云服务器特惠 99/年起
  1. 腾讯云优惠网首页
  2. 腾讯云产品

云安全中心 云防火墙

• 腾讯云产品

云防火墙相关的日志类型及字段说明，包括入侵防御日志、全流量检测与响应日志、操作日志、流量日志、访问控制日志、零信任运维日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。

相关产品
云安全中心 产品页，含版本规格、价格与购买入口。

注意：说明：

注意：日志样例和字段说明仅为参考，具体字段可能因版本更新发生变化，请以实际采集数据为准。

一、日志类型说明

日志类型 日志内容 日志概述
入侵防御 入侵防御事件记录，包含源/目标 IP、端口、协议、威胁等级、事件名称、威胁类型、攻击载荷、 ATT&CK TTPs 、地理位置、处置策略及事件时间等。 记录云防火墙检测到的入侵威胁事件，用于威胁溯源、攻击链还原及处置策略优化。
全流量检测与响应日志 全流量检测与响应记录，包含源/目标 IP、端口、协议、流量统计（包数/字节数）、时间、威胁情报、地理位置、应用协议解析字段及流 ID 等。 记录网络全流量数据，用于异常流量识别、威胁狩猎及 NDR 场景分析。
操作日志 云防火墙操作记录，包含操作者账号、操作动作、操作类型、操作结果、操作详情、操作者 IP、地理位置及操作时间等。 记录用户在云防火墙控制台或 API 的操作行为，用于变更审计、运维追溯及合规检查。
流量日志 网络流量记录，包含源/目标 IP、端口、协议、流量统计（包数/字节数）、时间、方向、目标域名、威胁情报、地理位置、 VPC 信息及流状态等。 记录互联网边界、 NAT 、 VPC、 DNS 及内网的流量数据，用于流量分析、异常排查及网络可观测性建设。
访问控制 访问控制规则命中记录，包含源/目标 IP、端口、协议、方向、命中规则 ID、规则详情、处置策略、 VPC 信息及命中时间等。 记录访问控制规则命中情况，用于策略有效性验证、合规审计及访问控制优化。
零信任运维 零信任运维记录，包含用户身份、设备信息、源/目标 IP、协议、服务类型、操作详情(SQL/SSH/HTTP)、会话 ID、策略动作及操作时间等。 记录零信任体系下的运维行为，用于特权账号审计、运维合规及零信任策略优化。

三、入侵防御

字段名 字段说明 中文名 英文名 示例
appid 腾讯云账号的应用标识 ID，用于唯一标识一个租户的资源归属 租户应用 ID appid 13xxxxxx01
source_time 原始事件产生的时间戳，记录事件在源系统中实际发生的时刻 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type 日志在 CLS（日志服务）中的子类型标识，用于区分不同业务场景的日志 CLS 日志子类型 cls_event_type threat_defense
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
index 日志在存储系统中的索引名称，通常包含日志类型和日期信息，用于数据检索 索引 index cfw_threat_2026012116
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间 hit_time 17xxxxxx27
src_content 事件中的源端信息内容，通常为攻击发起方的 IP 地址或域名 源内容 src_content 203.0.113.45
dst_content 事件中的目标端信息内容，通常为被攻击方的 IP 地址或域名 目标内容 dst_content 10.0.0.12
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 80
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 1
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
ip_version 相关的 IP 地址信息，用于网络行为追踪和安全分析 IP 版本 ip_version 4
strategy 策略处置结果（英文值） 策略 strategy 阻断
strategy_res 策略处置结果（英文值） 策略 strategy_res Block
eventname 事件名称信息，用于标识和展示对应资源的可读名称 事件名称 eventname SQL 注入攻击
eventname_res 事件名称信息，用于标识和展示对应资源的可读名称 事件名称 eventname_res SQL Injection
domain 网络请求访问的目标域名信息 域名 domain www.example.com
level 威胁等级评估值，用于判断事件的严重程度 威胁等级 level 高危
level_res 威胁等级评估值，用于判断事件的严重程度 威胁等级 level_res High
tags 标签，用于标识和记录相关的业务数据 标签 tags SQL 注入
threat_type 威胁类型的分类标识，描述安全威胁的具体类别（如木马、漏洞利用、暴力破解等） 威胁类型 threat_type Web 攻击
threat_type_en 威胁类型信息，用于分类和区分不同的业务场景 威胁类型 threat_type_en Web Attack
description 安全事件的详细描述信息，提供事件的上下文和影响说明 描述 description 检测到 SQL 注入攻击
suggestion 针对安全事件的处置建议，指导用户如何响应和修复 建议 suggestion 建议封禁源 IP
ttps ATT&CK TTPs，用于标识和记录相关的业务数据 ATT&CK TTPs ttps T1190
address 地址信息，标识网络通信中的地址位置 地址 address 中国广东省深圳市
address_en 地址信息，标识网络通信中的地址位置 地址 address_en Shenzhen, Guangdong, China
insert_time 插入时间信息，记录事件发生或处理的具体时刻 插入时间 insert_time 17xxxxxx28
nat_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 NAT IP nat_ip 203.0.113.1
nat_port NAT 端口信息，标识网络通信中使用的具体端口 NAT 端口 nat_port 8080
nat_ins_id NAT 实例 ID 的唯一标识符，用于系统内部数据关联和查询 NAT 实例 ID nat_ins_id nat-ins-001
natinsname NAT 实例名称信息，用于标识和展示对应资源的可读名称 NAT 实例名称 natinsname nat-fw-prod
type 类型信息，用于分类和区分不同的业务场景 类型 type IDS
country 国家，用于标识和记录相关的业务数据 国家 country 中国
country_en 国家，用于标识和记录相关的业务数据 国家 country_en China
source 来源信息，标识事件或数据的产生来源 来源 source IDS 引擎
source_res 来源信息，标识事件或数据的产生来源 来源 source_res IDS Engine
payload 触发安全规则的原始攻击载荷内容，用于分析攻击手法和特征 攻击载荷 payload OR 1=1 —
latitude 纬度，用于标识和记录相关的业务数据 纬度 latitude 22.5431
longitude 经度，用于标识和记录相关的业务数据 经度 longitude 114.0579
white_tag 白名单标签，用于标识和记录相关的业务数据 白名单标签 white_tag –
white_tag_res 白名单标签，用于标识和记录相关的业务数据 白名单标签 white_tag_res –
level_int 威胁等级（数值）评估值，用于判断事件的严重程度 威胁等级（数值） level_int 3
service_id 服务 ID 的唯一标识符，用于系统内部数据关联和查询 服务 ID service_id –
cmdline 命令行，用于标识和记录相关的业务数据 命令行 cmdline –
template_id 模板 ID 的唯一标识符，用于系统内部数据关联和查询 模板 ID template_id –
docker_id Docker ID 的唯一标识符，用于系统内部数据关联和查询 Docker ID docker_id –
proc_chan 进程链，用于标识和记录相关的业务数据 进程链 proc_chan –
kill_chain 杀伤链，用于标识和记录相关的业务数据 杀伤链 kill_chain 利用
kill_chain_res 杀伤链，用于标识和记录相关的业务数据 杀伤链 kill_chain_res Exploitation
event_id 安全事件的唯一标识 ID，用于事件追踪和关联分析 事件 ID event_id evt-001
exe 可执行文件，用于标识和记录相关的业务数据 可执行文件 exe –
probe_id 探针 ID 的唯一标识符，用于系统内部数据关联和查询 探针 ID probe_id –
service_type 服务类型信息，用于分类和区分不同的业务场景 服务类型 service_type –
service_type_res 服务类型信息，用于分类和区分不同的业务场景 服务类型 service_type_res –
script_name 脚本名称信息，用于标识和展示对应资源的可读名称 脚本名称 script_name –
log_source 日志的来源标识，区分日志产生的具体模块或组件 日志来源 log_source IDS
login_user 登录用户，用于标识和记录相关的业务数据 登录用户 login_user –
display 是否展示，用于标识和记录相关的业务数据 是否展示 display 1
attack_vector 攻击向量，用于标识和记录相关的业务数据 攻击向量 attack_vector network
attack_count 攻击次数，用于标识和记录相关的业务数据 攻击次数 attack_count 5
xforward_for X-Forwarded-For，用于标识和记录相关的业务数据 X-Forwarded-For xforward_for 203.0.113.45
fwsid 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fwsid fws-abc123
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type EDGE
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc vpc-def456
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
match 匹配信息，用于标识和记录相关的业务数据 匹配信息 match –
mode 模式，用于标识和记录相关的业务数据 模式 mode 1
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id 50001
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
is_serial 是否串行，用于标识和记录相关的业务数据 是否串行 is_serial 1
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
ccn_id 云联网 ID 的唯一标识符，用于系统内部数据关联和查询 云联网 ID ccn_id –
cvm_id CVM 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CVM 实例 ID cvm_id ins-abc123
cfw_ins_id CFW 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CFW 实例 ID cfw_ins_id cfw-ins-001
attack_result 攻击结果判断信息，记录操作或检测的最终结论 攻击结果判断 attack_result blocked
http_request_header HTTP 请求的完整头部信息 HTTP 请求头 http_request_header GET /admin HTTP/1.1…
http_request_body HTTP 请求的消息体内容 HTTP 请求体 http_request_body –
http_response_header HTTP 响应的完整头部信息 HTTP 响应头 http_response_header HTTP/1.1 403…
http_response_body HTTP 响应的消息体内容 HTTP 响应体 http_response_body –
flow_id 流 ID 的唯一标识符，用于系统内部数据关联和查询 流 ID flow_id flow-001
log_id 日志 ID 的唯一标识符，用于系统内部数据关联和查询 日志 ID log_id log-001
dns_type DNS 类型信息，用于分类和区分不同的业务场景 DNS 类型 dns_type –
dns_rrname DNS 记录名，用于标识和记录相关的业务数据 DNS 记录名 dns_rrname –
dns_rrtype DNS 记录类型信息，用于分类和区分不同的业务场景 DNS 记录类型 dns_rrtype –
dns_rcode DNS 返回码，用于标识和记录相关的业务数据 DNS 返回码 dns_rcode –
dns_answers DNS 应答，用于标识和记录相关的业务数据 DNS 应答 dns_answers –
menshen_id 门神 ID 的唯一标识符，用于系统内部数据关联和查询 门神 ID menshen_id –
decrypt_flow 是否解密流量，用于标识和记录相关的业务数据 是否解密流量 decrypt_flow 0
attck_ttp ATT&CK TTP，用于标识和记录相关的业务数据 ATT&CK TTP attck_ttp T1190
file_info 文件信息，用于标识和记录相关的业务数据 文件信息 file_info –
xff_all 全部 XFF，用于标识和记录相关的业务数据 全部 XFF xff_all –
file_md5 文件 MD5，用于标识和记录相关的业务数据 文件 MD5 file_md5 –

