按模块选择日志名称，查看对应的日志样例和字段说明。

动态控制：动态控制日志

零信任：应用网关访问日志、ZTNA 连接日志、零信任代理访问日志

终端管理：设备信息日志

数据防泄漏：DLP 日志外发字段格式

通用

管理员操作日志

管理员操作日志记录管理员在管理后台执行的策略变更、系统配置修改和人员权限调整等操作，包含操作人、操作时间、执行环境、变更内容及操作结果，可用于追溯配置变更。

管理员操作日志也会记录 ZTNA 引流策略、ACL、集群、七层应用、客户端限速和自动开启等已接入审计的配置变更行为。

日志示例：

字段说明：

字段	类型	示例	描述
tenant_id	String	b7f5****	租户唯一标识 ID。仅私有化部署场景记录此字段。
x_key	String	admin_audit_log	日志类型。说明服务端 3.0.7 及以上版本支持该字段。
user	Object	-	用户信息。
-- open_id	String	ou_xxx	用户 open id，格式为 ou_xx。
-- username	String	张三	用户名称。
-- user_email	String	zhangsan@example.com	用户邮箱。
-- departments	Array of String	["xxx/RD"]	用户所属部门列表。
env	Object	-	操作执行环境信息。
-- os	String	web	操作系统。
-- client_ip	String	8.8.8.8	客户端 IP。
-- user_agent	String	Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36	UA，登录的客户端的标识信息。
option	Object	-	操作信息。
-- module	String	101	操作模块。
-- module_message	String	动态控制	操作模块说明。
-- sub_module	String	1	操作子模块。
-- sub_module_message	String	动态决策	操作子模块说明。
-- action	String	admin/dynamic_security/engine/groups/1615	执行操作。
-- action_message	String	更新规则组	执行操作说明。
events	Array of Object	-	变更事件详情。
-- status	String	success	事件变更状态。
-- model	String	dynamic_rule_group	变更对象。
-- model_message	String	规则组	变更对象说明。
-- action	String	update	变更动作。
-- action_message	String	更新了规则组	变更动作说明。
-- updates	Array of Object	-	变更详情。
---- ids	Object	null	发生变更实体。
---- updates	Object	-	发送变更内容。
------ key	String	策略名称	变更内容 key。
------ from	String	空	原始内容。
------ to	String	审计规则	变更内容。
success	Boolean	true	是否成功。
timestamp	Number	1600000000	操作进行的时间戳。

员工登录日志

员工登录日志记录员工的登录、退出等操作，包含员工信息、客户端信息、操作类型、执行结果和时间，便于排查登录问题和追溯账号活动。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	employee_login	日志类型。说明服务端 3.0.7 及以上版本支持该字段。
open_id	String	ou_xxx	用户的 ID，格式为 ou_xx。
user_name	String	张三	用户名称。
user_email	String	zhangsan@example.com	用户邮箱。
client_ip	String	10.10.10.*	客户端 IP。
user_agent	String	Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36	UA，登录的客户端的标识信息。
app_version	String	2.1.0	版本号。
device_model	String	Apple/MacBookPro16,2	设备类型。
events	String	[{"success":true,"error_code":"","error_message":"","error_message_en":"","name":"users","action":"logout","changes":[{"ids":[2198],"attrs":null}]}]	事件详情。
action	String	login	操作类型，包括login、logout、login/code/verify。
success	Boolean	true	登录是否成功。
timestamp	Number	1600000000	登录的时间，格式为 Unix 秒时间戳。

