文档中心

日志服务

请输入

NTA 日志采集

采集 NTA 日志

本文档介绍 NTA 日志相关的功能介绍、采集方法。

功能概述

火山引擎高级网络威胁检测系统（NTA）是以攻防实战为核心的一款基于旁路流量的 SaaS 化全流量威胁检测系统，使用行为分析、特征检测、关联分析、威胁情报、机器学习等技术，精准发现网络中的已知高级网络攻击和未知的新型入侵威胁。

NTA 会对所有告警日志和流量日志进行审计保存，同时支持告警数据包存储，告警日志保存180天符合等保合规要求。

相关配置如下：

配置	说明
日志类型	告警日志。流量日志。
日志存储位置	在 NTA 开启日志管理后，日志服务会自动创建日志项目和日志主题，管理日志资源详情请参考管理 NTA 日志资源。日志项目：nta-project--<account_id>-<region_id> 日志主题：nta-log
日志存储时长	默认为 180 天。
日志分区	预设 9 个分区。默认开启自动分裂日志主题分区，在写入流量较大时分裂分区以满足数据写入需求。
索引设置	自动配置索引。
日志字段	详细的日志字段列表请参考 NTA 日志字段。

采集 NTA 日志

使用限制、开启采集 NTA 日志至日志服务操作，详情请参考日志分析。

NTA 日志字段

高级网络威胁检测系统详细记录了网络流量日志和攻击告警日志。日志中包含多个字段，您可以根据需要选取相应的日志字段进行查询分析。

日志字段	说明
timestamp	日志上报时间。
log_type	日志类型，包含 session （互联网边界流量日志）、alert（互联网边界告警日志）、vpc_alert（VPC 间告警日志）。
src_ip	访问源 IP。
src_port	访问源端口。
dst_ip	访问目的 IP。
dst_port	访问目的端口。
dir_flag	互联网边界访问方向，in（入向） / out（出向）。
country_name	外部 IP 所属国家或地区。
province_name	外部 IP 所属城市。
asset_name	互联网边界流量中的资产名。
app_protocol	应用层或传输层协议，如 HTTP、FTP、TCP 等。
protocol	IP 协协议类型，如 tcp/udp/icmp
host	域名。
session_begintime	访问开始时间。
session_endtime	访问结束时间。
reqpkts	请求报文数。
rsppkts	响应报文数。
reqflow	请求流量（bytes）。
rspflow	响应流量（bytes）。
src_vpc	vpc 流流量的源 vpc id 或 dcgw id
dst_vpc	vpc 流量的目的 vpc id 或 dcgw id。
src_vpc_name	vpc 流量的源 vpc name 或 dcgw name。
dst_vpc_name	vpc 流量的目的 vpc name 或 dcgw name。
alert_basetype	检出入侵防御告警的判断来源。
rule_type	检出入侵防御告警的威胁类型。
sub_type	检出入侵防御告警的详细威胁类型。
rule_thread_level	检出入侵防御告警的风险等级。
payload_ascii	攻击 payload。
hidsinfo_json	挖矿告警关联主机进程信息。
uri	请求路径。
httpstat	HTTP 响应状态码。
attack_result	入侵防御告警攻击结果，成功/失败/尝试/拦截/失陷。

最近更新时间：2026.02.03 14:53:42

这个页面对您有帮助吗？

有用

无用