New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« Auditd 字段 AWS CloudWatch 字段 »
Elastic 文档 ›Filebeat 参考 [8.17] ›导出的字段

AWS 字段

AWS 字段

用于处理来自 AWS 的日志的模块。

aws

来自 AWS 日志的字段。

cloudtrail

用于 AWS CloudTrail 日志的字段。

aws.cloudtrail.event_version

日志事件格式的 CloudTrail 版本。

类型: keyword

user_identity

userIdentity 元素包含有关发出请求的 IAM 身份类型以及使用的凭据的详细信息。如果使用了临时凭据，则该元素会显示如何获得凭据。

aws.cloudtrail.user_identity.type

身份的类型

类型: keyword

aws.cloudtrail.user_identity.arn

发出调用的主体的 Amazon 资源名称 (ARN)。

类型: keyword

aws.cloudtrail.user_identity.access_key_id

用于签署请求的访问密钥 ID。

类型: keyword

session_context

如果请求是使用临时安全凭据发出的，则提供有关为这些凭据创建的会话的信息的元素。

aws.cloudtrail.user_identity.session_context.mfa_authenticated

如果请求使用的根用户或 IAM 用户凭据也通过 MFA 设备进行了身份验证，则该值为 true；否则为 false。

类型: keyword

aws.cloudtrail.user_identity.session_context.creation_date

颁发临时安全凭据的日期和时间。

类型: date

session_issuer

如果请求是使用临时安全凭据发出的，则提供有关如何获得凭据的信息的元素。

aws.cloudtrail.user_identity.session_context.session_issuer.type

临时安全凭据的来源，例如根用户、IAM 用户或角色。

类型: keyword

aws.cloudtrail.user_identity.session_context.session_issuer.principal_id

用于获取凭据的实体的内部 ID。

类型: keyword

aws.cloudtrail.user_identity.session_context.session_issuer.arn

用于获取临时安全凭据的来源（账户、IAM 用户或角色）的 ARN。

类型: keyword

aws.cloudtrail.user_identity.session_context.session_issuer.account_id

拥有用于获取凭据的实体的账户。

类型: keyword

aws.cloudtrail.user_identity.invoked_by

发出请求的 AWS 服务的名称，例如 Amazon EC2 Auto Scaling 或 AWS Elastic Beanstalk。

类型: keyword

aws.cloudtrail.error_code

如果请求返回错误，则为 AWS 服务错误。

类型: keyword

aws.cloudtrail.error_message

如果请求返回错误，则为错误的描述。

类型: keyword

aws.cloudtrail.request_parameters

随请求发送的参数（如果有）。

类型: keyword

aws.cloudtrail.request_parameters.text

类型: text

aws.cloudtrail.response_elements

用于进行更改（创建、更新或删除操作）的操作的响应元素。

类型: keyword

aws.cloudtrail.response_elements.text

类型: text

aws.cloudtrail.additional_eventdata

有关事件的其他数据，这些数据不是请求或响应的一部分。

类型: keyword

aws.cloudtrail.additional_eventdata.text

类型: text

aws.cloudtrail.request_id

标识请求的值。被调用的服务会生成此值。

类型: keyword

aws.cloudtrail.event_type

标识生成事件记录的事件类型。

类型: keyword

aws.cloudtrail.api_version

标识与 AwsApiCall eventType 值关联的 API 版本。

类型: keyword

aws.cloudtrail.management_event

一个布尔值，用于标识事件是否为管理事件。

类型: keyword

aws.cloudtrail.read_only

标识此操作是否为只读操作。

类型: keyword

resources

事件中访问的资源列表。

aws.cloudtrail.resources.arn

资源 ARN

类型: keyword

aws.cloudtrail.resources.account_id

资源所有者的账户 ID

类型: keyword

