本文介绍了云安全中心日志检索功能可以采集并供检索的原始日志类型和字段说明。

各日志源字段列表

日志检索功能支持查询下表罗列的日志类型。您可以单击一个日志源查看其支持的具体字段信息。

类型 日志源 说明
主机日志 登录流水 系统登录成功的日志记录。
暴力破解 尝试暴力破解登录密码的日志记录。
进程快照 主机上进程运行的相关信息。
端口监听快照 主机上监听端口的相关信息。
账号快照 主机上账号登录的相关信息。
进程启动 主机上进程启动的相关信息。
网络连接 主机对外主动连接的日志。
Web日志 Web访问日志 云上业务的HTTP协议日志。
网络会话日志 云上业务的网络5元组日志(全端口)。
DNS日志 网络DNS解析日志。

登录流水

登录流水查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
warn_ip string 登录来源IP
warn_port string 登录端口
warn_user string 登录用户名
warn_type string 登录类型
warn_count string 登录次数

暴力破解

暴力破解查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
warn_ip string 攻击来源IP
warn_port string 登录端口
warn_user string 登录用户名
warn_type string 登录类型
warn_count string 登录次数

进程启动日志

进程启动日志查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
pid string 进程ID
groupname string 用户组
ppid string 父进程ID
uid string 用户ID
username string 用户名
filename string 文件名
pfilename string 父进程文件名
cmdline string 命令行
filepath string 进程路径
pfilepath string 父进程路径

端口监听快照

端口监听快照查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
src_port string 监听端口
src_ip string 监听IP
proc_path string 进程路径
pid string 进程ID
proc_name string 进程名
proto string 协议

网络连接日志

网络连接日志查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
src_ip string 源IP
src_port string 源端口
proc_path string 进程路径
dst_port string 目标端口
proc_name string 进程名
dst_ip string 目标IP
status string 状态

账号快照

账号快照查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
IP string IP地址
perm string 是否拥有root权限
home_dir string home目录
warn_time string 密码到期提醒时间
groups string 用户属于的组
login_ip string 最后一次登录的IP地址
last_chg string 密码最后修改时间
shell string linux的shell命令
domain string windows域
tty string 登录的终端
account_expire string 账号超期时间
passwd_expire string 密码超期时间
last_logon string 最后登录时间
user string 用户
status string 用户状态:0-禁用;-正常

进程快照

进程快照查询支持以下字段:

字段 数据类型 说明
uuid string 客户端编号
ip string IP地址
path string 进程路径
start_time string 进程启动时间
uid string 用户ID
cmdline string 命令行
pname string 父进程名
name string 进程名
pid string 进程ID
user string 用户名
md5 string 进程文件MD5值,超过1MB不计算

Web访问日志

Web访问日志查询支持以下字段:

字段 数据类型 说明
src_ip string 访问源IP
src_port string 访问源端口号
dst_ip string 目的IP
dst_port string 目的端口号
request_datatime string 请求时间
host string 主机名hoat
uri string 请求URI
method string 请求方法GET/POST
referer string 来源Referer
user_agent string 客户端user_agent
ret_code string 返回响应码
jump_location string 跳转到的URL
x_forward_for string 来源x_forward_for
rsp_content_type string 请求内容类型
rqs_content_type string 返回内容类型
content_length string 返回数据长度

网络会话日志

网络会话日志查询支持以下字段:

字段 数据类型 说明
asset_type string 资产类型:RDS/SLB/ECS等
session_time datetime 访问时间
src_ip string 源IP
src_port string 源端口
dst_ip string 目的IP
dst_port string 目的端口
proto string 协议类型:TCP/UDP

DNS日志

DNS日志查询支持以下字段:

字段 数据类型 说明
query_datetime datetime 请求时间
src_ip string 源IP
src_port string 源端口
dst_ip string 目的IP
dst_port string 目的端口
response_datetime datetime 响应时间
qname string 解析域名
qtype string 请求记录类型
client_subnet string 客户端子网
qid string 请求的ID
rcode string 返回码
answer_num string answer字段数量
answer string answer字段
authority_num string authority字段数量
authority string authority字段
additional_num string additional字段数量
additional string additional字段
in_out string 方向
region string 地区