API 调用日志

API 调用日志记录 API 请求及其处理结果，包含请求路径、调用时间、耗时、响应状态和错误信息，便于排查接口调用问题。

日志示例：

字段说明：

字段	类型	示例	描述
tenant_id	String	b7f5****	租户唯一标识 ID。仅私有化部署场景记录此字段。
x_key	String	openapi_request_log	日志类型标识。
create_time	Number	1770985599746313000	日志记录在服务端生成的纳秒级时间戳。
access_key_id	Number	6	调用 API 时使用的 AK/SK。
timestamp	Number	1770985595105	接口请求发生的毫秒级时间戳（Unix Timestamp）。
request_id	String	3c64ee48---****-a21e0d483692	请求唯一标识符，对应 HTTP Header 中的 X-Request-Id。
user_agent	String	Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh))	访问客户端的 User-Agent 信息，用于识别发起请求的系统及版本。
request_content_type	String	application/json	请求体的内容类型。
response_content_type	String	application/json; charset=utf-8	响应体的内容类型。
client_ip	String	114.251.xxx.xxx	发起请求的客户端公网 IP。
method	String	POST	接口访问使用的 HTTP 方法。
canonical_path	String	/api/open/v1/security/edlp/events/evidence/:type	API 的规范路径，用于唯一识别该接口功能。
execution_time	uint64	1543	接口请求的执行总耗时，单位为毫秒（ms）。
request_path	String	/api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx	实际请求的完整路径，包含 Query 查询参数。
http_status	int16	200	标准 HTTP 协议响应状态码。
error_message	String	服务器错误	接口返回的错误描述信息。
error_code	int32	50000	错误码。0 表示处理成功，非 0 表示业务异常。
request_payload	String		请求体原文数据。最大记录 2 KB，超过限制将被截断。
response_body	String		响应体原文数据。最大记录 12 KB，超过限制将被截断。
flags	Number	12	日志采集状态位掩码，用于追踪数据捕获情况： bit 0: 请求体超过 2 KB 被截断。 bit 1: 响应体超过 12 KB 被截断。 bit 2: 已记录请求体载荷。 bit 3: 已记录响应体载荷。
is_success	Boolean	false	请求是否成功的判定依据。逻辑：http_status 为 2xx 且 error_code 为 0 时为 true。

Wi-Fi 管理

员工 Wi-Fi 连接日志/访客 Wi-Fi 连接日志/哑终端网络连接日志

这三类日志记录员工、访客和哑终端的网络连接情况，包含认证账号、设备、连接时间、连接结果及断开信息。三类日志共用字段结构，通过日志类型和账号类型区分。

员工 Wi-Fi 连接日志、访客 Wi-Fi 连接日志和哑终端网络连接日志使用的是相同的数据结构，通过 x_key 和account_type 字段内容来表示不同网络连接记录。

服务端 3.0.7 及以上版本支持x_key字段。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	wifi_connect_employee	日志类型。 wifi_connect_employee：员工 Wi-Fi 连接日志： wifi_connect_guest：访客 Wi-Fi 连接日志。 wifi_connect_terminal：哑终端网络连接日志。
radius_id	Number	1	RADIUS 节点 ID。
connect_time	String	2006-01-02T15:04:05Z07:00	Wi-Fi 连接的建立时间。
disconnect_time	String	2006-01-02T15:04:05Z07:00	Wi-Fi 连接的断开时间，仅断开时的日志有值。
connection_result	Number	1	连接的状态： 1：成功。 2：失败。 3：降级。
connection_group_id	String	DEFAULT	连接的权限字符串。
connection_ip	String	10.0.0.*	DHCP 分配的 IP。
account_id	Number	1	Wi-Fi 账号 ID。
account_username	String	zhangsan	Wi-Fi 账号用户名。
account_type	Number	1	Wi-Fi 账号类型： 1：访客 Wi-Fi。 2：员工 Wi-Fi。 3：员工有线。 4：哑终端。
portal_login_type	String	xxx	员工 portal 认证类型。
nas_identifier	String	xxx	认证携带的 nas 标识符。
nas_id	Number	1	认证匹配到的网络设备 id。
nas_port_id	String		nas 端口信息。
session_id	String		认证日志标识id。
ssid	String	feilian-inc	无线信号标识符。
device_id	String	00000000000000	认证设备的 DID。
device_name	String	xxx	认证设备的设备名。
calling_station_id	String	3a:af:28:df:f8:79	NAS 的 MAC。
called_station_id	String	20:4c:03:2b:30:6c	认证设备的 MAC 地址。
creators	String	1	对于员工 Wi-Fi 和员工有线，此字段表示账号的用户 ID。对于访客 Wi-Fi，此字段表示申请者 ID（多 ID 之间以\\| 分隔）。
creators_ex	Array of Object	[]	数组类型，依次解释 creators 里每个用户的信息。
. open_id	String	ou_xxx	用户 OpenID，可用于 OpenAPI 查询，格式为 ou_xx。
. user_name	String	张三	用户名。
. user_email	String	zhangsan@xxx.cn	用户邮箱。
remarks	String	null	若连接失败，此字段显示失败原因。若连接成功，此字段为空。
option	String	connect	日志类型，枚举值，包括 connect、disconnect 和 update。