aws.cloudtrail.resources.type

资源类型标识符，格式为：AWS::aws-service-name::data-type-name

类型: keyword

aws.cloudtrail.recipient_account_id

表示接收此事件的账户 ID。

类型: keyword

aws.cloudtrail.service_event_details

标识服务事件，包括触发事件的原因和结果。

类型: keyword

aws.cloudtrail.service_event_details.text

类型: text

aws.cloudtrail.shared_event_id

CloudTrail 生成的 GUID，用于唯一标识发送到不同 AWS 账户的同一 AWS 操作的 CloudTrail 事件。

类型: keyword

aws.cloudtrail.vpc_endpoint_id

标识从 VPC 到另一个 AWS 服务（例如 Amazon S3）发出请求的 VPC 终端节点。

类型: keyword

aws.cloudtrail.event_category

显示 LookupEvents 调用中使用的事件类别。

  • 对于管理事件，该值为 management。
  • 对于数据事件，该值为 data。
  • 对于 Insights 事件，该值为 insight。

类型: keyword

console_login

ConsoleLogin 事件的特定字段

additional_eventdata

ConsoleLogin 事件的其他事件数据

aws.cloudtrail.console_login.additional_eventdata.mobile_version

标识 ConsoleLogin 是否来自移动版本

类型: boolean

aws.cloudtrail.console_login.additional_eventdata.login_to

ConsoleLogin 的 URL

类型: keyword

aws.cloudtrail.console_login.additional_eventdata.mfa_used

标识在 ConsoleLogin 期间是否使用了多因素身份验证

类型: boolean

flattened

ES flattened 数据类型，用于提前不知道子字段的对象。

aws.cloudtrail.flattened.additional_eventdata

有关事件的其他数据，这些数据不是请求或响应的一部分。

类型: flattened

aws.cloudtrail.flattened.request_parameters

随请求发送的参数（如果有）。

类型: flattened

aws.cloudtrail.flattened.response_elements

用于进行更改（创建、更新或删除操作）的操作的响应元素。

类型: flattened

aws.cloudtrail.flattened.service_event_details

标识服务事件，包括触发事件的原因和结果。

类型: flattened

digest

来自 Cloudtrail Digest 日志的字段

aws.cloudtrail.digest.log_files

摘要中包含的日志文件列表。

类型: nested

aws.cloudtrail.digest.start_time

摘要文件涵盖的起始 UTC 时间范围，以 CloudTrail 交付日志文件的时间为参考。

类型: date

aws.cloudtrail.digest.end_time

摘要文件涵盖的结束 UTC 时间范围，以 CloudTrail 交付日志文件的时间为参考。

类型: date

aws.cloudtrail.digest.s3_bucket

当前摘要文件已交付到的 Amazon S3 存储桶的名称。

类型: keyword

aws.cloudtrail.digest.s3_object

当前摘要文件的 Amazon S3 对象键（即 Amazon S3 存储桶位置）。

类型: keyword

aws.cloudtrail.digest.newest_event_time

摘要中日志文件中所有事件中最近事件的 UTC 时间。

类型: date

aws.cloudtrail.digest.oldest_event_time

摘要中日志文件中所有事件中最旧事件的 UTC 时间。

类型: date

aws.cloudtrail.digest.previous_s3_bucket

上一个摘要文件交付到的 Amazon S3 存储桶。

类型: keyword

aws.cloudtrail.digest.previous_hash_algorithm

用于哈希上一个摘要文件的哈希算法的名称。

类型: keyword

aws.cloudtrail.digest.public_key_fingerprint

与用于签署此摘要文件的私钥匹配的公钥的十六进制编码指纹。

类型: keyword

aws.cloudtrail.digest.signature_algorithm

用于签署摘要文件的算法。

类型: keyword

aws.cloudtrail.insight_details

显示有关 Insights 事件的底层触发器的信息，例如事件源、用户代理、统计信息、API 名称以及事件是 Insights 事件的开始还是结束。

