处理来自 AWS 的日志的模块。
来自 AWS 日志的字段。
AWS CloudTrail 日志的字段。
-
aws.cloudtrail.event_version -
日志事件格式的 CloudTrail 版本。
类型：keyword
userIdentity 元素包含有关发出请求的 IAM 身份类型的详细信息，以及使用了哪些凭证。如果使用了临时凭证，则该元素会显示如何获取这些凭证。
-
aws.cloudtrail.user_identity.type -
身份的类型
类型：keyword
-
aws.cloudtrail.user_identity.arn -
发出调用的主体的 Amazon 资源名称 (ARN)。
类型：keyword
-
aws.cloudtrail.user_identity.access_key_id -
用于对请求进行签名的访问密钥 ID。
类型：keyword
如果使用临时安全凭证发出请求，则为一个元素，提供有关为这些凭证创建的会话的信息
-
aws.cloudtrail.user_identity.session_context.mfa_authenticated -
如果用于请求的凭证的根用户或 IAM 用户也通过 MFA 设备进行了身份验证，则值为 true；否则为 false。
类型：keyword
-
aws.cloudtrail.user_identity.session_context.creation_date -
发出临时安全凭证的日期和时间。
类型：date
如果使用临时安全凭证发出请求，则为一个元素，提供有关如何获取这些凭证的信息。
-
aws.cloudtrail.user_identity.session_context.session_issuer.type -
临时安全凭证的来源，例如 Root、IAMUser 或 Role。
类型：keyword
-
aws.cloudtrail.user_identity.session_context.session_issuer.principal_id -
用于获取凭证的实体的内部 ID。
类型：keyword
-
aws.cloudtrail.user_identity.session_context.session_issuer.arn -
用于获取临时安全凭证的来源（帐户、IAM 用户或角色）的 ARN。
类型：keyword
-
aws.cloudtrail.user_identity.session_context.session_issuer.account_id -
拥有用于获取凭证的实体的帐户。
类型：keyword
-
aws.cloudtrail.user_identity.invoked_by -
发出请求的 AWS 服务的名称，例如 Amazon EC2 Auto Scaling 或 AWS Elastic Beanstalk。
类型：keyword
-
aws.cloudtrail.error_code -
如果请求返回错误，则为 AWS 服务错误。
类型：keyword
-
aws.cloudtrail.error_message -
如果请求返回错误，则为错误的描述。
类型：keyword
-
aws.cloudtrail.request_parameters -
与请求一起发送的参数（如果有）。
类型：keyword
-
aws.cloudtrail.request_parameters.text -
类型：text
-
aws.cloudtrail.response_elements -
对进行更改的操作（创建、更新或删除操作）的响应元素。
类型：keyword
-
aws.cloudtrail.response_elements.text -
类型：text
-
aws.cloudtrail.additional_eventdata -
有关事件的其他数据，这些数据不是请求或响应的一部分。
类型：keyword
-
aws.cloudtrail.additional_eventdata.text -
类型：text
-
aws.cloudtrail.request_id -
标识请求的值。被调用的服务生成此值。
类型：keyword
-
aws.cloudtrail.event_type -
标识生成事件记录的事件类型。
类型：keyword
-
aws.cloudtrail.api_version -
标识与 AwsApiCall eventType 值关联的 API 版本。
类型：keyword
-
aws.cloudtrail.management_event -
一个布尔值，标识事件是否为管理事件。
类型：keyword
-
aws.cloudtrail.read_only -
标识此操作是否为只读操作。
类型：keyword
事件中访问的资源列表。
-
aws.cloudtrail.resources.arn -
资源 ARN
类型：keyword
-
aws.cloudtrail.resources.account_id -
资源所有者的帐户 ID
类型：keyword
-
aws.cloudtrail.resources.type -