VPN 管理

VPN 连接日志

VPN 连接日志记录员工终端建立和断开 VPN 连接的情况，包含员工、设备、VPN 节点、连接时间及操作类型，便于追溯连接状态。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	vpn_connect_log	标识日志类型。说明服务端 3.0.7 及以上版本支持该字段。
open_id	String	ou_xxx	用户 OpenID，可用于 OpenAPI 查询，格式为 ou_xx。
user_name	String	张三	用户名。
user_email	String	example@xxx.cn	用户邮箱。
client_ip	String	10.10.10.*	客户端 IP 地址。
device_id	String	00000000000000	客户端设备 ID。
device_os	String	Mac 12.4	客户端系统。
device_model	String	Apple/MacBookPro16,2	客户端系统信息。
vpn_id	Number	1	VPN 节点 ID。
vpn_ip	String	10.0.0.*	VPN 节点内网 IP 地址。
vpn_ipv6	String	00::0	VPN 节点内网 IPv6 地址。
connect_time	String	2006-01-02T15:04:05Z07:00	VPN 连接的建立时间。
disconnect_time	String	2006-01-02T15:04:05Z07:00	VPN 连接的断开时间，仅断开时的日志有值。
app_version	String	2.1.10	版本号。
option	String	connect	日志类型，枚举值，包括 connect 和 disconnect。

VPN 访问日志

VPN 访问日志记录终端建立 VPN 连接后的资源访问情况，包含源地址、目的地址、端口、协议、访问时间及处置动作，便于审计网络访问。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	vpn_conntrack	标识日志类型。说明服务端 3.0.7 及以上版本支持该字段。
email	String	admin@example.local	用户邮箱。
mobile	String	18800******	用户手机号。
did	String	62d9065661a6e66*****0ec839b	设备 ID。
smac	String	3c:22:fb:33:86:70	源 MAC 地址。
os	String	Mac	设备操作系统。
os_version	String	12.4	操作系统版本。
device_brand	String	Apple	设备品牌。
device_model	String	MacBookPro15,4	设备型号。
app_version	String	v2.0.11	版本号。
user	String	USER_ou_xxx	用户，格式为 USER_{open_id}。
uip	String	10.10..	用户 IP。
sip	String	20.20..	源 IP。
dip	String	10.92..	目的 IP。
sport	String	51293	源端口。
dport	String	18009	目的端口。
protocol	String	udp	协议。
host	String	example.com	域名。
action	String	accept	处置动作。
timestamp	String	1684904321	访问时间，Unix 秒时间戳。

CPE 访问日志

CPE 访问日志记录分支网关的网络访问行为，可用于审计分支机构通过网关访问资源的情况。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	cpe_conntrack	日志类型。说明服务端 3.1.5 及以上版本支持该字段。
sip	String	169.254..	源 IP。
dip	String	100.64..	目标 IP。
sport	String	59618	源端口。
dport	String	80	目标端口。
protocol	String	tcp	通信协议。
host	String	100.64..	HTTP 地址。
action	String	continue	访问结果。 accept：放行。 continue：识别中。
timestamp	String	1752837441	访问时间，Unix 时间戳，单位秒。
user	String		预留字段，可忽略。
identity	String		预留字段，可忽略。
uip	String	111.19..:6192	预留字段，可忽略。
rule	String	rule-1	预留字段，可忽略。

