通过

AWS 网络防火墙警报

AWS 平台防火墙警报日志（从 Sentinel 的连接器引入），可实现与其他安全数据源的实时分析和关联。

数据表属性

特征 价值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 是的
引入时转换 否
示例查询 -

列

列 类型 DESCRIPTION
AlertAction 字符串 触发警报时采取的操作（例如允许、丢弃、拒绝）。
AppProto 字符串 检测到应用层协议。
可用性区域 字符串 防火墙实例所在的 AWS 可用性区域。
_BilledSize（账单大小） 真实 记录大小（字节）
类别 字符串 检测到的威胁或网络活动的类别。
DestIp 字符串 数据包的目标 IP 地址。
DestPort 字符串 数据包发送到的目标端口。
方向 字符串 流量的方向（例如入站、出站）。
事件时间戳 日期/时间 事件发生时的纪元时间戳。
事件类型 字符串 记录的事件类型（例如警报、流、删除、传递）。
FirewallName 字符串 生成日志的 AWS 网络防火墙实例的名称。
FlowId 字符串 与此事件相关的网络流的唯一标识符。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
PktSrc 字符串 数据包的源（例如内部、外部、防火墙规则）。
协议 字符串 使用的协议（例如 TCP、UDP、ICMP）。
审阅 字符串 匹配的 Suricata 规则的修订号。
严重程度 字符串 事件的严重性级别，通常基于 Suricata 规则分类。
签名 字符串 触发警报的 Suricata 规则的名称或说明。
SignatureId 字符串 Suricata 规则中与事件匹配的唯一标识符。
斯奈 字符串 TLS 流量中的服务器名称指示 (SNI)。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure Diagnostics 的 Azure。
SrcIp 字符串 数据包源自的源端口。
SrcPort 字符串 数据包源自的源端口。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 在 AWS 网络防火墙中创建日志条目时的时间戳。
时间戳 日期/时间 捕获事件的确切时间戳。
TxId 字符串 与特定网络流关联的事务 ID。
类型 字符串 表的名称
VerdictAction 字符串 防火墙做出的最终决定（例如传递、删除、警报）。
版本 字符串 使用的日志架构或 Suricata 规则格式的版本。
  • Last updated on