资源类型标识符，格式为：AWS::aws-service-name::data-type-name
类型：keyword
-
aws.cloudtrail.recipient_account_id -
表示接收此事件的帐户 ID。
类型：keyword
-
aws.cloudtrail.service_event_details -
标识服务事件，包括触发事件的原因和结果。
类型：keyword
-
aws.cloudtrail.service_event_details.text -
类型：text
-
aws.cloudtrail.shared_event_id -
由 CloudTrail 生成的 GUID，用于唯一标识来自同一 AWS 操作的 CloudTrail 事件，这些事件发送到不同的 AWS 帐户。
类型：keyword
-
aws.cloudtrail.vpc_endpoint_id -
标识从 VPC 到另一个 AWS 服务（例如 Amazon S3）发出请求的 VPC 端点。
类型：keyword
-
aws.cloudtrail.event_category -
显示在 LookupEvents 调用中使用的事件类别。
- 对于管理事件，值为 management。
- 对于数据事件，值为 data。
- 对于 Insights 事件，值为 insight。
类型：keyword
特定于 ConsoleLogin 事件的字段
ConsoleLogin 事件的其他事件数据
-
aws.cloudtrail.console_login.additional_eventdata.mobile_version -
标识 ConsoleLogin 是否来自移动版本
类型：boolean
-
aws.cloudtrail.console_login.additional_eventdata.login_to -
ConsoleLogin 的 URL
类型：keyword
-
aws.cloudtrail.console_login.additional_eventdata.mfa_used -
标识在 ConsoleLogin 期间是否使用了多因素身份验证
类型：boolean
对于对象，ES 展平的数据类型，其中事先未知子字段。
-
aws.cloudtrail.flattened.additional_eventdata -
有关事件的其他数据，这些数据不是请求或响应的一部分。
类型：flattened
-
aws.cloudtrail.flattened.request_parameters -
与请求一起发送的参数（如果有）。
类型：flattened
-
aws.cloudtrail.flattened.response_elements -
对进行更改的操作（创建、更新或删除操作）的响应元素。
类型：flattened
-
aws.cloudtrail.flattened.service_event_details -
标识服务事件，包括触发事件的原因和结果。
类型：flattened
来自 Cloudtrail 摘要日志的字段
-
aws.cloudtrail.digest.log_files -
摘要中包含的日志文件列表。
类型：nested
-
aws.cloudtrail.digest.start_time -
摘要文件涵盖的起始 UTC 时间范围，以 CloudTrail 传送日志文件的时间为参考。
类型：date
-
aws.cloudtrail.digest.end_time -
摘要文件涵盖的结束 UTC 时间范围，以 CloudTrail 传送日志文件的时间为参考。
类型：date
-
aws.cloudtrail.digest.s3_bucket -
已将当前摘要文件传送到的 Amazon S3 存储桶的名称。
类型：keyword
-
aws.cloudtrail.digest.s3_object -
当前摘要文件的 Amazon S3 对象键（即 Amazon S3 存储桶位置）。
类型：keyword
-
aws.cloudtrail.digest.newest_event_time -
摘要中所有日志文件中的最新事件的 UTC 时间。
类型：date
-
aws.cloudtrail.digest.oldest_event_time -
摘要中所有日志文件中的最旧事件的 UTC 时间。
类型：date
-
aws.cloudtrail.digest.previous_s3_bucket -
已将上一个摘要文件传送到的 Amazon S3 存储桶。
类型：keyword
-
aws.cloudtrail.digest.previous_hash_algorithm -
用于对上一个摘要文件进行散列的散列算法的名称。
类型：keyword
-
aws.cloudtrail.digest.public_key_fingerprint -
与用于签署此摘要文件的私钥匹配的公钥的十六进制编码指纹。
类型：keyword
-
aws.cloudtrail.digest.signature_algorithm -
用于签署摘要文件的算法。
类型：keyword
-
aws.cloudtrail.insight_details -