AI 安全

Agent 全链路审计日志

Agent 全链路审计日志记录 Agent 任务执行过程中的事件，包含会话、事件类型及相关用户信息，可用于追溯任务过程。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	agent_audit_event	固定值。 Fixed Value。
create_time	Number	1770985599746313000	记录创建时间。 Record Creation Time。
access_key_id	Number	6	AK/SK primary key。
timestamp	Number	1770985595105	Event timestamp (ms)。
request_id	String	3c64ee48-08d7-11f1-8add-a21e0d483692	请求唯一 ID。对应 Header 中的 X-Request-Id。 Obtained from "X-Request-Id" header, usually in UUID format。
user_agent	String	Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh))	访问客户端UA Obtained from "User-Agent" header。
request_content_type	String	application/json	请求体的内容类型。 Request content type, obtained from "Content-Type" header。
response_content_type	String	application/json; charset=utf-8	响应体的内容类型。 Response content type, obtained from "Content-Type" header。
client_ip	String	114.251.196.103	访问客户端IP。
method	String	POST	访问方法。
canonical_path	String	/api/open/v1/security/edlp/events/evidence/:type	API 的规范路径，用于唯一识别该接口功能。 Canonical path to identify the API, eg. /api/open/v1/security/edlp/events/evidence/:type。
execution_time	uint64	1543	接口请求的执行总耗时，单位为毫秒（ms）。 Execution time of request in millisecond。
request_path	String	/api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx	实际请求的完整路径。 Actual requested path, eg. /api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx。
http_status	int16	200	响应状态码。
error_message	String	服务器错误	接口返回的错误描述信息。 Error message of response。
error_code	int32	50000	错误码。0 表示处理成功，非 0 表示业务异常。 Feilian error code, 0 if success。
request_payload	String		请求体原文数据。最大记录 2 KB，超过限制将被截断。 Request payload, truncated if size limit is exceeded. Limit is up to 2KB。
response_body	String		响应体原文数据。最大记录 12 KB，超过限制将被截断。 Response body data, truncated if size limit is exceeded. Limit is up to 12KB。
flags	Number	12	日志采集状态位掩码。 Bitmask tracking log capture status: bit 0 = request payload too large。 bit 1 = response body too large。 bit 2 = request payload was logged。 bit 3 = response body was logged。
is_success	Boolean	false	请求是否成功的判定依据。逻辑：http_status 为 2xx 且 error_code 为 0 时为 true。 true if http_status >=200 AND http_status <400 AND error_code=0。

Agent 行为护栏告警日志

Agent 行为护栏告警日志记录 Agent 风险行为及护栏处置结果，包含命中的策略、设备、行为类型、目标对象和处置动作，便于追溯风险行为。

日志示例：

字段说明：

字段	类型	示例	描述
tenant_id	String	tenant-g	租户 ID。来自服务端上下文，是外发与排查的租户维度。仅私有化部署场景记录此字段。
event_id	String	did-001-1786503981-0	事件唯一标识。客户端未上报时由服务端按 did、接收时间和事件序号补齐。
strategy_key	String	abg_policy_001	命中的行为护栏策略 key，对应客户端上报的 policy_id。
strategy_name	String	默认 Agent 行为护栏策略	命中策略名称快照。服务端按 strategy_key 回填；取不到时可能等于策略 key。
policy_version	String	20260813.1	客户端命中的策略版本号。
did	String	did-001	设备 DID。
uid	Number	1001	用户 UID；未知时为 0。
device_os	String	windows	设备操作系统。服务端使用客户端 OS 并转为小写。
agent_object	String	cursor	历史对象字段，当前与 process_key 同源，用于兼容旧链路。
process_key	String	cursor	Agent 或进程对象主键。
process_matcher_id	Number	123456	命中的进程匹配器 ID；未知时为 0。
resource_key	String	net-prod-api	资源 key。
behavior_type	String	network	行为类型。枚举：file、network、command、registry。
target_object	String	api.example.com	目标对象。file 为文件路径，network 优先域名、其次远端 IP、最后解析地址，command 为命令行，registry 为注册表 key。
detail_domain	String	api.example.com	网络行为域名明细；非 network 或无域名时为空。
detail_remote_ip	String	10.1.2.3	网络行为远端 IP 明细；非 network 或无远端 IP 时为空。
detail_resolved_addresses	String	10.1.2.3,10.1.2.4	网络行为域名解析 IP 列表，多个值用英文逗号拼接。
action	String	block	护栏动作。当前枚举：audit、block。空动作或未知动作按 block 处理。
result	String	blocked	动作结果。当前枚举：audited、blocked。
rule_id	String	987654321	命中的规则 ID，服务端以字符串形式外发；未上报时为空。
event_time	Number	1786503981	事件发生时间，Unix 秒级时间戳。客户端未带 timestamp 时使用服务端接收时间兜底。
report_time	Number	1786503990	服务端接收并上报外发的时间，Unix 秒级时间戳。外发行 Row.Time 优先使用该时间。