五、流量分析

字段名 字段说明 中文名 英文名 示例
appid 腾讯云账号的应用标识 ID，用于唯一标识一个租户的资源归属 租户应用 ID appid 13xxxxxx01
source_time 原始事件产生的时间戳，记录事件在源系统中实际发生的时刻 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type 日志在 CLS（日志服务）中的子类型标识，用于区分不同业务场景的日志 CLS 日志子类型 cls_event_type netflow_nta
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
cvm_id CVM 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CVM 实例 ID cvm_id ins-abc123
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 防火墙实例 ID instance_id cfw-ins-abc123
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 203.0.113.45
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 443
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain api.example.com
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc –
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 100
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 65536
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 80
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 40960
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 180
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 106496
ti_tag 威胁情报标签，用于标识和记录相关的业务数据 威胁情报标签 ti_tag 恶意 IP
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
supplier 运营商，用于标识和记录相关的业务数据 运营商 supplier 电信
supplier_en 运营商，用于标识和记录相关的业务数据 运营商 supplier_en China Telecom
src_country 源国家，用于标识和记录相关的业务数据 源国家 src_country 中国
src_country_en 源国家，用于标识和记录相关的业务数据 源国家 src_country_en China
dst_country 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country 美国
dst_country_en 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country_en United States
src_province 源省份，用于标识和记录相关的业务数据 源省份 src_province 广东省
src_province_en 源省份，用于标识和记录相关的业务数据 源省份 src_province_en Guangdong
dst_province 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province –
dst_province_en 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province_en –
src_city 源城市，用于标识和记录相关的业务数据 源城市 src_city 深圳市
dst_city 目标城市，用于标识和记录相关的业务数据 目标城市 dst_city –
district 区县，用于标识和记录相关的业务数据 区县 district –
address 地址信息，标识网络通信中的地址位置 地址 address 中国广东省深圳市
address_en 地址信息，标识网络通信中的地址位置 地址 address_en Shenzhen, Guangdong, China
src_lat 源纬度，用于标识和记录相关的业务数据 源纬度 src_lat 22.5431
dst_lat 目标纬度，用于标识和记录相关的业务数据 目标纬度 dst_lat 37.7749
src_lon 源经度，用于标识和记录相关的业务数据 源经度 src_lon 114.0579
dst_lon 目标经度，用于标识和记录相关的业务数据 目标经度 dst_lon -122.4194
insert_time 插入时间信息，记录事件发生或处理的具体时刻 插入时间 insert_time 17xxxxxx28
count 相同事件在统计周期内的累计发生次数 计数 count 1
url 客户端请求的完整 URL 路径信息 URL url –
domain_flag 域名标记，用于标识和记录相关的业务数据 域名标记 domain_flag 0
port_status 端口状态信息，标识网络通信中使用的具体端口 端口状态 port_status 0
level 等级评估值，用于判断事件的严重程度 等级 level 0
bot_flag Bot 标记，用于标识和记录相关的业务数据 Bot 标记 bot_flag 0
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type EDGE
mode 模式（0 旁路，1 串行） 模式（0 旁路，1 串行） mode 1
tcp_flag TCP 标志，用于标识和记录相关的业务数据 TCP 标志 tcp_flag 0
is_serial 是否串行，用于标识和记录相关的业务数据 是否串行 is_serial 1
fwsid 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fwsid fws-abc123
ndr_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 镜像源 IP ndr_ip 10.0.0.100
version 版本信息，用于标识软件或协议的版本 版本 version –
app_protocol 应用协议信息，标识通信使用的协议标准 应用协议 app_protocol HTTPS
req_hex 请求十六进制，用于标识和记录相关的业务数据 请求十六进制 req_hex –
rsp_hex 响应十六进制，用于标识和记录相关的业务数据 响应十六进制 rsp_hex –
flow_id 流 ID 的唯一标识符，用于系统内部数据关联和查询 流 ID flow_id 123456
payload 触发安全规则的原始攻击载荷内容，用于分析攻击手法和特征 载荷 payload –
dns_qr DNS QR 标志，用于标识和记录相关的业务数据 DNS QR 标志 dns_qr 0
dns_id DNS ID 的唯一标识符，用于系统内部数据关联和查询 DNS ID dns_id 0
dns_qtype DNS 查询类型信息，用于分类和区分不同的业务场景 DNS 查询类型 dns_qtype 0
dns_rcode DNS 返回码，用于标识和记录相关的业务数据 DNS 返回码 dns_rcode 0
dns_rtype DNS 记录类型信息，用于分类和区分不同的业务场景 DNS 记录类型 dns_rtype 0
dns_rdata DNS 记录数据，用于标识和记录相关的业务数据 DNS 记录数据 dns_rdata –
dns_ttl DNS TTL，用于标识和记录相关的业务数据 DNS TTL dns_ttl 0
http_host HTTP 请求的目标主机地址 HTTP Host http_host api.example.com
http_url HTTP 请求的完整 URL 路径 HTTP URL http_url /api/v1/data
http_accept HTTP 请求头中的 Accept 字段，标识客户端可接受的响应内容类型 HTTP Accept http_accept –
http_accept_encoding HTTP 请求头中的 Accept-Encoding 字段，标识客户端支持的压缩编码方式 HTTP Accept-Encoding http_accept_encoding –
http_accept_language HTTP 请求头中的 Accept-Language 字段，标识客户端偏好的语言 HTTP Accept-Language http_accept_language –
http_content HTTP 请求或响应的正文内容 HTTP Content http_content –
http_content_type HTTP 请求或响应的内容类型（如 application/json、text/html） HTTP Content-Type http_content_type –
http_request_body HTTP 请求的消息体内容 HTTP 请求体 http_request_body –
http_request_header HTTP 请求的完整头部信息 HTTP 请求头 http_request_header –
http_response_body HTTP 响应的消息体内容 HTTP 响应体 http_response_body –
http_response_header HTTP 响应的完整头部信息 HTTP 响应头 http_response_header –
http_cookie HTTP 请求中携带的 Cookie 信息 Cookie http_cookie –
http_refer HTTP 请求头中的 Referer 字段，标识请求来源页面 HTTP Referer http_refer –
http_x_forwarded_for 经过代理转发后记录的客户端原始 IP 地址链 X-Forwarded-For http_x_forwarded_for –
http_user_agent User-Agent，用于标识和记录相关的业务数据 User-Agent http_user_agent Mozilla/5.0…
http_method HTTP 方法，用于标识和记录相关的业务数据 HTTP 方法 http_method GET
http_status HTTP 状态码信息，反映当前对象或事件的处理进展 HTTP 状态码 http_status 200
http_server HTTP Server，用于标识和记录相关的业务数据 HTTP Server http_server –
http_protocol HTTP 协议版本信息，用于标识软件或协议的版本 HTTP 协议版本 http_protocol –
xff_all 全部 XFF，用于标识和记录相关的业务数据 全部 XFF xff_all –
