云安全中心：日志类别及字段说明

字段名

说明

示例

content_length

返回的消息实体的长度。单位为：Byte。

612

dst_ip

目标主机的IP地址。

39.105.XX.XX

dst_port

目标主机的端口。

80

host

访问的主机。

39.105.XX.XX

jump_location

重定向地址。

123

method

HTTP请求方式。

GET

referer

客户端向服务器发送请求时的HTTP referer，告知服务器访问来源的HTTP连接。

www.example.com

request_datetime

请求时间。

2023-08-07 22:42:41

ret_code

服务器对请求的响应状态码。

200

rqs_content_type

请求内容类型。

text/plain;charset=utf-8

rsp_content_type

响应内容类型。

text/plain; charset=utf-8

src_ip

访问源的IP地址。

31.220.XX.XX

src_port

访问源的端口。

59524

uri

请求URI。

/report

user_agent

向客户端发起的请求。

okhttp/3.2.0

x_forward_for

HTTP请求头字段，记录客户端的真实IP地址。

31.220.XX.XX

字段名

说明

示例

additional

DNS服务器返回的附加资源记录的信息，例如CNAME记录、MX记录、PTR记录等。

无

additional_num

DNS服务器返回的附加资源记录的数量。

0

answer

DNS服务器返回的回答信息，指示查询主机的具体解析结果。回答信息包含了请求域名对应的IP地址或其他相关信息，例如A记录、AAAA记录等。

example.com A IN 52 1.2.XX.XX

answer_num

DNS服务器返回的回答信息的数量。

1

authority

DNS服务器返回的权威记录信息，指示负责管理和提供该域名解析的DNS服务器。权威记录包含了对请求域名进行授权的DNS服务器的信息，例如NS记录。

NS IN 17597

authority_num

DNS服务器返回的权威记录的数量。

1

client_subnet

DNS客户端的子网掩码信息。

59.152.XX.XX

dst_ip

目的IP。

106.55.XX.XX

dst_port

目的端口。

53

in_out

DNS请求的数据传输方向，取值：

• in：进入DNS服务器的请求

• out：DNS服务器发出的响应

out

qid

查询ID。

13551

qname

DNS解析请求的查询域名。

example.com

qtype

DNS解析请求的查询类型。

A

query_datetime

DNS解析请求的时间。

2023-08-25 09:59:15

rcode

DNS服务器返回的响应代码，指示DNS解析结果。

0

region

来源地域ID。取值：

• 1：北京

• 2：青岛

• 3：杭州

• 4：上海

• 5：深圳

• 6：其他

1

response_datetime

DNS服务器返回响应的时间。

2023-08-25 09:59:16

src_ip

源IP地址。

106.11.XX.XX

src_port

源端口。

22

字段名

说明

示例

answer_rda

DNS回答的RDA（Resource Data Area）字段，表示解析结果的具体值。

106.11.XX.XX

answer_ttl

DNS回答的TTL（Time to Live）字段，表示解析结果的生存时间，单位为秒。

600

answer_type

DNS响应的记录类型，以下是常见的DNS响应类型取值：

• 1：A记录

• 2：NS记录

• 5：CNAME记录

• 6：SOA记录

• 10：NULL记录

• 12：PTR记录

• 15：MX记录

• 16：TXT记录

• 25：KEY记录

• 28：AAAA记录

• 33：SRV记录

• 41：OPT记录

• 43：DS记录

• 44：SSHFP记录

• 45：IPSECKEY记录

• 46：RRSIG记录

• 47：NSEC记录

1

anwser_name

DNS回答的记录名称，表示与资源记录关联的域名。

example.com

dest_ip

目的IP地址，表示请求发往的IP地址，默认为十进制IP地址格式。

323223****

dest_port

目的端口，表示请求发往的端口号。

53

group_id

分组ID。相同的分组ID表示相同的DNS请求或响应。

3

hostname

主机名。

hostname

id

查询ID，用于唯一标识DNS请求或响应。

64588

instance_id

实例ID。

i-2zeg4zldn8zypsfg****

internet_ip

DNS请求或响应的公网IP地址。

121.40.XX.XX

ip_ttl

DNS请求或响应中IP数据包的TTL值。

64

query_name

查询的域名。

example.com

query_type

DNS解析请求的查询类型。取值：

• 1：A记录

• 2：NS记录

• 5：CNAME记录

• 6：SOA记录

• 10：NULL记录

• 12：PTR记录

• 15：MX记录

• 16：TXT记录

• 25：KEY记录

• 28：AAAA记录

• 33：SRV记录

1

src_ip

发起DNS请求或响应的IP地址，默认为十进制IP地址格式。

168427****

src_port

发起DNS请求或响应的端口号。

53

time

DNS请求或响应的时间戳，单位为秒。

1537840756

time_usecond

DNS请求或响应的时间戳，单位为微秒。

49069

tunnel_id

DNS请求或响应所使用的隧道ID，用于唯一标识一个网络隧道。网络隧道是一种通过不同的网络协议来传输数据的方式，可以用于安全访问互联网或跨越不同网络的通信。

514763

字段名

说明

示例

asset_type

产生日志的资产。取值：

• ECS：云服务器ECS

• SLB：负载均衡SLB

• RDS：云数据库RDS

ECS

dst_ip

目标IP地址。

119.96.XX.XX

dst_port

目标端口。

443

in_out

网络会话的数据传输方向。

• in：阿里云内部到阿里云外部的访问。

• out：阿里云外部到阿里云内部的访问。

out

proto

协议类型。取值：

• tcp

• udp

tcp

session_time

网络会话的开始时间。

2023-08-15 09:59:49

src_ip

源IP地址。

121.40.XX.XX

src_port

源端口。

53602

字段名

说明

示例

instance_id

实例ID。

i-bp1663b0q3mgj2rk****

ip

服务器的IP地址。

192.168.XX.XX

sas_group_name

服务器在云安全中心的资产分组。

default

uuid

服务器的UUID。

5d83b26b-b7ca-4a0a-9267-12****

warn_ip

登录服务器的IP地址。

221.11.XX.XX

warn_port

登录服务器的端口。

22

warn_type

登录类型。取值：

• SSHLOGIN、SSH：SSH登录

• RDPLOGIN：远程桌面登录

• IPCLOGIN：IPC连接登录

SSH

warn_user

登录用户名。

admin

warn_count

登录次数。

1分钟内重复登录会被合并为1条日志，例如warn_count值为3，表示在最近1分钟内重复登录了3次。

3

字段名

说明

示例

cmd_chain

进程链。

[

{

"9883":"bash -c kill -0 -- -'6274'"

}

......

]