Skill 防护日志

Skill 防护日志记录终端命中 Skill 防护策略的风险事件，包含风险项详情、关联用户与设备、处置状态及命中策略等信息，可用于追溯 Skill 安全事件和处置情况。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	skill_protect	日志类型标识，固定为 skill_protect。
tenant_id	String	tenant-1	租户 ID，来自 ClickHouse 事件快照。仅私有化部署场景记录此字段。
event_id	String	event-1	事件 ID。
file_status_updated_at	Number	1786503990	当前聚合快照的最近告警时间，Unix 秒级时间戳，取自 last_seen。该字段不是独立记录的处置动作发生时间。
first_alert_at	Number	1786503981	首次告警时间，Unix 秒级时间戳，取自 first_seen。
skill_id	String	skill-1	Skill 唯一标识。
skill_name	String	demo-skill	Skill 名称。
skill_path	String	/skills/demo-skill	Skill 在设备上的路径。
sha256	String	9f86d081...	Skill 文件或内容的 SHA-256 值。
md5	String	098f6bcd...	Skill 文件或内容的 MD5 值。
risks	Array	-	风险项数组。没有可用风险时输出空数组，不省略字段。同一个 Skill 可以包含多个风险，并保持风险项的原始顺序。
-- threat_type	String	code.malicious_code	风险类型标识。
-- threat_name	String	恶意代码	本地化风险名称。存储值为空时按 threat_type 查询名称；仍为空时省略。
-- description	String	检测到可疑命令执行逻辑	风险描述。
-- evidence	Array	-	风险证据数组，对应存储风险项中的 alert_details。
-- file_code	String	exec(command)	命中风险的代码片段。
-- file_path	String	index.js	证据所在文件路径。
-- file_line	Number	8	证据所在行号；无行号时为 0。
user	Object	-	关联用户。对象始终输出；组织信息补充失败时至少保留 id。
-- id	Number	1001	用户 ID，取自 ClickHouse user_id。字段始终输出，未知时为 0。
-- name	String	示例用户	用户姓名，取自组织架构用户信息；为空时省略。
-- department	String	/研发中心	用户部门路径。优先使用主部门路径，缺失时省略。
-- mobile	String	138****0000	用户手机号；为空时省略。
-- email	String	user@example.com	用户邮箱；为空时省略。
-- hire_time	String	2024-01-02	用户入职日期原始值；为空时省略。
-- expire_time	Number	1800000000	用户过期时间，Unix 秒级时间戳；未设置时省略。
-- status	Number	1	用户状态；值为 0 时省略。
device	Object	-	关联设备。对象始终输出；设备信息补充失败时至少保留 ClickHouse 中的 id、os 和 app_version。
-- id	String	device-1	设备 DID，取自 ClickHouse device_id。字段始终输出。
-- name	String	Example Device	设备名称，取自设备服务；为空时省略。
-- os	String	macOS	设备操作系统。先使用 ClickHouse 快照值，设备服务查询成功时使用实时设备值覆盖；为空时省略。
-- ip	String	10.0.0.1	设备最近一次上报的客户端 IP，取自设备服务；为空时省略。
-- app_version	String	7.8.9	飞连客户端版本。先使用 ClickHouse 快照值，设备服务查询成功时使用实时设备值覆盖；为空时省略。
-- build_number	String	20260826	客户端构建号，取自设备服务；为空时省略。
file_status	String	deleted	处置状态名称，由 disposition_action 转换得到。枚举与映射： not_disposed（code=1）：未处置，仅用于兼容旧状态。 isolated（code=2）：已隔离。 trusted（code=3）：已信任。 disinfected（code=4）：已消毒。 deleted（code=5）：已删除。 not_isolated（code=8）：未隔离。未知、未处置、恢复文件和取消信任等动作会收敛为该状态。 allowlisted（code=9）：已加入白名单。 unknown_{code}（其他值）：未识别状态。例如编码为 10 时输出 unknown_10。
file_status_code	Number	5	处置状态编码，与 file_status 的状态名称对应。取值及含义参见 file_status 的枚举与映射。例如，5 表示已删除（deleted）。
policy	Object	-	命中的 Skill 防护策略。无策略信息时输出空对象。
-- key	String	policy-1	命中策略的配置 key；为空时省略。
-- name	String	默认 Skill 防护策略	命中策略名称；为空时省略。
cloud_query_method	Number	1	云查方式，直接透传 ClickHouse cloud_query_type。枚举与映射： 0 = Skill Hash 云查：通过 Skill Hash 查询风险结果。 1 = Skill 内容云查：上传 Skill 内容并查询风险结果。其他值 = 未知方式：服务端不改写未知数值，接收方应保留原值并按未知类型处理。