smtp_from SMTP 发件人，用于标识和记录相关的业务数据 SMTP 发件人 smtp_from –
smtp_to SMTP 收件人，用于标识和记录相关的业务数据 SMTP 收件人 smtp_to –
smtp_mail_cc SMTP 抄送，用于标识和记录相关的业务数据 SMTP 抄送 smtp_mail_cc –
smtp_attach SMTP 附件，用于标识和记录相关的业务数据 SMTP 附件 smtp_attach –
smtp_subject SMTP 主题，用于标识和记录相关的业务数据 SMTP 主题 smtp_subject –
smtp_message_id SMTP 消息 ID 的唯一标识符，用于系统内部数据关联和查询 SMTP 消息 ID smtp_message_id –
smtp_mail_date SMTP 邮件日期，用于标识和记录相关的业务数据 SMTP 邮件日期 smtp_mail_date –
smtp_mail_content SMTP 邮件内容，用于标识和记录相关的业务数据 SMTP 邮件内容 smtp_mail_content –
ssh_message_code SSH 消息码，用于标识和记录相关的业务数据 SSH 消息码 ssh_message_code 0
ssh_cli_prover SSH 客户端协议版本信息，用于标识软件或协议的版本 SSH 客户端协议版本 ssh_cli_prover –
ssh_ser_prover SSH 服务端协议版本信息，用于标识软件或协议的版本 SSH 服务端协议版本 ssh_ser_prover –
ssh_cli_soft_version SSH 客户端软件版本信息，用于标识软件或协议的版本 SSH 客户端软件版本 ssh_cli_soft_version –
ssh_ser_soft_version SSH 服务端软件版本信息，用于标识软件或协议的版本 SSH 服务端软件版本 ssh_ser_soft_version –
smb_command SMB 命令，用于标识和记录相关的业务数据 SMB 命令 smb_command –
smb_filename SMB 文件名，用于标识和记录相关的业务数据 SMB 文件名 smb_filename –
smb_status_code SMB 状态码信息，反映当前对象或事件的处理进展 SMB 状态码 smb_status_code 0
smb_status SMB 状态信息，反映当前对象或事件的处理进展 SMB 状态 smb_status –
smb_disposition SMB Disposition，用于标识和记录相关的业务数据 SMB Disposition smb_disposition –
smb_share SMB 共享，用于标识和记录相关的业务数据 SMB 共享 smb_share –
smb_share_type SMB 共享类型信息，用于分类和区分不同的业务场景 SMB 共享类型 smb_share_type –
dcerpc_call_id DCERPC 调用 ID 的唯一标识符，用于系统内部数据关联和查询 DCERPC 调用 ID dcerpc_call_id 0
dcerpc_req_opnum DCERPC 请求操作号，用于标识和记录相关的业务数据 DCERPC 请求操作号 dcerpc_req_opnum 0
dcerpc_rpc_version DCERPC RPC 版本信息，用于标识软件或协议的版本 DCERPC RPC 版本 dcerpc_rpc_version –
dcerpc_request DCERPC 请求，用于标识和记录相关的业务数据 DCERPC 请求 dcerpc_request –
dcerpc_response DCERPC 响应，用于标识和记录相关的业务数据 DCERPC 响应 dcerpc_response –
dcerpc_interface_uuid DCERPC 接口 UUID 的唯一标识符，用于系统内部数据关联和查询 DCERPC 接口 UUID dcerpc_interface_uuid –
rdp_client_name RDP 客户端名称信息，用于标识和展示对应资源的可读名称 RDP 客户端名称 rdp_client_name –
rdp_client_version RDP 客户端版本信息，用于标识软件或协议的版本 RDP 客户端版本 rdp_client_version –
rdp_build RDP Build，用于标识和记录相关的业务数据 RDP Build rdp_build –
rdp_event_type RDP 事件类型信息，用于分类和区分不同的业务场景 RDP 事件类型 rdp_event_type –
rdp_initial_request_cookie RDP 初始请求 HTTP 请求中携带的 Cookie 信息 RDP 初始请求 Cookie rdp_initial_request_cookie –
rdp_initial_response_protocol RDP 初始响应协议信息，标识通信使用的协议标准 RDP 初始响应协议 rdp_initial_response_protocol –
rdp_connect_request_channels RDP 连接请求通道，用于标识和记录相关的业务数据 RDP 连接请求通道 rdp_connect_request_channels –
rdp_connect_request_version RDP 连接请求版本信息，用于标识软件或协议的版本 RDP 连接请求版本 rdp_connect_request_version –
rdp_connect_request_build RDP 连接请求 Build，用于标识和记录相关的业务数据 RDP 连接请求 Build rdp_connect_request_build –
rdp_connect_request_client_name RDP 连接请求客户端名，用于标识和记录相关的业务数据 RDP 连接请求客户端名 rdp_connect_request_client_name –
quic_version QUIC 版本信息，用于标识软件或协议的版本 QUIC 版本 quic_version –
quic_sni QUIC SNI，用于标识和记录相关的业务数据 QUIC SNI quic_sni –
email_cc_address 邮件抄送地址信息，标识网络通信中的地址位置 邮件抄送地址 email_cc_address –
email_cc_name 邮件抄送名称信息，用于标识和展示对应资源的可读名称 邮件抄送名称 email_cc_name –
email_from_address 邮件发件地址信息，标识网络通信中的地址位置 邮件发件地址 email_from_address –
email_from_name 邮件发件名称信息，用于标识和展示对应资源的可读名称 邮件发件名称 email_from_name –
email_message_id 邮件消息 ID 的唯一标识符，用于系统内部数据关联和查询 邮件消息 ID email_message_id –
email_subject 邮件主题，用于标识和记录相关的业务数据 邮件主题 email_subject –
email_to_name 邮件收件名称信息，用于标识和展示对应资源的可读名称 邮件收件名称 email_to_name –
email_to_address 邮件收件地址信息，标识网络通信中的地址位置 邮件收件地址 email_to_address –
imap_rsp_lines IMAP 响应行，用于标识和记录相关的业务数据 IMAP 响应行 imap_rsp_lines –
tls_subject TLS Subject，用于标识和记录相关的业务数据 TLS Subject tls_subject –
tls_issuerdn TLS Issuer DN，用于标识和记录相关的业务数据 TLS Issuer DN tls_issuerdn –
tls_serial TLS 序列号，用于标识和记录相关的业务数据 TLS 序列号 tls_serial –
tls_fingerprint TLS 指纹，用于标识和记录相关的业务数据 TLS 指纹 tls_fingerprint –
tls_sni TLS SNI，用于标识和记录相关的业务数据 TLS SNI tls_sni –
tls_version TLS 版本信息，用于标识软件或协议的版本 TLS 版本 tls_version –
tls_notbefore TLS 有效期开始，用于标识和记录相关的业务数据 TLS 有效期开始 tls_notbefore –
tls_notafter TLS 有效期结束，用于标识和记录相关的业务数据 TLS 有效期结束 tls_notafter –
tls_ja3 TLS JA3，用于标识和记录相关的业务数据 TLS JA3 tls_ja3 –
tls_ja3s TLS JA3S，用于标识和记录相关的业务数据 TLS JA3S tls_ja3s –
tls_ja3hash TLS JA3 Hash，用于标识和记录相关的业务数据 TLS JA3 Hash tls_ja3hash –
tls_ja3shash TLS JA3S Hash，用于标识和记录相关的业务数据 TLS JA3S Hash tls_ja3shash –
ftp_data_command FTP 数据命令，用于标识和记录相关的业务数据 FTP 数据命令 ftp_data_command –
ftp_data_filename FTP 数据文件名，用于标识和记录相关的业务数据 FTP 数据文件名 ftp_data_filename –
ftp_command FTP 命令，用于标识和记录相关的业务数据 FTP 命令 ftp_command –
ftp_command_data FTP 命令数据，用于标识和记录相关的业务数据 FTP 命令数据 ftp_command_data –
ftp_completion_code FTP 完成码，用于标识和记录相关的业务数据 FTP 完成码 ftp_completion_code 0
ftp_reply FTP 回复，用于标识和记录相关的业务数据 FTP 回复 ftp_reply –
ftp_reply_received FTP 接收回复，用于标识和记录相关的业务数据 FTP 接收回复 ftp_reply_received –
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id –
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name –
src_mac 源 MAC 地址信息，标识网络通信中的地址位置 源 MAC 地址 src_mac –
src_info 源信息，用于标识和记录相关的业务数据 源信息 src_info –
dst_mac 目标 MAC 地址信息，标识网络通信中的地址位置 目标 MAC 地址 dst_mac –
dst_info 目标信息，用于标识和记录相关的业务数据 目标信息 dst_info –
tke_cluster_id TKE 集群 ID 的唯一标识符，用于系统内部数据关联和查询 TKE 集群 ID tke_cluster_id –
event_type 事件类型信息，用于分类和区分不同的业务场景 事件类型 event_type –
log_version 日志版本信息，用于标识软件或协议的版本 日志版本 log_version –
decrypt_flow 是否解密流量，用于标识和记录相关的业务数据 是否解密流量 decrypt_flow 0

