本文介绍云安全中心支持的14种日志的字段详情。

网络日志

  • DNS日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-log-dns
    additional additional字段,多个值之间用竖线(|)分隔
    additional_num additional数量
    answer DNS回答信息,多个值之间用竖线(|)分隔
    answer_num DNS回答信息数量
    authority authority字段,多个值之间用竖线(|)分隔
    authority_num authority数量
    client_subnet 客户端子网
    dst_ip 目标IP地址
    dst_port 目标端口
    in_out 数据的传输方向
    • in表示流入
    • out表示流出
    qid 查询ID
    qname 查询域名
    qtype 查询类型
    query_datetime 查询时间戳,单位:毫秒
    rcode 返回代码
    region 地域ID
    • 1:北京
    • 2:青岛
    • 3:杭州
    • 4:上海
    • 5:深圳
    • 6:其它
    response_datetime 返回时间,例如:2018-09-25 09:59:16
    src_ip 源IP地址
    src_port 源端口
  • 本地DNS日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-log-dns
    answer_rda DNS回答信息,多个值之间用竖线(|)分隔
    answer_ttl DNS回答的时间周期,多个值之间用竖线(|)分隔
    answer_type DNS回答的类型,多个值之间用竖线(|)分隔
    anwser_name DNS回答的名称,多个值之间用竖线(|)分隔
    dest_ip 目标IP地址
    dest_port 目标端口
    group_id 分组ID
    hostname 主机名
    id 主机IP地址
    instance_id 实例ID
    internet_ip 互联网IP地址
    ip_ttl IP周期
    query_name 查询域名
    query_type 查询类型
    src_ip 源IP地址
    src_port 源端口
    time 查询的时间戳,单位:秒
    time_usecond 响应耗时,单位:微秒
    tunnel_id 通道ID
  • 网络会话日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-log-dns
    asset_type 关联的资产类型,例如:ECS
    dst_ip 目标IP地址
    dst_port 目标端口
    proto 协议类型,例如:tcp、udp
    session_time 会话时间,例如:2018-09-25 09:59:49
    src_ip 源IP地址
    src_port 源端口
  • Web日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-log-dns
    content_length 内容长度
    dst_ip 目标IP地址
    dst_port 目标端口
    host 访问的主机名
    jump_location 重定向地址
    method HTTP请求方法,例如:GET
    referer 客户端向服务器发送请求时的HTTP referer,告知服务器访问来源的HTTP链接
    request_datetime 请求时间
    ret_code 返回状态值
    rqs_content_type 请求内容类型
    rsp_content_type 响应内容类型
    src_ip 源IP地址
    src_port 源端口
    uri 请求URI
    user_agent 向客户端发起的请求
    x_forward_for 路由跳转信息

安全日志

  • 漏洞日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-vul-log
    name 漏洞名称
    alias_name 漏洞别名
    op 操作信息
    • new:新增
    • verify:验证
    • fix:修复
    status 状态信息,详情请参见表 2
    tag 漏洞标签,例如:oval、system、cms
    type 漏洞类型,例如:
    • sys:windows漏洞
    • cve:Linux漏洞
    • cms:Web CMS漏洞
    • EMG: 紧急漏洞
    uuid 客户端号
  • 基线日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-hc-log
    level 日志级别,例如:ow、mediam、high
    op 操作信息,例如:
    • new:新增
    • verify:验证
    • fix:修复
    risk_name 风险名称
    status 状态信息,详情请参见表 2
    sub_type_alias 子类型别名,中文格式
    sub_type_name 子类型名称
    type_name 类型名称
    type_alias 类型别名,中文格式
    uuid 客户端号
    表 1. 基线type-sub-type列表
    type_name sub_type_name
    system baseline
    weak_password postsql_weak_password
    database redis_check
    account system_account_security
    account system_account_security
    weak_password mysq_weak_password
    weak_password ftp_anonymous
    weak_password rdp_weak_password
    system group_policy
    system register
    account system_account_security
    weak_password sqlserver_weak_password
    system register
    weak_password ssh_weak_password
    weak_password ftp_weak_password
    cis centos7
    cis tomcat7
    cis memcached-check
    cis mongodb-check
    cis ubuntu14
    cis win2008_r2
    system file_integrity_mon
    cis linux-httpd-2.2-cis
    cis linux-docker-1.6-cis
    cis SUSE11
    cis redhat6
    cis bind9.9
    cis centos6
    cis debain8
    cis redhat7
    cis SUSE12
    cis ubuntu16
    表 2. 安全日志状态码
    状态值 说明
    1 未修复
    2 修复失败
    3 回滚失败
    4 修复中
    5 回滚中
    6 验证中
    7 修复成功
    8 修复成功待重启
    9 回滚成功
    10 忽略
    11 回滚成功待重启
    12 已不存在
    20 已失效
  • 安全告警日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为sas-security-log
    data_source 数据源
    • aegis_suspicious_event:主机异常
    • aegis_suspicious_file_v2:Webshell
    • aegis_login_log:异常登录
    • security_event:安全中心异常事件
    level 告警级别,例如:suspicious、serious、remind
    name 名称
    op 操作信息,例如:
    • new:新增
    • dealing:处理
    status 状态信息,详情请参见表 2
    uuid 客户端号