终端安全

终端防病毒-病毒查杀日志

病毒查杀日志记录终端检测到的病毒事件，包含设备、检测策略、威胁文件、威胁等级和处置动作，便于分析病毒告警和处置情况。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	anti_virus	日志类型。说明服务端 3.0.7 及以上版本支持该字段。
event_id	String	9312dc30-b0a4-43d2-add1-6707ec**	事件 ID。
open_id	String	ou_W9Yz***8e	用户 ID，格式为 ou_xx。
username	String	张三	用户名称。
user_email	String	example@xxx.cn	用户邮箱。
mobile	String	18800**	用户手机号。
timestamp	Number	1662626747	事件发生时间，格式为 Unix 时间戳。
report_time	Number	1662626747	事件上报时间，格式为 Unix 时间戳。
config_key	String	2212dc30-2222-1111-00aa-6707ecf2c1c0	终端防病毒策略的 key。
config_name	String	策略 AAA	终端防病毒策略的名称。
device_ip	String	10.10.10.*	设备 IP。
device_id	String	62d9065661a6e66*0ec839b	设备 ID。
device_name	String	Example's Device	设备名。
device_hostname	String	CORPLINK-PC	设备主机名。
device_serial_number	String	5053565a4331384b365****64e4e48384a	设备序列号。
device_os	String	windows	操作系统，包括 windows、mac、linux。
app_version	String	2.1.0	版本号。
scan_mode	String	realtime_scan	检测模式。
scan_scene	String	sensitive_file_protect	扫描场景。
scan_id	String	e21b829f-18a5-4437-b7e0-0192a0**	扫描任务 ID。
threat_object_flag	String	av_object_file	可疑对象的种类。
threat_object_id	String	c:\users\mimikatz.exe+7862ac21e****c188c5f8179f	可疑对象ID。
threat_file_path	String	c:\users\mimikatz.exe	可疑文件在用户机器上的路径。
threat_file_hash	String	7862ac21eb3f8c4e8247c188c5f8179f	可疑文件 hash。
threat_file_size	String	1355680	可疑文件大小。
threat_file_type	String	win32exe	可疑文件类型。
process_name	String	mimikatz.exe.zip	相关进程名称。
threat_type	String	virus	威胁分类。 phishing 钓鱼软件。
raw_malware_name	String	Generic.Trojan.Mimikatz.Marte.!s!.A.301958EE	原始威胁名称。
threat_level	Number	1	威胁等级。
remediation	String	remind_only	默认处置方式。 remind_only-宽松。 remind_quarantine_recoverable-适中。 remind_quarantine_unrecoverable - 严格。
disposition_action	Number	1	0 // 报毒。 1 // 报毒。 2 //隔离文件。 3 //恢复文件。 4 //删除文件。 5 //消毒文件。 6 //添加信任文件。 7 //添加信任目录。 8 //删除信任文件。 9 //删除信任目录。 10 //添加信任文件名称。 11 //删除信任文件名称。 12 //添加信任文件MD5。 13 //删除信任文件MD5。 14 //添加信任文件SHA1。 15 //删除信任文件SHA1。

动态控制

动态控制日志

动态控制日志记录动态控制策略的执行情况，包含触发条件、命中规则、处置动作及执行结果，便于排查策略触发和处置问题。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	dynamic_engine	日志类型。说明服务端 3.0.7 及以上版本支持该字段。
action_key	String	abort-request	处置动作。
action_record_type	String	1	处置类型： 1：执行。 2：自动恢复。 3：手动恢复。
context	String	{"user_id":7,"user_agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7） AppleWebKit/605.1.15 （KHTML， like Gecko） Version/15.6.1 Safari/605.1.15"，"did":""，"ip":"10.10.."，"event":{}，"params":{"roles":[1]}，"result":[{"name":"abort_request"，"undo":false，"args":"["用户所属角色被管理员禁止登录"，"role has been limited"]"}]}	上下文，JSON 字符串，包含处置时的参数及处置结果。
did	String	62d90656**0ec839b	设备 ID。
id	String	101	处置记录 ID。
is_manual	String	false	是否是手动。
result_code	String	0	执行结果： 0：执行成功。 1：被限流。 2：已手动恢复。 99：未知错误。
timestamp	String	1662626747	操作的时间，格式为 Unix 时间戳。
trigger	String	web_login	触发点。
trigger_label	String	门户登录（登录尝试）	触发点（中文）。
undo	String	false	是否是自动恢复。
user_id	String	ou_W9Y***r8e	用户 ID。
group_id	String	45	触发规则组 ID。
rule_id	String	461	触发规则 ID。