六、流量风险

字段名 字段说明 中文名 英文名 示例
appid 腾讯云账号的应用标识 ID，用于唯一标识一个租户的资源归属 租户应用 ID appid 13xxxxxx01
source_time 原始事件产生的时间戳，记录事件在源系统中实际发生的时刻 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type 日志在 CLS（日志服务）中的子类型标识，用于区分不同业务场景的日志 CLS 日志子类型 cls_event_type netflow_risk
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
flow_id 流 ID 的唯一标识符，用于系统内部数据关联和查询 流 ID flow_id 123456789
event_type 事件类型信息，用于分类和区分不同的业务场景 事件类型 event_type anomaly
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dest_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 目标 IP dest_ip 203.0.113.45
dest_port 目标端口信息，标识网络通信中使用的具体端口 目标端口 dest_port 443
proto 协议信息，标识通信使用的协议标准 协议 proto TCP
flow 流信息（嵌套对象），用于标识和记录相关的业务数据 流信息（嵌套对象） flow 见下方
flow.pkts_toserver 发往服务端包数，用于标识和记录相关的业务数据 发往服务端包数 flow.pkts_toserver 100
flow.pkts_toclient 发往客户端包数，用于标识和记录相关的业务数据 发往客户端包数 flow.pkts_toclient 80
flow.bytes_toserver 发往服务端字节数，用于标识和记录相关的业务数据 发往服务端字节数 flow.bytes_toserver 65536
flow.bytes_toclient 发往客户端字节数，用于标识和记录相关的业务数据 发往客户端字节数 flow.bytes_toclient 40960
flow.start 流开始时间信息，记录事件发生或处理的具体时刻 流开始时间 flow.start 2026-01-21T16:57:00+08:00
flow.end 流结束时间信息，记录事件发生或处理的具体时刻 流结束时间 flow.end 2026-01-21T16:58:00+08:00
flow.age 流持续时间（秒）信息，记录事件发生或处理的具体时刻 流持续时间（秒） flow.age 60
flow.state 流状态信息，反映当前对象或事件的处理进展 流状态 flow.state closed
flow.reason 原因，用于标识和记录相关的业务数据 原因 flow.reason timeout
flow.alerted 是否告警，用于标识和记录相关的业务数据 是否告警 flow.alerted true
flow.flow_direction 流方向信息，标识数据流或操作的方向 流方向 flow.flow_direction 0
log_version 日志版本信息，用于标识软件或协议的版本 日志版本 log_version 1.0
fwsid 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fwsid fws-abc123
ndr_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 NDR IP ndr_ip 10.0.0.100
decrypt_flow 是否解密流量，用于标识和记录相关的业务数据 是否解密流量 decrypt_flow 0
src_info 源信息，用于标识和记录相关的业务数据 源信息 src_info –
dst_info 目标信息，用于标识和记录相关的业务数据 目标信息 dst_info –
tcp TCP 信息（嵌套对象），用于标识和记录相关的业务数据 TCP 信息（嵌套对象） tcp 见下方
tcp.tcp_flags TCP 标志，用于标识和记录相关的业务数据 TCP 标志 tcp.tcp_flags SYN,ACK
tcp.state TCP 状态信息，反映当前对象或事件的处理进展 TCP 状态 tcp.state established
cvmid CVM ID 的唯一标识符，用于系统内部数据关联和查询 CVM ID cvmid ins-abc123
cfwid CFW ID 的唯一标识符，用于系统内部数据关联和查询 CFW ID cfwid cfw-ins-001
engine_type 引擎类型信息，用于分类和区分不同的业务场景 引擎类型 engine_type suricata
req_hex 请求十六进制，用于标识和记录相关的业务数据 请求十六进制 req_hex –
rsp_hex 响应十六进制，用于标识和记录相关的业务数据 响应十六进制 rsp_hex –
app_proto 应用协议信息，标识通信使用的协议标准 应用协议 app_proto tls

七、操作日志

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被处理的时间（Unix 时间戳） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型标识 CLS 日志子类型 cls_event_type operate_log
cls_event_timestamp CLS 事件的时间戳（毫秒） CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
level 威胁等级（中文） 等级 level info
index 日志在存储系统中的索引名称，通常包含日志类型和日期信息，用于数据检索 索引 index cfw_operate_2026012116
operator 操作者，用于标识和记录相关的业务数据 操作者 operator 1000xxxx5678
sub_uin 子账号 UIN，用于标识和记录相关的业务数据 子账号 UIN sub_uin 1000xxxx5679
result 操作的执行结果，标识操作是否成功完成 结果 result 成功
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type EDGE
action 防火墙对匹配流量执行的处置动作，如放行、拦截、观察等 动作 action 新增规则
opt_type 操作类型信息，用于分类和区分不同的业务场景 操作类型 opt_type acl
detail 命中规则或审计事件的详细描述信息 详情 detail 新增互联网边界规则
time 事件发生或记录的时间信息 时间 time 2026-01-21 16:57:07
country 国家，用于标识和记录相关的业务数据 国家 country 中国
city 城市，用于标识和记录相关的业务数据 城市 city 深圳市
latitude 纬度，用于标识和记录相关的业务数据 纬度 latitude 22.5431
province 省份，用于标识和记录相关的业务数据 省份 province 广东省
supplier 运营商，用于标识和记录相关的业务数据 运营商 supplier 电信
client_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 客户端 IP client_ip 203.0.113.45
info 信息，用于标识和记录相关的业务数据 信息 info –
longitude 经度，用于标识和记录相关的业务数据 经度 longitude 114.0579
address 地理位置信息（中文） 地址 address 中国广东省深圳市
district 区县，用于标识和记录相关的业务数据 区县 district –
more_info 更多信息，用于标识和记录相关的业务数据 更多信息 more_info –
type 类型信息，用于分类和区分不同的业务场景 类型 type –
rule 规则，用于标识和记录相关的业务数据 规则 rule –
instance_region 实例地域，用于标识和记录相关的业务数据 实例地域 instance_region ap-guangzhou
public_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 公网 IP public_ip 203.0.113.1
remote_type 远程类型信息，用于分类和区分不同的业务场景 远程类型 remote_type –
services 服务，用于标识和记录相关的业务数据 服务 services –
template_id 模板 ID 的唯一标识符，用于系统内部数据关联和查询 模板 ID template_id –
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
asset_type 受影响资产的类型分类，如 CVM、容器、数据库等 资产类型 asset_type –
addr_name 地址名称信息，用于标识和展示对应资源的可读名称 地址名称 addr_name –
base_type 基础类型信息，用于分类和区分不同的业务场景 基础类型 base_type –
edgeId Edge ID 的唯一标识符，用于系统内部数据关联和查询 Edge ID edgeId –
probe_id 探针 ID 的唯一标识符，用于系统内部数据关联和查询 探针 ID probe_id –
level_res 威胁等级 等级 level_res Info
action_res 动作，用于标识和记录相关的业务数据 动作 action_res Add Rule
detail_res 命中规则或审计事件的详细描述信息 详情 detail_res Add internet border rule
rulelist 规则列表，用于标识和记录相关的业务数据 规则列表 rulelist –
appid 租户的应用 ID 应用 ID（字符串） appid 13xxxxxx01
instance_region_res 实例地域，用于标识和记录相关的业务数据 实例地域 instance_region_res Guangzhou
rule_res 规则，用于标识和记录相关的业务数据 规则 rule_res –
natinsid NAT 实例 ID 的唯一标识符，用于系统内部数据关联和查询 NAT 实例 ID natinsid –
remote_type_res 远程类型信息，用于分类和区分不同的业务场景 远程类型 remote_type_res –
detail_id 详情 ID 的唯一标识符，用于系统内部数据关联和查询 详情 ID detail_id –
base_type_res 基础类型信息，用于分类和区分不同的业务场景 基础类型 base_type_res –
delivery_type 下发类型信息，用于分类和区分不同的业务场景 下发类型 delivery_type –
delivery_type_res 下发类型信息，用于分类和区分不同的业务场景 下发类型 delivery_type_res –

九、DNS 开关

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type netflow_dns
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol UDP
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.0.2
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc –
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name –
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 53
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx01
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 1
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 64
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 1
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 128
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 2
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 192
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id –
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name –
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain api.example.com
dns_qr DNS QR 标志（0 查询，1 响应） DNS QR 标志（0 查询，1 响应） dns_qr 0
dns_id DNS 事务 ID 的唯一标识符，用于系统内部数据关联和查询 DNS 事务 ID dns_id 12345
dns_qname DNS 查询名，用于标识和记录相关的业务数据 DNS 查询名 dns_qname api.example.com
dns_qtype DNS 查询类型信息，用于分类和区分不同的业务场景 DNS 查询类型 dns_qtype 1
dns_rcode DNS 返回码，用于标识和记录相关的业务数据 DNS 返回码 dns_rcode 0
dns_rtype DNS 记录类型信息，用于分类和区分不同的业务场景 DNS 记录类型 dns_rtype 1
dns_rdata DNS 记录数据，用于标识和记录相关的业务数据 DNS 记录数据 dns_rdata 203.0.113.45
dns_ttl DNS TTL，用于标识和记录相关的业务数据 DNS TTL dns_ttl 300
dns_time DNS 响应时间信息，记录事件发生或处理的具体时刻 DNS 响应时间 dns_time 5
payload 触发安全规则的原始攻击载荷内容，用于分析攻击手法和特征 载荷 payload –
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28

十、NAT 边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type netflow_nat
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
fwsid 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fwsid fws-abc123
tags 标签，用于标识和记录相关的业务数据 标签 tags –
tags_en 标签，用于标识和记录相关的业务数据 标签 tags_en –
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type NAT
fw_region 防火墙地域，用于标识和记录相关的业务数据 防火墙地域 fw_region ap-guangzhou
domain 网络请求访问的目标域名信息 域名 domain api.example.com
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
city 城市，用于标识和记录相关的业务数据 城市 city 深圳市
country 国家，用于标识和记录相关的业务数据 国家 country 中国
country_en 国家，用于标识和记录相关的业务数据 国家 country_en China
district 区县，用于标识和记录相关的业务数据 区县 district –
province 省份，用于标识和记录相关的业务数据 省份 province 广东省
province_en 省份，用于标识和记录相关的业务数据 省份 province_en Guangdong
supplier 运营商，用于标识和记录相关的业务数据 运营商 supplier 电信
supplier_en 运营商，用于标识和记录相关的业务数据 运营商 supplier_en China Telecom
address 地址信息，标识网络通信中的地址位置 地址 address 中国广东省深圳市
address_en 地址信息，标识网络通信中的地址位置 地址 address_en Shenzhen, Guangdong, China
latitude 纬度，用于标识和记录相关的业务数据 纬度 latitude 22.5431
longitude 经度，用于标识和记录相关的业务数据 经度 longitude 114.0579
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 203.0.113.45
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 443
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
nat_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 NAT IP nat_ip 203.0.113.1
nat_port NAT 端口信息，标识网络通信中使用的具体端口 NAT 端口 nat_port 8080
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 100
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 65536
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 80
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 40960
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 180
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 106496
status 当前事件或操作的处理状态，用于跟踪事件的生命周期 状态 status 1
timeout 超时时间信息，记录事件发生或处理的具体时刻 超时时间 timeout 300
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
retans 重传次数，用于标识和记录相关的业务数据 重传次数 retans 0
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc –
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name –