类型: flattened

cloudwatch

用于 AWS CloudWatch 日志的字段。

aws.cloudwatch.message

CloudWatch 日志消息。

类型: text

ec2

用于 CloudWatch 中 AWS EC2 日志的字段。

aws.ec2.ip_address

请求者的互联网地址。

类型: keyword

elb

用于 AWS ELB 日志的字段。

aws.elb.name

负载均衡器的名称。

类型: keyword

aws.elb.type

用于 v2 负载均衡器的负载均衡器类型。

类型: keyword

aws.elb.target_group.arn

处理请求的目标组的 ARN。

类型: keyword

aws.elb.listener

接收连接的 ELB 侦听器。

类型: keyword

aws.elb.protocol

负载均衡器的协议（http 或 tcp）。

类型: keyword

aws.elb.request_processing_time.sec

自接收到连接或请求到将其发送到已注册后端，以秒为单位的总时间。

类型: float

aws.elb.backend_processing_time.sec

自将连接发送到后端到后端开始响应，以秒为单位的总时间。

类型: float

aws.elb.response_processing_time.sec

自接收到来自后端的响应到将其发送到客户端，以秒为单位的总时间。

类型: float

aws.elb.connection_time.ms

自打开连接到关闭连接，以毫秒为单位的连接总时间。

类型: long

aws.elb.tls_handshake_time.ms

一旦建立连接，TLS 握手完成的总时间（以毫秒为单位）。

类型: long

aws.elb.backend.ip

处理此连接的后端的 IP 地址。

类型: keyword

aws.elb.backend.port

处理此连接的后端中的端口。

类型: keyword

aws.elb.backend.http.response.status_code

来自后端的状态代码（从 ELB 发送到客户端的状态代码存储在 http.response.status_code 中）

类型: keyword

aws.elb.ssl_cipher

TLS/SSL 连接中使用的 SSL 密码。

类型: keyword

aws.elb.ssl_protocol

TLS/SSL 连接中使用的 SSL 协议。

类型: keyword

aws.elb.chosen_cert.arn

在 TLS/SSL 连接中呈现给客户端的所选证书的 ARN。

类型: keyword

aws.elb.chosen_cert.serial

在 TLS/SSL 连接中呈现给客户端的所选证书的序列号。

类型: keyword

aws.elb.incoming_tls_alert

负载均衡器从客户端接收的 TLS 警报的整数值（如果存在）。

类型: keyword

aws.elb.tls_named_group

TLS 命名组。

类型: keyword

aws.elb.trace_id

X-Amzn-Trace-Id 标头的内容。

类型: keyword

aws.elb.matched_rule_priority

与请求匹配的规则的优先级值（如果规则匹配）。

类型: keyword

aws.elb.action_executed

处理请求时执行的操作（转发、固定响应、身份验证…​）。它可以包含多个值。

类型: keyword

aws.elb.redirect_url

如果执行了重定向操作，则使用的 URL。

类型: keyword

aws.elb.error.reason

如果执行的操作失败，则为错误原因。

类型: keyword

aws.elb.target_port

处理此请求的目标的 IP 地址和端口列表。

类型: keyword

aws.elb.target_status_code

来自目标响应的状态代码列表。

类型: keyword

aws.elb.classification

用于缓解不同步的分类。

类型: keyword

aws.elb.classification_reason

分类原因代码。

类型: keyword

s3access

用于 AWS S3 服务器访问日志的字段。

aws.s3access.bucket_owner

源存储桶所有者的规范用户 ID。

类型: keyword

aws.s3access.bucket

请求处理所针对的存储桶的名称。

类型: keyword

aws.s3access.remote_ip

请求者的表面互联网地址。

类型: ip

aws.s3access.requester

请求者的规范用户 ID，对于未经身份验证的请求，则为 -。

类型: keyword

aws.s3access.request_id

Amazon S3 生成的用于唯一标识每个请求的字符串。

类型: keyword

aws.s3access.operation

此处列出的操作声明为 SOAP.operation、REST.HTTP_method.resource_type、WEBSITE.HTTP_method.resource_type 或 BATCH.DELETE.OBJECT。