cmd_chain_index

进程链索引，可以通过相同索引查找进程链。

B184

container_hostname

容器内服务器名称。

nginx-ingress-controller-765f67fd4d-****

container_id

容器ID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****

container_image_id

镜像ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

镜像名称。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

容器名称。

nginx-ingress-****

container_pid

容器内进程ID。

0

dir

网络连接方向。取值：

• in：入方向

• out：出方向

in

dst_ip

网络连接接收者的IP。

• dir为out时，表示对端主机。

• dir为in时，表示本机。

192.168.XX.XX

dst_port

网络连接接收者的端口。

443

instance_id

实例ID

i-2zefcduaxj8iokm****

ip

服务器IP地址。

192.168.XX.XX

parent_proc_file_name

父进程的文件名。

/usr/bin/bash

pid

进程ID。

14275

ppid

父进程ID。

14268

proc_name

进程名。

nginx

proc_path

进程路径。

/usr/local/nginx/sbin/nginx

proc_start_time

进程的启动时间。

N/A

proto

协议。取值：

• tcp

• udp

• raw（表示raw socket）

tcp

sas_group_name

服务器在云安全中心的资产分组。

default

src_ip

源IP地址。

100.127.XX.XX

src_port

源端口。

41897

srv_comm

祖进程关联的命令名。

containerd-shim

status

网络连接状态。取值：

• 1：连接已关闭（closed）

• 2：正在等待连接请求（listen）

• 3：已发送SYN请求（syn send）

• 4：已接收SYN请求（syn recv）

• 5：连接已建立（established）

• 6：等待关闭连接（close wait）

• 7：正在关闭连接（closing）

• 8：等待对方发送关闭请求（fin_wait1）

• 9：等待对方发送关闭请求并确认（fin_wait2）

• 10：等待足够的时间以确保对方收到关闭请求的确认（time_wait）

• 11：已删除传输控制块（delete_tcb）

5

type

实时网络连接的类型。取值：

• connect：主动发起TCP connect连接

• accept：收到TCP连接

• listen：端口监听

listen

uid

进程用户的ID。

101

username

进程的用户名。

root

uuid

服务器的UUID。

5d83b26b-b7ca-4a0a-9267-12****

字段名

说明

示例

instance_id

实例ID。

i-2zefcduaxj8iokm****

ip

被暴力破解的服务器IP地址。

192.168.XX.XX

sas_group_name

服务器在云安全中心的资产分组。

default

uuid

被暴力破解的服务器UUID。

5d83b26b-b7ca-4a0a-9267-12*****

warn_count

失败登录次数。

1分钟内重复登录会被合并为1条日志，例如warn_count值为3，表示在最近1分钟内重复登录了3次。

3

warn_ip

登录来源IP地址。

47.92.XX.XX

warn_port

登录端口。

22

warn_type

登录类型。取值：

• SSHLOGIN、SSH：SSH登录

• RDPLOGIN：远程桌面登录

• IPCLOGIN：IPC连接登录

SSH

warn_user

登录用户名。

user

字段名

说明

示例

account_expire

账号的过期日时间。never表示永不过期。

never

domain

账号所在的域或目录服务。N/A表示不属于任何域。

N/A

groups

账号所在的分组。N/A表示不属于任何组。

["nscd"]

home_dir

主目录，系统中存储和管理文件的默认位置。

/Users/abc

instance_id

实例ID