十一、VPC 边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type netflow_vpc
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
cvm_id CVM 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CVM 实例 ID cvm_id ins-abc123
ew_ins_id 东西向防火墙实例 ID 的唯一标识符，用于系统内部数据关联和查询 东西向防火墙实例 ID ew_ins_id ew-ins-001
fws_id 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fws_id fws-abc123
fws_name 防火墙服务名称信息，用于标识和展示对应资源的可读名称 防火墙服务名称 fws_name vpc-fw-prod
log_type 日志的类型标识，用于区分不同场景的日志数据 日志类型 log_type 1
if_pair_key 接口对 Key，用于标识和记录相关的业务数据 接口对 Key if_pair_key –
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid 123456789
flow_id 流 ID 的唯一标识符，用于系统内部数据关联和查询 流 ID flow_id 987654321
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc vpc-def456
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 3306
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 100
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 65536
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 80
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 40960
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 180
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 106496
retans 重传标记，用于标识和记录相关的业务数据 重传标记 retans 0
status 当前事件或操作的处理状态，用于跟踪事件的生命周期 状态 status 1
timeout 超时时间信息，记录事件发生或处理的具体时刻 超时时间 timeout 300
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name db-server-01
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
is_out 是否出站，用于标识和记录相关的业务数据 是否出站 is_out 0
src_country 源国家，用于标识和记录相关的业务数据 源国家 src_country 中国
src_country_en 源国家，用于标识和记录相关的业务数据 源国家 src_country_en China
src_province 源省份，用于标识和记录相关的业务数据 源省份 src_province 广东省
src_province_en 源省份，用于标识和记录相关的业务数据 源省份 src_province_en Guangdong
supplier 运营商，用于标识和记录相关的业务数据 运营商 supplier –
supplier_en 运营商，用于标识和记录相关的业务数据 运营商 supplier_en –
address 地址信息，标识网络通信中的地址位置 地址 address –
address_en 地址信息，标识网络通信中的地址位置 地址 address_en –
src_city 源城市，用于标识和记录相关的业务数据 源城市 src_city –
src_lat 源纬度，用于标识和记录相关的业务数据 源纬度 src_lat 22.5431
src_lon 源经度，用于标识和记录相关的业务数据 源经度 src_lon 114.0579
src_address 源地址信息，标识网络通信中的地址位置 源地址 src_address –
src_address_en 源地址信息，标识网络通信中的地址位置 源地址 src_address_en –
src_supplier 源运营商，用于标识和记录相关的业务数据 源运营商 src_supplier –
src_supplier_en 源运营商，用于标识和记录相关的业务数据 源运营商 src_supplier_en –
dst_address 目标地址信息，标识网络通信中的地址位置 目标地址 dst_address –
dst_address_en 目标地址信息，标识网络通信中的地址位置 目标地址 dst_address_en –
dst_city 目标城市，用于标识和记录相关的业务数据 目标城市 dst_city –
dst_country 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country –
dst_country_en 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country_en –
dst_lat 目标纬度，用于标识和记录相关的业务数据 目标纬度 dst_lat 0
dst_lon 目标经度，用于标识和记录相关的业务数据 目标经度 dst_lon 0
dst_province 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province –
dst_province_en 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province_en –
dst_supplier 目标运营商，用于标识和记录相关的业务数据 目标运营商 dst_supplier –
dst_supplier_en 目标运营商，用于标识和记录相关的业务数据 目标运营商 dst_supplier_en –
fw_group_id 防火墙组 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙组 ID fw_group_id fwg-001
fw_group_name 防火墙组名称信息，用于标识和展示对应资源的可读名称 防火墙组名称 fw_group_name 生产防火墙组
ip_version 相关的 IP 地址信息，用于网络行为追踪和安全分析 IP 版本 ip_version 4
ccn_id 云联网 ID 的唯一标识符，用于系统内部数据关联和查询 云联网 ID ccn_id –
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28

十二、互联网边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type netflow_border
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
cvm_id CVM 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CVM 实例 ID cvm_id ins-abc123
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 防火墙实例 ID instance_id cfw-ins-abc123
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 203.0.113.45
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 443
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain api.example.com
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 100
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 65536
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 80
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 40960
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 180
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 106496
ti_tag 威胁情报标签，用于标识和记录相关的业务数据 威胁情报标签 ti_tag –
ti_tag_en 威胁情报标签，用于标识和记录相关的业务数据 威胁情报标签 ti_tag_en –
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
count 相同事件在统计周期内的累计发生次数 计数 count 1
url 客户端请求的完整 URL 路径信息 URL url –
domain_flag 域名标记，用于标识和记录相关的业务数据 域名标记 domain_flag 0
port_status 端口状态信息，标识网络通信中使用的具体端口 端口状态 port_status 0
level 等级评估值，用于判断事件的严重程度 等级 level 0
bot_flag Bot 标记，用于标识和记录相关的业务数据 Bot 标记 bot_flag 0
dns_qr DNS QR 标志，用于标识和记录相关的业务数据 DNS QR 标志 dns_qr 0
dns_id DNS ID 的唯一标识符，用于系统内部数据关联和查询 DNS ID dns_id 0
dns_qname DNS 查询名，用于标识和记录相关的业务数据 DNS 查询名 dns_qname –
dns_qtype DNS 查询类型信息，用于分类和区分不同的业务场景 DNS 查询类型 dns_qtype 0
dns_rcode DNS 返回码，用于标识和记录相关的业务数据 DNS 返回码 dns_rcode 0
dns_rtype DNS 记录类型信息，用于分类和区分不同的业务场景 DNS 记录类型 dns_rtype 0
dns_rdata DNS 记录数据，用于标识和记录相关的业务数据 DNS 记录数据 dns_rdata –
dns_ttl DNS TTL，用于标识和记录相关的业务数据 DNS TTL dns_ttl 0
mode 模式（0 旁路，1 串行） 模式（0 旁路，1 串行） mode 1
argus_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 Argus IP argus_ip –
tcp_flag TCP 标志，用于标识和记录相关的业务数据 TCP 标志 tcp_flag 0
supplier 运营商，用于标识和记录相关的业务数据 运营商 supplier 电信
supplier_en 运营商，用于标识和记录相关的业务数据 运营商 supplier_en China Telecom
address 地址信息，标识网络通信中的地址位置 地址 address 中国广东省深圳市
address_en 地址信息，标识网络通信中的地址位置 地址 address_en Shenzhen, Guangdong, China
src_supplier 源运营商，用于标识和记录相关的业务数据 源运营商 src_supplier 电信
src_supplier_en 源运营商，用于标识和记录相关的业务数据 源运营商 src_supplier_en China Telecom
src_country 源国家，用于标识和记录相关的业务数据 源国家 src_country 中国
src_country_en 源国家，用于标识和记录相关的业务数据 源国家 src_country_en China
src_province 源省份，用于标识和记录相关的业务数据 源省份 src_province 广东省
src_province_en 源省份，用于标识和记录相关的业务数据 源省份 src_province_en Guangdong
src_city 源城市，用于标识和记录相关的业务数据 源城市 src_city 深圳市
src_address 源地址信息，标识网络通信中的地址位置 源地址 src_address 中国广东省深圳市
src_address_en 源地址信息，标识网络通信中的地址位置 源地址 src_address_en Shenzhen, Guangdong, China
src_lon 源经度，用于标识和记录相关的业务数据 源经度 src_lon 114.0579
src_lat 源纬度，用于标识和记录相关的业务数据 源纬度 src_lat 22.5431
dst_supplier 目标运营商，用于标识和记录相关的业务数据 目标运营商 dst_supplier –
dst_supplier_en 目标运营商，用于标识和记录相关的业务数据 目标运营商 dst_supplier_en –
dst_country 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country 美国
dst_country_en 目标国家，用于标识和记录相关的业务数据 目标国家 dst_country_en United States
dst_province 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province –
dst_province_en 目标省份，用于标识和记录相关的业务数据 目标省份 dst_province_en –
dst_city 目标城市，用于标识和记录相关的业务数据 目标城市 dst_city –
dst_address 目标地址信息，标识网络通信中的地址位置 目标地址 dst_address 美国
dst_address_en 目标地址信息，标识网络通信中的地址位置 目标地址 dst_address_en United States
dst_lon 目标经度，用于标识和记录相关的业务数据 目标经度 dst_lon -122.4194
dst_lat 目标纬度，用于标识和记录相关的业务数据 目标纬度 dst_lat 37.7749
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc –
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name –
is_serial 是否串行，用于标识和记录相关的业务数据 是否串行 is_serial 1

十三、内网流量

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type intranet_flow
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
ifId 接口 ID 的唯一标识符，用于系统内部数据关联和查询 接口 ID ifId if-001
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 3306
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
in_pkt_count 入包数，用于标识和记录相关的业务数据 入包数 in_pkt_count 100
in_pkt_len 入包字节数，用于标识和记录相关的业务数据 入包字节数 in_pkt_len 65536
out_pkt_count 出包数，用于标识和记录相关的业务数据 出包数 out_pkt_count 80
out_pkt_len 出包字节数，用于标识和记录相关的业务数据 出包字节数 out_pkt_len 40960
total_pkt_count 总包数，用于标识和记录相关的业务数据 总包数 total_pkt_count 180
total_pkt_len 总字节数，用于标识和记录相关的业务数据 总字节数 total_pkt_len 106496
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
action 防火墙对匹配流量执行的处置动作，如放行、拦截、观察等 动作 action accept
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc vpc-def456
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC

十五、DNS 开关

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type dns_acl
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间 hit_time 17xxxxxx27
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid 123456789
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
src_vpc 源 VPC ID 的唯一标识符，用于系统内部数据关联和查询 源 VPC ID src_vpc vpc-abc123
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol UDP
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.0.2
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 53
dst_vpc 目标 VPC ID 的唯一标识符，用于系统内部数据关联和查询 目标 VPC ID dst_vpc vpc-def456
strategy 匹配的策略动作 策略 strategy 阻断
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type NAT
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
detail 命中规则或审计事件的详细描述信息 详情 detail 命中 DNS 规则
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain malware.evil.com
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name –
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id –
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name –
payload 触发安全规则的原始攻击载荷内容，用于分析攻击手法和特征 载荷 payload dns query…
strategy_res 策略处置结果（英文值） 策略 strategy_res Block
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id 30001

十六、NAT 边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type vpc_acl/nat_acl
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.0.12
fws_id 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fws_id fws-abc123
nat_ins_name NAT 实例名称信息，用于标识和展示对应资源的可读名称 NAT 实例名称 nat_ins_name nat-fw-prod
index 日志在存储系统中的索引名称，通常包含日志类型和日期信息，用于数据检索 索引 index cfw_rule_vpcacl_2026012116
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid 123456789
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间 hit_time 17xxxxxx27
log_type 日志的类型标识，用于区分不同场景的日志数据 日志类型 log_type 1
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
dst_vpc 目标 VPC ID 的唯一标识符，用于系统内部数据关联和查询 目标 VPC ID dst_vpc vpc-def456
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 3306
fws_name 防火墙服务名称信息，用于标识和展示对应资源的可读名称 防火墙服务名称 fws_name vpc-fw-prod
src_vpc 源 VPC ID 的唯一标识符，用于系统内部数据关联和查询 源 VPC ID src_vpc vpc-abc123
strategy 匹配的策略动作 策略 strategy 放行
strategy_res 策略处置结果（英文值） 策略 strategy_res Allow
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type VPC/NAT
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
detail 命中规则或审计事件的详细描述信息 详情 detail 命中规则: 允许 VPC 间通信
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain db.internal.com
l7proto 七层协议信息，标识通信使用的协议标准 七层协议 l7proto MySQL
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
ew_ins_id 东西向防火墙实例 ID 的唯一标识符，用于系统内部数据关联和查询 东西向防火墙实例 ID ew_ins_id ew-ins-001
ew_ins_name 东西向防火墙实例名称信息，用于标识和展示对应资源的可读名称 东西向防火墙实例名称 ew_ins_name 东西向防火墙-1
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name db-server-01
fw_group_id 防火墙组 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙组 ID fw_group_id fwg-001
fw_group_name 防火墙组名称信息，用于标识和展示对应资源的可读名称 防火墙组名称 fw_group_name 生产防火墙组
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id 20001
ip_version 相关的 IP 地址信息，用于网络行为追踪和安全分析 IP 版本 ip_version 4
ccn_id 云联网 ID 的唯一标识符，用于系统内部数据关联和查询 云联网 ID ccn_id ccn-abc123
action 防火墙对匹配流量执行的处置动作，如放行、拦截、观察等 动作 action accept

十七、VPC 边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type vpc_acl/nat_acl
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.0.12
fws_id 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fws_id fws-abc123
nat_ins_name NAT 实例名称信息，用于标识和展示对应资源的可读名称 NAT 实例名称 nat_ins_name nat-fw-prod
index 日志在存储系统中的索引名称，通常包含日志类型和日期信息，用于数据检索 索引 index cfw_rule_vpcacl_2026012116
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid 123456789
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间 hit_time 17xxxxxx27
log_type 日志的类型标识，用于区分不同场景的日志数据 日志类型 log_type 1
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
dst_vpc 目标 VPC ID 的唯一标识符，用于系统内部数据关联和查询 目标 VPC ID dst_vpc vpc-def456
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 3306
fws_name 防火墙服务名称信息，用于标识和展示对应资源的可读名称 防火墙服务名称 fws_name vpc-fw-prod
src_vpc 源 VPC ID 的唯一标识符，用于系统内部数据关联和查询 源 VPC ID src_vpc vpc-abc123
strategy 匹配的策略动作 策略 strategy 放行
strategy_res 策略处置结果（英文值） 策略 strategy_res Allow
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type VPC/NAT
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
detail 命中规则或审计事件的详细描述信息 详情 detail 命中规则: 允许 VPC 间通信
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain db.internal.com
l7proto 七层协议信息，标识通信使用的协议标准 七层协议 l7proto MySQL
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
ew_ins_id 东西向防火墙实例 ID 的唯一标识符，用于系统内部数据关联和查询 东西向防火墙实例 ID ew_ins_id ew-ins-001
ew_ins_name 东西向防火墙实例名称信息，用于标识和展示对应资源的可读名称 东西向防火墙实例名称 ew_ins_name 东西向防火墙-1
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name db-server-01
fw_group_id 防火墙组 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙组 ID fw_group_id fwg-001
fw_group_name 防火墙组名称信息，用于标识和展示对应资源的可读名称 防火墙组名称 fw_group_name 生产防火墙组
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id 20001
ip_version 相关的 IP 地址信息，用于网络行为追踪和安全分析 IP 版本 ip_version 4
ccn_id 云联网 ID 的唯一标识符，用于系统内部数据关联和查询 云联网 ID ccn_id ccn-abc123
action 防火墙对匹配流量执行的处置动作，如放行、拦截、观察等 动作 action accept

十八、互联网边界

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type net_acl
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
src_content 事件中的源端信息内容，通常为攻击发起方的 IP 地址或域名 源内容 src_content 203.0.113.45
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 203.0.113.45
dst_content 事件中的目标端信息内容，通常为被攻击方的 IP 地址或域名 目标内容 dst_content 10.0.0.12
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.0.12
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 443
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
info 信息，用于标识和记录相关的业务数据 信息 info –
direction 流量方向 方向（0 出，1 入） direction 1
detail 命中规则或审计事件的详细描述信息 详情 detail 命中规则: 拒绝所有入站
rule_info 规则信息，用于标识和记录相关的业务数据 规则信息 rule_info deny all inbound
strategy 匹配的策略动作 策略 strategy 阻断
strategy_res 策略处置结果（英文值） 策略 strategy_res Block
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间（Unix 秒） hit_time 17xxxxxx27
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 防火墙实例 ID instance_id cfw-ins-abc123
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid uuid-xxxx-yyyy
uid 用户 ID 的唯一标识符，用于系统内部数据关联和查询 用户 ID uid 1000xxxx5678
index 日志在存储系统中的索引名称，通常包含日志类型和日期信息，用于数据检索 索引 index cfw_rule_acl_2026012116
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
mode 模式（0 旁路，1 串行） 模式（0 旁路，1 串行） mode 1
type 类型信息，用于分类和区分不同的业务场景 类型 type 0
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type EDGE
src_vpc 源 VPC ID 的唯一标识符，用于系统内部数据关联和查询 源 VPC ID src_vpc vpc-abc123
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc 目标 VPC ID 的唯一标识符，用于系统内部数据关联和查询 目标 VPC ID dst_vpc vpc-def456
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 测试 VPC
is_serial 是否串行，用于标识和记录相关的业务数据 是否串行 is_serial 1
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id 10001

