    会话ID。

    16000208880536122104

    ssl_protocol

    TLS协议版本。

    • TLSv1

    • TLSv1.1

    • TLSv1.2

    • TLSv1.3

    TLSv1.3

    ssl_cipher

    加密套件类型。

    TLS_AES_128_GCM_SHA256

    ssl_handshake_res

    TLS卸载是否成功。

    • success：成功

    • failed：失败

    success

    ssl_error_index

    错误类别。

    • 空值：无错误

    • Certificate：证书错误（缺失/校验异常）

    • Protocol：协议版本不支持

    • Syscall：底层系统调用失败

    • Error：通用ssl错误

    Certificate

    ssl_error_msg

    错误详情。

    certificate verify failed

    sni

    SNI（服务器名称指示）。

    example.com

    src_ip

    流量的源IP。

    167.94.XX.XX

    src_network_instance_id

    流量源网络实例。

    vpc-bp18ina819injc9zs****

    src_port

    流量的源端口，即发出流量数据的主机端口。

    47915

    src_region

    流量源地域。

    cn-beijing

    src_vpc_id

    流量源VPC的ID。

    vpc-bp18ina819injc9zs****

    start_time

    会话开始时间。使用Unix时间戳格式表示，单位：秒。

    1701759171

    start_time_min

    会话开始时间，分钟级别。使用Unix时间戳格式表示，单位：秒。

    1701759120

    tcp_seq

    TCP序列号。

    388367****

    time

    事件发生时间，Unix 时间戳，单位为秒。

    1785833221

    total_bps

    出入方向的总传输速率。单位：bit/s。

    42

    total_packet_bytes

    出入方向的总流量大小。单位：byte。

    58

    total_packet_count

    出入方向的总流量包数量。

    1

    total_pps

    出入方向总流量包的平均每秒传输速率。单位：个/秒。

    说明

    传输速率小于1个/秒时，该字段显示0，不会显示小数位。

    0

    traffic_type

    日志的数据来源，云防火墙固定为2，表示流采集，而非逐包抓取。

    2

    url

    服务器访问的互联网网站URL地址。

    说明

    仅当app_name取值为HTTP时，才会显示该字段的值。

    http://aliyundoc.com/index.html

    user_ips_mode

    IPS防护模式。

    • 0：未开启

    • 1：拦截-宽松

    • 2：拦截-中等

    • 3：拦截-严格

    1

    uuid

    IPS 事件唯一标识，可与流量日志 ips_rule_id 关联定位会话。

    a1b2c3d4-0000-0000-0000-000000000002

    vul_level

    恶意流量命中的漏洞风险等级。取值：

    • 0：未检测到漏洞利用流量。

    • 1：低危漏洞利用流量。

    • 2：中危漏洞利用流量。

    • 3：高危漏洞利用流量。

    1

    ndr_log_type

    NDR协议日志类型，协议日志的标识。

    HTTP

    net_type

    NDR流量检测位置。取值：

    • 0：公网。

    • 1：私网。

    0

    request_uri

    • 完整的请求 URI，包含路径和查询参数（如 /api/data?id=123）。用于路由匹配、资源定位及审计完整请求路径。

    • 与 request_path 区别：request_uri 包含查询参数，request_path 仅路径部分。

    /api?key=value

    request_path

    URI的路径部分（不含查询参数）。

    /api

    host

    请求头中的目标主机名及端口号（Host头部）。

    aliyun.com:8080

    request_method

    HTTP请求方法（如 GET、POST、PUT、DELETE等）。

    POST

    http_user_agent

    请求头中的客户端标识。

    Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36

    status

    HTTP响应状态码（三位数字代码）。

    200