i-2zefcduaxj8iokm****

ip

服务器IP地址。

192.168.XX.XX

last_chg

最后一次修改密码的日期。

2022-11-29

last_logon

最后一次登录账号的日期和时间。N/A表示从未登录过。

2023-08-18 09:21:21

login_ip

最后一次登录账号的远程IP地址。N/A表示从未登录过。

192.168.XX.XX

passwd_expire

密码的过期日期。never表示永不过期。

2024-08-24

perm

是否拥有root权限。取值：

• 0：没有root权限。

• 1：有root权限。

0

sas_group_name

服务器在云安全中心的资产分组。

default

shell

Linux的Shell命令。

/sbin/nologin

status

用户账号的状态，取值：

• 0：账号已被禁止登录。

• 1：账号可正常登录。

0

tty

登录的终端。N/A表示账号从未登录过终端。

N/A

user

用户名称。

nscd

uuid

服务器的UUID。

5d83b26b-b7ca-4a0a-9267-12****

warn_time

密码到期提醒日期。never表示永不提醒。

2024-08-20

字段名

说明

示例

dir

网络连接方向。取值：

• in：入方向

• out：出方向

in

dst_ip

网络连接接收者的IP。

• dir为out时，表示对端主机。

• dir为in时，表示本机。

192.168.XX.XX

dst_port

网络连接接收者的端口。

443

instance_id

实例ID

i-2zefcduaxj8iokm****

ip

服务器IP地址。

192.168.XX.XX

pid

进程ID。

682

proc_name

进程名。

sshd

sas_group_name

服务器在云安全中心的资产分组。

default

src_ip

源IP地址。

100.127.XX.XX

src_port

源端口。

41897

status

网络连接状态。取值：

• 1：连接已关闭（closed）

• 2：正在等待连接请求（listen）

• 3：已发送SYN请求（syn send）

• 4：已接收SYN请求（syn recv）

• 5：连接已建立（established）

• 6：等待关闭连接（close wait）

• 7：正在关闭连接（closing）

• 8：等待对方发送关闭请求（fin_wait1）

• 9：等待对方发送关闭请求并确认（fin_wait2）

• 10：等待足够的时间以确保对方收到关闭请求的确认（time_wait）

• 11：已删除传输控制块（delete_tcb）

5

uuid

服务器的UUID。

5d83b26b-b7ca-4a0a-9267-12****

字段名

说明

示例

cmdline

进程启动的完整命令行。

/usr/local/share/assist-daemon/assist_daemon

instance_id

实例ID

i-2zefcduaxj8iokm****

ip

服务器IP地址。

192.168.XX.XX

md5

二进制文件的MD5哈希值。

1086e731640751c9802c19a7f53a64f5

name

进程文件名。

assist_daemon

path

进程文件完整路径。

/usr/local/share/assist-daemon/assist_daemon

pid

进程ID。

1692

pname

父进程文件名。

systemd

sas_group_name

服务器在云安全中心的资产分组。

default

start_time

进程启动时间。内置字段。

2023-08-18 20:00:12

uid

进程用户的ID。

101

username

进程的用户名。

root

uuid

服务器的UUID。

5d83b26b-b7ca-4a0a-9267-12****

字段名

说明

示例

domain

DNS请求对应的域名。

example.aliyundoc.com

instance_id

实例ID

i-2zefcduaxj8iokm****

ip

发起DNS请求的服务器IP地址。

192.168.XX.XX

pid

发起DNS请求的进程ID。

3544

ppid

发起DNS请求的父进程ID。

3408

proc_cmd_chain

发起DNS请求的进程链。

"3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""