20、Web 服务访问

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type ioa_web_access
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
cvm_id CVM 实例 ID 的唯一标识符，用于系统内部数据关联和查询 CVM 实例 ID cvm_id ins-abc123
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 443
proxy_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 代理 IP proxy_ip 10.0.0.100
proxy_port 代理端口信息，标识网络通信中使用的具体端口 代理端口 proxy_port 8080
req_uri 请求 URI，用于标识和记录相关的业务数据 请求 URI req_uri /api/v1/users
http_xff X-Forwarded-For，用于标识和记录相关的业务数据 X-Forwarded-For http_xff 10.0.1.5
pay_load 载荷，用于标识和记录相关的业务数据 载荷 pay_load –
status 当前事件或操作的处理状态，用于跟踪事件的生命周期 状态码 status 200
service 服务，用于标识和记录相关的业务数据 服务 service 1
access_type 访问类型信息，用于分类和区分不同的业务场景 访问类型 access_type 1
access_time 访问时间信息，记录事件发生或处理的具体时刻 访问时间 access_time 2026-01-21 16:57:07
request_time 客户端请求从到达 WAF 到返回响应所消耗的总时间，单位为秒 请求时间 request_time 0.045
user_id 用户 ID 的唯一标识符，用于系统内部数据关联和查询 用户 ID user_id 10001
user_corp_id 企业 ID 的唯一标识符，用于系统内部数据关联和查询 企业 ID user_corp_id corp-001
user_type 用户类型信息，用于分类和区分不同的业务场景 用户类型 user_type employee
wx_name 微信名，用于标识和记录相关的业务数据 微信名 wx_name 张三
openid OpenID 的唯一标识符，用于系统内部数据关联和查询 OpenID openid –
src_region 源地域，用于标识和记录相关的业务数据 源地域 src_region ap-guangzhou
dst_instance_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_instance_id ins-dst001
http_cookie HTTP 请求中携带的 Cookie 信息 Cookie http_cookie –
detail 命中规则或审计事件的详细描述信息 详情 detail –
upstream_bytes_sent 上游发送字节数，用于标识和记录相关的业务数据 上游发送字节数 upstream_bytes_sent 1024
upstream_bytes_received 上游接收字节数，用于标识和记录相关的业务数据 上游接收字节数 upstream_bytes_received 4096
upstream_connect_time 上游连接时间信息，记录事件发生或处理的具体时刻 上游连接时间 upstream_connect_time 0.012
src_region_en 源地域，用于标识和记录相关的业务数据 源地域 src_region_en Guangzhou
Domain 网络请求访问的目标域名信息 域名 Domain app.internal.com
uuid UUID 的唯一标识符，用于系统内部数据关联和查询 UUID uuid uuid-xxxx
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id rule-001
user_name 执行运维操作的用户名 用户名 user_name zhangsan
group_id_path 组织路径信息，标识文件系统或网络请求中的具体路径 组织路径 group_id_path /root/dept1
device_id 设备 ID 的唯一标识符，用于系统内部数据关联和查询 设备 ID device_id dev-001
mid MID 的唯一标识符，用于系统内部数据关联和查询 MID mid –
guid GUID 的唯一标识符，用于系统内部数据关联和查询 GUID guid –
device_name 设备名称信息，用于标识和展示对应资源的可读名称 设备名称 device_name MacBook-Pro
device_user_name 设备执行运维操作的用户名 设备用户名 device_user_name zhangsan
device_local_ip_list 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备本地 IP 列表 device_local_ip_list 192.168.1.100
device_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备 IP device_ip 10.0.1.5
device_group_name 设备组名称信息，用于标识和展示对应资源的可读名称 设备组名称 device_group_name 研发组
computer_name 计算机名，用于标识和记录相关的业务数据 计算机名 computer_name ZHANGSAN-PC
os 操作系统，用于标识和记录相关的业务数据 操作系统 os macOS
os_bits 系统位数，用于标识和记录相关的业务数据 系统位数 os_bits 64
os_version 系统版本信息，用于标识软件或协议的版本 系统版本 os_version 14.0
os_language 系统语言，用于标识和记录相关的业务数据 系统语言 os_language zh-CN
os_type 系统类型信息，用于分类和区分不同的业务场景 系统类型 os_type 2

21、数据库登录

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type ioa_operate_db
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
fws_id 防火墙服务 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙服务 ID fws_id fws-abc123
nat_ins_name NAT 实例名称信息，用于标识和展示对应资源的可读名称 NAT 实例名称 nat_ins_name nat-fw-prod
uuid 唯一标识，用于标识和记录相关的业务数据 唯一标识 uuid uuid-xxxx
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
src_vpc 源 VPC，用于标识和记录相关的业务数据 源 VPC src_vpc vpc-abc123
log_type 日志的类型标识，用于区分不同场景的日志数据 日志类型 log_type 1
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 3306
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc vpc-def456
fws_name 防火墙服务名称信息，用于标识和展示对应资源的可读名称 防火墙服务名称 fws_name vpc-fw-prod
strategy 匹配的策略动作 策略 strategy 放行
fw_type 防火墙类型信息，用于分类和区分不同的业务场景 防火墙类型 fw_type VPC
region 云资源所属的地域信息，如广州、上海、北京等数据中心所在区域 地域 region ap-guangzhou
direction 网络流量的传输方向，区分入站流量和出站流量 方向 direction 0
detail 详情（SQL 语句），用于标识和记录相关的业务数据 详情（SQL 语句） detail SELECT * FROM users
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
dst_domain 目标域名，用于标识和记录相关的业务数据 目标域名 dst_domain db.internal.com
l7proto 七层协议信息，标识通信使用的协议标准 七层协议 l7proto MySQL
src_vpc_name 源 VPC 名称信息，用于标识和展示对应资源的可读名称 源 VPC 名称 src_vpc_name 生产 VPC
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
ew_ins_id 东西向防火墙实例 ID 的唯一标识符，用于系统内部数据关联和查询 东西向防火墙实例 ID ew_ins_id ew-ins-001
ew_ins_name 东西向防火墙实例名称信息，用于标识和展示对应资源的可读名称 东西向防火墙实例名称 ew_ins_name 东西向防火墙-1
src_ins_id 源实例 ID 的唯一标识符，用于系统内部数据关联和查询 源实例 ID src_ins_id ins-src001
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
src_ins_name 源实例名称信息，用于标识和展示对应资源的可读名称 源实例名称 src_ins_name web-server-01
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name db-server-01
strategy_res 策略处置结果（英文值） 策略 strategy_res Allow
action 防火墙对匹配流量执行的处置动作，如放行、拦截、观察等 动作 action accept
fw_group_id 防火墙组 ID 的唯一标识符，用于系统内部数据关联和查询 防火墙组 ID fw_group_id fwg-001
fw_group_name 防火墙组名称信息，用于标识和展示对应资源的可读名称 防火墙组名称 fw_group_name 生产防火墙组
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id rule-001
user_name 执行运维操作的用户名 用户名 user_name zhangsan
device_id 设备 ID 的唯一标识符，用于系统内部数据关联和查询 设备 ID device_id dev-001
user_id 用户 ID 的唯一标识符，用于系统内部数据关联和查询 用户 ID user_id 10001
user_type 用户类型信息，用于分类和区分不同的业务场景 用户类型 user_type employee
group_id_path 组织路径信息，标识文件系统或网络请求中的具体路径 组织路径 group_id_path /root/dept1
mid MID 的唯一标识符，用于系统内部数据关联和查询 MID mid –
guid GUID 的唯一标识符，用于系统内部数据关联和查询 GUID guid –
device_name 设备名称信息，用于标识和展示对应资源的可读名称 设备名称 device_name MacBook-Pro
device_user_name 设备执行运维操作的用户名 设备用户名 device_user_name zhangsan
device_local_ip_list 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备本地 IP 列表 device_local_ip_list 192.168.1.100
device_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备 IP device_ip 10.0.1.5
device_group_name 设备组名称信息，用于标识和展示对应资源的可读名称 设备组名称 device_group_name 研发组
computer_name 计算机名，用于标识和记录相关的业务数据 计算机名 computer_name ZHANGSAN-PC
os 操作系统，用于标识和记录相关的业务数据 操作系统 os macOS
os_bits 系统位数，用于标识和记录相关的业务数据 系统位数 os_bits 64
os_version 系统版本信息，用于标识软件或协议的版本 系统版本 os_version 14.0
os_language 系统语言，用于标识和记录相关的业务数据 系统语言 os_language zh-CN
os_type 系统类型信息，用于分类和区分不同的业务场景 系统类型 os_type 2
session 会话 ID 的唯一标识符，用于系统内部数据关联和查询 会话 ID session sess-001

22、服务器访问

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type ioa_remote_om
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
service 服务，用于标识和记录相关的业务数据 服务 service SSH
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 22
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
user 用户，用于标识和记录相关的业务数据 用户 user zhangsan
corp_id 企业 ID 的唯一标识符，用于系统内部数据关联和查询 企业 ID corp_id corp-001
type 类型信息，用于分类和区分不同的业务场景 类型 type login
msg 消息，用于标识和记录相关的业务数据 消息 msg 登录成功
session 会话 ID 的唯一标识符，用于系统内部数据关联和查询 会话 ID session sess-001
ywid 业务 ID 的唯一标识符，用于系统内部数据关联和查询 业务 ID ywid 10001
filename 文件传输操作中涉及的文件名称 文件名 filename –
login_type 登录类型信息，用于分类和区分不同的业务场景 登录类型 login_type 1
address 地址信息，标识网络通信中的地址位置 地址 address 中国广东省深圳市
start_time 开始时间信息，记录事件发生或处理的具体时刻 开始时间 start_time 17xxxxxx00
end_time 结束时间信息，记录事件发生或处理的具体时刻 结束时间 end_time 17xxxxxx60
login_failed_type 登录失败类型信息，用于分类和区分不同的业务场景 登录失败类型 login_failed_type 0
address_en 地址信息，标识网络通信中的地址位置 地址 address_en Shenzhen, Guangdong, China
vpc_id VPC 私有网络的唯一标识 ID，用于区分不同的虚拟网络环境 VPC ID vpc_id vpc-abc123
vpc_name VPC 名称信息，用于标识和展示对应资源的可读名称 VPC 名称 vpc_name 生产 VPC
user_id 用户 ID 的唯一标识符，用于系统内部数据关联和查询 用户 ID user_id 10001
user_name 执行运维操作的用户名 用户名 user_name zhangsan
user_type 用户类型信息，用于分类和区分不同的业务场景 用户类型 user_type employee
group_id_path 组织路径信息，标识文件系统或网络请求中的具体路径 组织路径 group_id_path /root/dept1
uuid UUID 的唯一标识符，用于系统内部数据关联和查询 UUID uuid uuid-xxxx
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id rule-001
device_id 设备 ID 的唯一标识符，用于系统内部数据关联和查询 设备 ID device_id dev-001
mid MID 的唯一标识符，用于系统内部数据关联和查询 MID mid –
guid GUID 的唯一标识符，用于系统内部数据关联和查询 GUID guid –
device_name 设备名称信息，用于标识和展示对应资源的可读名称 设备名称 device_name MacBook-Pro
device_user_name 设备执行运维操作的用户名 设备用户名 device_user_name zhangsan
device_local_ip_list 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备本地 IP 列表 device_local_ip_list 192.168.1.100
device_ip 相关的 IP 地址信息，用于网络行为追踪和安全分析 设备 IP device_ip 10.0.1.5
device_group_name 设备组名称信息，用于标识和展示对应资源的可读名称 设备组名称 device_group_name 研发组
computer_name 计算机名，用于标识和记录相关的业务数据 计算机名 computer_name ZHANGSAN-PC
os 操作系统，用于标识和记录相关的业务数据 操作系统 os macOS
os_bits 系统位数，用于标识和记录相关的业务数据 系统位数 os_bits 64
os_version 系统版本信息，用于标识软件或协议的版本 系统版本 os_version 14.0
os_language 系统语言，用于标识和记录相关的业务数据 系统语言 os_language zh-CN
os_type 系统类型信息，用于分类和区分不同的业务场景 系统类型 os_type 2