显示有关 Insights 事件的潜在触发器的信息，例如事件源、用户代理、统计信息、API 名称以及事件是 Insights 事件的开始还是结束。
类型：flattened
AWS CloudWatch 日志的字段。
-
aws.cloudwatch.message -
CloudWatch 日志消息。
类型：text
CloudWatch 中 AWS EC2 日志的字段。
-
aws.ec2.ip_address -
请求者的互联网地址。
类型：keyword
AWS ELB 日志的字段。
-
aws.elb.name -
负载均衡器的名称。
类型：keyword
-
aws.elb.type -
v2 负载均衡器的负载均衡器类型。
类型：keyword
-
aws.elb.target_group.arn -
处理请求的目标组的 ARN。
类型：keyword
-
aws.elb.listener -
接收连接的 ELB 侦听器。
类型：keyword
-
aws.elb.protocol -
负载均衡器的协议（http 或 tcp）。
类型：keyword
-
aws.elb.request_processing_time.sec -
从接收连接或请求到将其发送到注册的后端，以秒为单位的总时间。
类型：float
-
aws.elb.backend_processing_time.sec -
从将连接发送到后端到后端开始响应，以秒为单位的总时间。
类型：float
-
aws.elb.response_processing_time.sec -
从从后端接收响应到将其发送到客户端，以秒为单位的总时间。
类型：float
-
aws.elb.connection_time.ms -
连接的总时间（以毫秒为单位），从打开到关闭。
类型：long
-
aws.elb.tls_handshake_time.ms -
建立连接后，TLS 握手完成的总时间（以毫秒为单位）。
类型：long
-
aws.elb.backend.ip -
处理此连接的后端的 IP 地址。
类型：keyword
-
aws.elb.backend.port -
处理此连接的后端的端口。
类型：keyword
-
aws.elb.backend.http.response.status_code -
来自后端的状态代码（从 ELB 发送到客户端的状态代码存储在
http.response.status_code中类型：keyword
-
aws.elb.ssl_cipher -
在 TLS/SSL 连接中使用的 SSL 密码。
类型：keyword
-
aws.elb.ssl_protocol -
在 TLS/SSL 连接中使用的 SSL 协议。
类型：keyword
-
aws.elb.chosen_cert.arn -
在 TLS/SSL 连接中呈现给客户端的所选证书的 ARN。
类型：keyword
-
aws.elb.chosen_cert.serial -
在 TLS/SSL 连接中呈现给客户端的所选证书的序列号。
类型：keyword
-
aws.elb.incoming_tls_alert -
如果存在，则为负载均衡器从客户端接收到的 TLS 警报的整数值。
类型：keyword
-
aws.elb.tls_named_group -
TLS 命名组。
类型：keyword
-
aws.elb.trace_id -
X-Amzn-Trace-Id标头的内容。类型：keyword
-
aws.elb.matched_rule_priority -
如果规则匹配，则匹配请求的规则的优先级值。
类型：keyword
-
aws.elb.action_executed -
处理请求时执行的操作（转发、固定响应、身份验证……）。它可以包含多个值。
类型：keyword
-
aws.elb.redirect_url -
如果执行了重定向操作，则使用此 URL。
类型：keyword
-
aws.elb.error.reason -
如果执行的操作失败，则为错误原因。
类型：keyword
-
aws.elb.target_port -
处理此请求的目标的 IP 地址和端口列表。
类型：keyword
-
aws.elb.target_status_code -
目标响应的状态代码列表。
类型：keyword
-
aws.elb.classification -
用于不同步缓解的分类。
类型：keyword
-
aws.elb.classification_reason -
分类原因代码。
类型：keyword
AWS S3 服务器访问日志的字段。
-
aws.s3access.bucket_owner -
源存储桶所有者的规范用户 ID。
类型：keyword
-
aws.s3access.bucket -
针对其处理请求的存储桶名称。
类型：keyword
-
aws.s3access.remote_ip -
请求者的明显互联网地址。
type: ip
-
aws.s3access.requester -
请求者的规范用户 ID，或对于未经身份验证的请求，则为 -。
类型：keyword
-
aws.s3access.request_id -