类型: keyword

aws.s3access.key

请求的“键”部分（URL 编码），如果操作不带键参数，则为“-”。

类型: keyword

aws.s3access.request_uri

HTTP 请求消息的 Request-URI 部分。

类型: keyword

aws.s3access.http_status

响应的数字 HTTP 状态代码。

类型: long

aws.s3access.error_code

Amazon S3 错误代码，如果没有发生错误则为“-”。

类型: keyword

aws.s3access.bytes_sent

发送的响应字节数，不包括 HTTP 协议开销，如果为零则为“-”。

类型: long

aws.s3access.object_size

相关对象的总大小。

类型: long

aws.s3access.total_time

从服务器的角度来看，请求在途的毫秒数。

类型: long

aws.s3access.turn_around_time

Amazon S3 处理您的请求所花费的毫秒数。

类型: long

aws.s3access.referrer

HTTP Referrer 标头的值（如果存在）。

类型: keyword

aws.s3access.user_agent

HTTP User-Agent 标头的值。

类型: keyword

aws.s3access.version_id

请求中的版本 ID，如果操作不接受 versionId 参数，则为“-”。

类型: keyword

aws.s3access.host_id

x-amz-id-2 或 Amazon S3 扩展请求 ID。

类型: keyword

aws.s3access.signature_version

用于验证请求的签名版本，SigV2 或 SigV4，或未经验证的请求为“-”。

类型: keyword

aws.s3access.cipher_suite

为 HTTPS 请求协商的安全套接字层 (SSL) 密码，或 HTTP 请求为“-”。

类型: keyword

aws.s3access.authentication_type

使用的请求身份验证类型，AuthHeader 用于身份验证标头，QueryString 用于查询字符串（预签名 URL），或未经验证的请求为“-”。

类型: keyword

aws.s3access.host_header

用于连接到 Amazon S3 的端点。

类型: keyword

aws.s3access.tls_version

客户端协商的传输层安全性 (TLS) 版本。

类型: keyword

vpcflow

AWS VPC 流日志的字段。

aws.vpcflow.version

VPC 流日志版本。如果您使用默认格式，则版本为 2。如果您指定自定义格式，则版本为 3。

类型: keyword

aws.vpcflow.account_id

流日志的 AWS 账户 ID。

类型: keyword

aws.vpcflow.interface_id

记录流量的网络接口的 ID。

类型: keyword

aws.vpcflow.action

与流量关联的操作，ACCEPT 或 REJECT。

类型: keyword

aws.vpcflow.log_status

流日志的日志记录状态，OK、NODATA 或 SKIPDATA。

类型: keyword

aws.vpcflow.instance_id

与记录流量的网络接口关联的实例的 ID（如果该实例由您拥有）。

类型: keyword

aws.vpcflow.pkt_srcaddr

流量的包级别（原始）源 IP 地址。

类型: ip

aws.vpcflow.pkt_dstaddr

流量的包级别（原始）目标 IP 地址。

类型: ip

aws.vpcflow.vpc_id

包含记录流量的网络接口的 VPC 的 ID。

类型: keyword

aws.vpcflow.subnet_id

包含记录流量的网络接口的子网的 ID。

类型: keyword

aws.vpcflow.tcp_flags

以下 TCP 标志的位掩码值：2=SYN，18=SYN-ACK，1=FIN，4=RST

类型: keyword

aws.vpcflow.tcp_flags_array

TCP 标志列表：fin、syn、rst、psh、ack、urg

类型: keyword

aws.vpcflow.type

流量类型：IPv4、IPv6 或 EFA。

类型: keyword

« Auditd 字段 AWS CloudWatch 字段 »