23、行为审计

字段名 字段说明 中文名 英文名 示例
appid 租户的应用 ID 租户应用 ID appid 13xxxxxx01
source_time 原始日志的产生时间 原始日志时间 source_time 2026-01-21T16:57:07+08:00
event_time 事件被系统处理或记录的时间，使用 Unix 时间戳格式（秒） 事件处理时间（Unix 秒） event_time 17xxxxxx27
cls_event_type CLS 日志的子类型 CLS 日志子类型 cls_event_type ioa_remoteom_commands
cls_event_timestamp CLS 日志服务记录事件的时间戳，精确到毫秒级别 CLS 事件时间戳（毫秒） cls_event_timestamp 1769072227123
src_ip 网络连接的源 IP 地址，即发起请求或攻击的一方 IP 源 IP src_ip 10.0.1.5
src_port 网络连接的源端口号，表示发起方使用的通信端口 源端口 src_port 54321
dst_ip 网络连接的目标 IP 地址，即接收请求或被攻击的一方 IP 目标 IP dst_ip 10.0.2.10
dst_port 网络连接的目标端口号，表示接收方监听的服务端口 目标端口 dst_port 22
protocol 网络通信使用的传输层协议类型，如 TCP、UDP、ICMP 等 协议 protocol TCP
service_type 服务类型（SSH/DB/WEB） 服务类型（SSH/DB/WEB） service_type SSH
session 会话 ID 的唯一标识符，用于系统内部数据关联和查询 会话 ID session sess-001
strategy 匹配的策略动作 策略 strategy 放行
strategy_res 策略处置结果（英文值） 策略 strategy_res Allow
asset_service_type 资产服务类型信息，用于分类和区分不同的业务场景 资产服务类型 asset_service_type SSH
instance_id 云防火墙实例的唯一标识 ID，用于区分不同的防火墙实例 实例 ID instance_id cfw-ins-abc123
dst_vpc 目标实例所属的 VPC ID 目标 VPC dst_vpc vpc-def456
dst_vpc_name 目标 VPC 名称信息，用于标识和展示对应资源的可读名称 目标 VPC 名称 dst_vpc_name 数据库 VPC
dst_ins_id 目标实例 ID 的唯一标识符，用于系统内部数据关联和查询 目标实例 ID dst_ins_id ins-dst001
dst_ins_name 目标实例名称信息，用于标识和展示对应资源的可读名称 目标实例名称 dst_ins_name db-server-01
user_id 用户 ID 的唯一标识符，用于系统内部数据关联和查询 用户 ID user_id 10001
user_type 用户类型信息，用于分类和区分不同的业务场景 用户类型 user_type employee
user_name 执行运维操作的用户名 用户名 user_name zhangsan
group_id_path 组织路径信息，标识文件系统或网络请求中的具体路径 组织路径 group_id_path /root/dept1
uuid UUID 的唯一标识符，用于系统内部数据关联和查询 UUID uuid uuid-xxxx
rule_id 触发告警或拦截的安全规则唯一 ID，用于定位具体的检测规则 规则 ID rule_id rule-001
detail 命中规则或审计事件的详细描述信息 详情 detail –
command_rule_uuid 命令规则 UUID 的唯一标识符，用于系统内部数据关联和查询 命令规则 UUID command_rule_uuid cmd-rule-001
command_rule_id 命令规则 ID 的唯一标识符，用于系统内部数据关联和查询 命令规则 ID command_rule_id 1001
command_rule_detail 命中的命令审计规则的具体内容描述 命令规则详情 command_rule_detail 禁止 rm -rf
device_name 设备名称信息，用于标识和展示对应资源的可读名称 设备名称 device_name MacBook-Pro
device_id 设备 ID 的唯一标识符，用于系统内部数据关联和查询 设备 ID device_id dev-001
command 用户在目标设备上执行的具体命令内容 执行命令 command ls -al /data
script_time SSH 回放跳转时间点信息，记录事件发生或处理的具体时刻 SSH 回放跳转时间点 script_time 00:01:23
db_rows DB 查询返回行数/影响行数 数据库影响行数 db_rows 0
cost_time 操作命令或数据库查询的执行耗时，单位为毫秒 执行时间(ms) cost_time 50
http_host HTTP 请求的目标主机地址 HTTP Host http_host –
http_url HTTP 请求的完整 URL 路径 HTTP URL http_url –
http_accept HTTP 请求头中的 Accept 字段，标识客户端可接受的响应内容类型 HTTP Accept http_accept –
http_accept_encoding HTTP 请求头中的 Accept-Encoding 字段，标识客户端支持的压缩编码方式 HTTP Accept-Encoding http_accept_encoding –
http_accept_language HTTP 请求头中的 Accept-Language 字段，标识客户端偏好的语言 HTTP Accept-Language http_accept_language –
http_content HTTP 请求或响应的正文内容 HTTP Content http_content –
http_content_type HTTP 请求或响应的内容类型（如 application/json、text/html） HTTP Content-Type http_content_type –
http_request_body HTTP 请求的消息体内容 HTTP 请求体 http_request_body –
http_request_header HTTP 请求的完整头部信息 HTTP 请求头 http_request_header –
http_response_body HTTP 响应的消息体内容 HTTP 响应体 http_response_body –
http_response_header HTTP 响应的完整头部信息 HTTP 响应头 http_response_header –
http_cookie HTTP 请求中携带的 Cookie 信息 Cookie http_cookie –
http_refer HTTP 请求头中的 Referer 字段，标识请求来源页面 HTTP Referer http_refer –
http_x_forwarded_for 经过代理转发后记录的客户端原始 IP 地址链 X-Forwarded-For http_x_forwarded_for –
http_user_agent User-Agent，用于标识和记录相关的业务数据 User-Agent http_user_agent –
http_method HTTP 方法，用于标识和记录相关的业务数据 HTTP 方法 http_method –
http_status HTTP 状态码信息，反映当前对象或事件的处理进展 HTTP 状态码 http_status –
http_server HTTP Server，用于标识和记录相关的业务数据 HTTP Server http_server –
http_protocol HTTP 协议版本信息，用于标识软件或协议的版本 HTTP 协议版本 http_protocol –
hit_time 规则命中或事件触发的时间点，使用 Unix 时间戳格式（秒） 命中时间 hit_time 17xxxxxx27
insert_time 日志入库时间（Unix 时间戳，单位：秒） 插入时间 insert_time 17xxxxxx28

相关内容：

  1. 云安全中心 堡垒机 堡垒机相关的日志类型及字段说明，包括命令执行日志、文件传输日志、产品登录日志、资产登录日志等日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。...
  2. 云安全中心 Web应用防火墙 Web 应用防火墙（WAF）相关的日志类型及字段说明，包括访问日志、攻击日志等日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。...
  3. 云安全中心 云安全中心相关的日志类型及字段说明，包括端口风险日志、漏洞风险日志、配置风险日志、弱口令风险日志、服务暴露风险日志、内容风险日志、COS 告警日志、COS 原始访问日志、COS 敏感数据识别结果日志、AKSK API 审计日志、CAM 审计日志、AKSK 告警日志、AI Agent 网络审计日志等日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。...
  4. 云安全中心 容器安全 容器安全相关的日志类型及字段说明，包括 K8s API 审计日志、仓库镜像风险、基线管理、容器 bash 日志、容器启动审计、容器资产、应用 web 资产、本地镜像风险、运行时安全、进程端口资产、镜像拦截事件、集群安全管理、集群资产、高级防御等日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。...
  5. 云安全中心 主机安全 主机 EDR 相关的日志类型及字段说明，包括主机列表日志、入侵检测日志、基线管理、客户端相关日志、应用日志、文件日志、漏洞管理、登录流水日志、系统日志、网络日志、资产指纹、进程日志、高级防御等日志的内容和概述，以及各类日志中具体字段的名称、说明、中英文名和示例。...
  6. 云安全中心 对象存储风险监测 接口请求域名： csip.tencentcloudapi.com 。推荐使用 API Explorer 点击调试 API Explorer 提供了在线调用、签名验证、SDK 代码生成和快速检索接口等能力。可以查看每次调用的请求内容和返回结果以及自动生成 SDK 调用示例。...
  7. 云安全中心 内核级 Hook 能力说明 云安全中心 Linux 客户端使用 eBPF，在内核中采集主机网络行为。采集在内核态完成，不修改业务进程。这篇说明这组采集的前提，以及已经验证可以完整采集的内核版本。...
  8. 云安全中心 资产列表（对象存储风险监测） 资产列表模块是对象存储异常监测的核心资产管理区域，集中展示纳管资产的详细信息、风险状态等。这篇将详细描述相关操作。...
赞 (0)
上一篇 5天前
下一篇 5天前