主机日志

  • 进程启动日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为aegis-log-process
    uuid 客户端号
    ip 客户端主机的IP地址
    cmdline 启动进程的完整命令行
    username 用户名
    uid 用户ID
    pid 进程ID
    filename 进程文件名
    filepath 进程文件所在的完整路径
    groupname 用户组
    ppid 父进程ID
    pfilename 父进程文件名
    pfilepath 父进程文件所在的完整路径
  • 进程快照日志
    字段名称 说明
    __time__ 获取数据的时间
    __topic__ 日志主题,固定为aegis-snapshot-process
    uuid 客户端号
    ip 客户端主机的IP地址
    cmdline 启动进程的完整命令行
    pid 进程ID
    name 进程文件名
    path 进程文件所在的完整路径
    md5 进程文件MD5,超过1MB的进程文件不进行计算。
    pname 父进程文件名
    start_time 进程启动时间
    user 用户名
    uid 用户ID
  • 登录日志
    说明 1分钟内的重复登录会被合并为1条日志,warn_count字段表示次数。
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为aegis-log-login
    uuid 客户端号
    ip 客户端主机的IP地址
    warn_ip 登录来源IP地址
    warn_port 登录端口
    warn_type 登录类型,例如:
    • SSHLOGIN:SSH登录
    • RDPLOGIN:远程桌面登录
    • IPCLOGIN:IPC登录
    warn_user 登录用户名
    warn_count 登录次数,例如:值为3,表示这次登录前1分钟内还发送了2次。
  • 暴力破解日志
    字段名 名称
    __time__ 连接时间
    __topic__ 日志主题,固定为aegis-log-crack
    uuid 客户端号
    ip 客户端机器IP地址
    warn_ip 登录来源IP地址
    warn_port 登录端口
    warn_type 登录类型,例如:
    • SSHLOGIN:SSH登录
    • RDPLOGIN:远程桌面登录
    • IPCLOGIN:IPC登录
    warn_user 登录用户名
    warn_count 失败登录次数
  • 主机网络连接日志
    说明 主机上每隔10秒到1分钟采集一次变化的网络连接日志,而一个网络连接的状态从建立到结束的过程中部分状态会被采集到。
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为aegis-log-network
    uuid 客户端号
    ip 客户端机器IP地址
    src_ip 源IP地址
    src_port 源端口
    dst_ip 目标IP地址
    dst_port 目标端口
    proc_name 进程名
    proc_path 进程路径
    proto 协议,例如:udp、raw
    status 连接状态,详情请参见表 3
    表 3. 网络连接状态
    状态值 描述
    1 closed
    2 listen
    3 syn send
    4 syn recv
    5 establisted
    6 close wait
    7 closing
    8 fin_wait1
    9 fin_wait2
    10 time_wait
    11 delete_tcb
  • 端口监听快照日志
    字段名称 说明
    __time__ 获取数据的时间
    __topic__ 日志主题,固定为aegis-snapshot-port
    uuid 客户端号
    ip 客户端机器IP地址
    proto 协议,例如:tcp、udp、raw
    src_ip 监听的IP地址
    src_port 监听的端口
    pid 进程ID
    proc_name 进程名
  • 账户快照日志
    字段名称 说明
    __time__ 连接时间
    __topic__ 日志主题,固定为aegis-snapshot-host
    uuid 客户端号
    ip 客户端机器IP地址
    user 用户
    perm 是否拥有root权限
    • 0:没有
    • 1:有
    home_dir home目录
    groups 用户属于的组
    last_chg 密码最后修改日期
    shell Shell命令
    domain Windows域
    tty 登录的终端
    warn_time 密码到期提醒日期
    account_expire 账号超期日期
    passwd_expire 密码超期日期
    login_ip 最后一次登录的远程IP地址
    last_logon 最后一次登录的日期和时间
    status 用户状态
    • 0:禁用
    • 1:正常