proc_cmdline

发起DNS请求的命令行。

C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

proc_path

发起DNS请求的进程路径。

C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

sas_group_name

服务器在云安全中心的资产分组。

default

time

捕获DNS请求事件的时间，该时间一般和DNS请求发生时间相同。

2023-08-17 20:05:04

uuid

发起DNS请求的服务器UUID。

5d83b26b-b7ca-4a0a-9267-12****

字段名

说明

示例

alias_name

漏洞别名。

CESA-2023:1335: openssl Security Update

extend_content

漏洞扩展信息。

{"cveList":["CVE-2023-0286"],"necessity":{"gmt_create":"20230816","connect_cnt":80,"total_score":0.0,"assets_factor":1.0,"enviroment_factor":1.5,"status":"normal"},"os":"centos","osRelease":"7","preCheck":{},"rpmCanUpdate":true,"rpmEntityList":[{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl-libs version less than 1.0.2k-26.el7_9","matchList":["openssl-libs version less than 1.0.2k-26.el7_9"],"name":"openssl-libs","nextResult":false,"path":"/etc/pki/tls","result":true,"updateCmd":"yum update openssl-libs","version":"1.0.2k-25.el7_9"},{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl version less than 1.0.2k-26.el7_9","matchList":["openssl version less than 1.0.2k-26.el7_9"],"name":"openssl","nextResult":false,"path":"/etc/pki/CA","result":true,"updateCmd":"yum update openssl","version":"1.0.2k-25.el7_9"}]}

instance_id

实例ID。

i-hp3b1iuxnl6upd6b****

internet_ip

主机的公网IP。

39.104.XX.XX

intranet_ip

主机的私网IP。

192.168.XX.XX

machine_name

主机名称。

hhht-linux-***

name

漏洞名称。

centos:7:cesa-2023:1335

op

漏洞的处理动作。取值：

• new：新增

• verify：验证

• fix：修复

new

status

状态信息。取值：

• 1：未修复

• 2：修复失败

• 3：回滚失败

• 4：修复中

• 5：回滚中

• 6：验证中

• 7：修复成功

• 8：修复成功待重启

• 9：回滚成功

• 10：忽略

• 11：回滚成功待重启

• 12：已不存在

• 13：已失效

1

tag

漏洞的标签。取值：

• oval：Linux软件漏洞

• system：Windows系统漏洞

• cms：Web-CMS漏洞

  说明

  其他类型的漏洞的标签为随机字符串。

oval

type

漏洞类型。取值：

• sys：windows系统漏洞

• cve：Linux软件漏洞

• cms：Web-CMS漏洞

• emg：紧急漏洞

sys

uuid

服务器UUID。

ad66133a-dc82-4e5e-9659-a49e3****

字段名

说明

示例

check_item

检查项名称。

设置密码修改最小间隔时间

check_level

基线的检查等级。取值：

• high：高危

• medium：中危

• low：低危

medium

check_type

检查项类型。

身份鉴别

instance_id

实例ID。

i-hp3b1iuxnl6upd6b****

level

风险项级别。取值：

• high：高

• medium：中

• low：低

medium

op

操作信息。取值：

• new：新增

• verity：验证

new

risk_name

风险项名称。

密码策略合规检测

sas_group_name

检测出当前风险项的服务器在云安全中心的资产分组。

default

status

状态信息。取值：

• 1：未修复

• 2：修复失败

• 3：回滚失败

• 4：修复中

• 5：回滚中

• 6：验证中

• 7：修复成功

• 8：修复成功待重启

• 9：回滚成功

• 10：忽略

• 11：回滚成功待重启

• 12：已不存在

• 13：已失效

1

sub_type_alias

子类型别名（中文）。

CIS标准-Ubuntu 16/18/20/22安全基线检查

sub_type_name

基线子类型名称。基线子类型取值请参见基线类型及子类型列表。

hc_ubuntu16_cis_rules

type_alias

类型别名（中文）。

CIS合规

type_name

基线类型。基线类型取值请参见基线类型及子类型列表。

cis

uuid

检测出当前风险项的服务器UUID。

1ad66133a-dc82-4e5e-9659-a49e3****

字段名

说明

示例

data_source

数据源。取值：

• aegis_suspicious_event：主机异常

• aegis_suspicious_file_v2：Webshell

• aegis_login_log：异常登录

• honeypot：云蜜罐告警事件

• object_scan：文件检测异常事件

• security_event：云安全中心异常事件

• sas_ak_leak：AK泄露事件

aegis_login_log

detail

告警详情。

{"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root","protocol":2,"protocolName":"SSH","clientIp":"192.168.XX.XX","loginTimes":1,"location":"西安市","type":"login_common_account","displayEventName":"ECS非常用账号登录","status":0}