Amazon S3 生成的用于唯一标识每个请求的字符串。
类型：keyword
-
aws.s3access.operation -
此处列出的操作声明为 SOAP.operation、REST.HTTP_method.resource_type、WEBSITE.HTTP_method.resource_type 或 BATCH.DELETE.OBJECT。
类型：keyword
-
aws.s3access.key -
请求的“键”部分，URL 编码，或者如果操作不采用键参数，则为“-”。
类型：keyword
-
aws.s3access.request_uri -
HTTP 请求消息的 Request-URI 部分。
类型：keyword
-
aws.s3access.http_status -
响应的数字 HTTP 状态代码。
类型：long
-
aws.s3access.error_code -
Amazon S3 错误代码，或者如果未发生错误，则为“-”。
类型：keyword
-
aws.s3access.bytes_sent -
发送的响应字节数，不包括 HTTP 协议开销，或者如果为零，则为“-”。
类型：long
-
aws.s3access.object_size -
相关对象的总大小。
类型：long
-
aws.s3access.total_time -
从服务器的角度来看，请求在飞行中的毫秒数。
类型：long
-
aws.s3access.turn_around_time -
Amazon S3 花费在处理您的请求上的毫秒数。
类型：long
-
aws.s3access.referrer -
如果存在，则为 HTTP Referrer 标头的值。
类型：keyword
-
aws.s3access.user_agent -
HTTP User-Agent 标头的值。
类型：keyword
-
aws.s3access.version_id -
请求中的版本 ID，或者如果操作不采用 versionId 参数，则为“-”。
类型：keyword
-
aws.s3access.host_id -
x-amz-id-2 或 Amazon S3 扩展请求 ID。
类型：keyword
-
aws.s3access.signature_version -
用于对请求进行身份验证的签名版本，SigV2 或 SigV4，或对于未经身份验证的请求，则为 -。
类型：keyword
-
aws.s3access.cipher_suite -
为 HTTPS 请求协商的安全套接字层 (SSL) 密码，或对于 HTTP，则为 -。
类型：keyword
-
aws.s3access.authentication_type -
使用的请求身份验证类型，AuthHeader 用于身份验证标头，QueryString 用于查询字符串（预签名 URL），或对于未经身份验证的请求，则为 -。
类型：keyword
-
aws.s3access.host_header -
用于连接到 Amazon S3 的端点。
类型：keyword
-
aws.s3access.tls_version -
客户端协商的传输层安全 (TLS) 版本。
类型：keyword
AWS VPC 流日志的字段。
-
aws.vpcflow.version -
VPC 流日志版本。如果您使用默认格式，则版本为 2。如果您指定自定义格式，则版本为 3。
类型：keyword
-
aws.vpcflow.account_id -
流日志的 AWS 账户 ID。
类型：keyword
-
aws.vpcflow.interface_id -
记录流量的网络接口的 ID。
类型：keyword
-
aws.vpcflow.action -
与流量关联的操作，ACCEPT 或 REJECT。
类型：keyword
-
aws.vpcflow.log_status -
流日志的日志记录状态，OK、NODATA 或 SKIPDATA。
类型：keyword
-
aws.vpcflow.instance_id -
与记录流量的网络接口关联的实例的 ID（如果该实例由您拥有）。
类型：keyword
-
aws.vpcflow.pkt_srcaddr -
流量的包级（原始）源 IP 地址。
type: ip
-
aws.vpcflow.pkt_dstaddr -
流量的包级（原始）目标 IP 地址。
type: ip
-
aws.vpcflow.vpc_id -
包含记录流量的网络接口的 VPC 的 ID。
类型：keyword
-
aws.vpcflow.subnet_id -
包含记录流量的网络接口的子网的 ID。
类型：keyword
-
aws.vpcflow.tcp_flags -
以下 TCP 标志的位掩码值：2=SYN、18=SYN-ACK、1=FIN、4=RST
类型：keyword
-
aws.vpcflow.tcp_flags_array -
TCP 标志列表：fin、syn、rst、psh、ack、urg
类型：keyword
-
aws.vpcflow.type -
流量类型：IPv4、IPv6 或 EFA。
类型：keyword