instance_id

实例ID。

i-bp1ifcfzi7dajhum****

internet_ip

主机的公网IP。

39.104.XX.XX

intranet_ip

主机的私网IP。

192.168.XX.XX

level

告警事件的危险等级。取值：

• serious：紧急

• suspicious：可疑

• remind：提醒

suspicious

name

告警名称。

异常登录-ECS非常用账号登录

op

操作信息。取值：

• new：新增

• dealing：处理

• update：更新

new

status

状态信息。取值：

• 1：未修复

• 2：修复失败

• 3：回滚失败

• 4：修复中

• 5：回滚中

• 6：验证中

• 7：修复成功

• 8：修复成功待重启

• 9：回滚成功

• 10：忽略

• 11：回滚成功待重启

• 12：已不存在

• 13：已失效

1

unique_info

告警的唯一标识。

2536dd765f804916a1fa3b9516b5****

uuid

产生告警的服务器UUID。

ad66133a-dc82-4e5e-9659-a49e3****

字段名

说明

示例

check_id

检查项ID。您可以调用ListCheckResult - 查看云产品中云平台配置检查风险项结果详情接口获取ID值。

11

check_show_name

检查项名称。

回源配置

instance_id

实例ID。

i-bp12mkcxuvqvxxzn****

instance_name

实例名称。

lsm

instance_result

风险产生的影响。格式为JSON字符串。

{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,"searchKey":"RegionIdKey","showName":"Region","type":"text"},{"key":"InstanceIdShow","search":true,"searchKey":"InstanceIdKey","showName":"Instance ID","type":"link"},{"key":"InstanceNameShow","search":true,"searchKey":"InstanceNameKey","showName":"Instance Name","type":"text"}]}

instance_sub_type

实例的子类型。取值：

• 当实例类型为ECS时，子类型的取值：

  • INSTANCE

  • DISK

  • SECURITY_GROUP

• 当实例类型为ACR时，子类型的取值：

  • REPOSITORY_ENTERPRISE

  • REPOSITORY_PERSON

• 当实例类型为RAM时，子类型的取值：

  • ALIAS

  • USER

  • POLICY

  • GROUP

• 当实例类型为WAF时，子类型的取值为DOMAIN。

• 当实例类型为其他值时，子类型的取值为INSTANCE。

INSTANCE

instance_type

实例类型。取值：

• ECS：云服务器

• SLB：负载均衡

• RDS：RDS数据库

• MONGODB：MongoDB数据库

• KVSTORE：Redis数据库

• ACR：容器镜像服务

• CSK：CSK

• VPC：专有网络

• ACTIONTRAIL：操作审计

• CDN：内容分发网络

• CAS：数字证书管理服务（原SSL证书）

• RDC：云效

• RAM：访问控制

• DDOS：DDoS防护

• WAF：Web应用防火墙

• OSS：对象存储

• POLARDB：PolarDB数据库

• POSTGRESQL：PostgreSQL数据库

• MSE：微服务引擎

• NAS：文件存储

• SDDP：敏感数据保护

• EIP：弹性公网IP

ECS

region_id

实例所在地域ID。

cn-hangzhou

requirement_id

条例ID。您可以通过ListCheckStandard - 云平台配置检查获取标准列表接口获取该ID。

5

risk_level

风险级别。取值：

• LOW

• MEDIUM

• HIGH

MEDIUM

section_id

章节ID。您可以通过ListCheckResult - 查看云产品中云平台配置检查风险项结果详情接口获取ID值。

1

standard_id

标准ID。您可以通过ListCheckStandard - 云平台配置检查获取标准列表接口获取该ID。

1

status

检查项的状态。取值：

• NOT_CHECK：未检查

• CHECKING：检查中

• PASS：检查通过

• NOT_PASS：检查未通过

• WHITELIST：已加入白名单

PASS

vendor

所属云厂商。固定取值：ALIYUN。

ALIYUN