零信任

应用网关访问日志

应用网关访问日志记录用户通过应用网关访问内部 Web 系统的请求，包含请求地址、方法、响应状态、耗时及用户信息，便于审计应用访问。

日志示例：

字段	类型	示例	描述
tenant_id	String	00000000	租户ID。仅私有化部署场景记录此字段。
x_key	String	agw_access_log	日志类型。说明服务端 3.1.5 及以上版本支持该字段。
sip	String	114.251..	源IP，请求网关的客户端IP地址。
sport	String	62596	源端口，请求网关的客户端端口。
protocol	String	HTTP/1.1	HTTP协议版本。
schema	String	http	协议头，http或https。
method	String	POST	请求方法。
host	String	fakebaidu.com	请求域名。
uri	String	/firm/pricvate	请求路径。
intranet_ip	String	127.0.0.1	网关服务器的内网IP地址。
referer	String	http://fakebaidu.com/firm/private	http请求头中的字段。
user_agent	String	Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Safari/537.36	http请求头中的字段。
status	int32	200	http请求返回的状态字段。
size	int32	93264	http请求大小。
duration	float64	0.319	http请求耗时。
level	String	info	网关日志级别。
timestamp	int64	1760605802	时间戳。
trace_id	String	fb4d8abe-d2b1-4a47-b848-c2abf5******	追踪ID。
user.open_id	String	ou_xd7J******	用户的 ID，格式为 ou_xx。
user.username	String	张三	用户名称。
user.user_email	String	zhangsan@example.com	用户邮箱。
user.departments	Array of String	测试	用户所属部门。
api_resource_groups	APIResourceGroup[]	{ "id": 6, "name": "全部资源", "app_id": 208, "api_resources": [ { "headers": [ "GET", "POST", "PUT", "DELETE", "OPTIONS" ], "path": "/*" } ] }	当前请求所属的API资源。
app_name	String	网关测试	当前请求所属的网关应用。
app_gateway_name	String	测试节点	当前请求所属的网关。

ZTNA 连接日志

ZTNA 连接日志记录员工开启和断开代理的情况，包含员工、设备、连接与断开时间、连接地址及接入集群信息，便于追溯代理连接。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	ztna_connect_log	外发日志类型标识；属于外发公共封装。
did	String	example-device-id	设备 ID。
open_id	String	ou_example	员工 OpenID，由外发时补充用户信息获得。
user_name	String	示例员工	员工名称。
user_email	String	user@example.com	员工邮箱。
department	String	示例企业/研发部	部门路径字符串，不是部门 ID 数组。
connect_at	String	2026-09-16T09:00:00+08:00	连接开始时间；源字段 connect_time 在模板中改名。
disconnect_at	String	2026-09-16T10:00:00+08:00	断开时间；源字段 disconnect_time 在模板中改名。
internal_ip	String	10.0.0.10	终端内网 IPv4。
internal_ipv6	String	空字符串	终端内网 IPv6，无数据时可为空。
client_ip	String	192.0.2.10	连接请求源 IP。
active_client_ip	String	192.0.2.11	客户端活跃 IP，可能与连接请求源 IP 不同。
os	String	Mac	操作系统标识；不是操作系统版本。
os_version	String	15.0	操作系统版本。
app_version	String	3.3.20	飞连客户端版本。
device_brand	String	Apple	设备品牌。
device_model	String	MacBookPro	设备型号。
connect_type	Number	1	1：自动选点；2：手动选点；3：未知。
cluster_id	Number	10	关联集群 ID。
cluster_name	String	示例接入集群	集群名称快照，无信息时可为空。
option	String	disconnect	connect：连接；disconnect：断开。

零信任代理访问日志

代理四层访问日志和代理七层访问日志共用“零信任代理访问日志”外发项。记录用户经代理网关访问应用时命中的访问策略、放行或阻断结果，以及源地址、目标地址、设备和进程信息。日志外发类型为 tgw_access_log，在外发管理中显示为“零信任代理访问日志”，支持 Syslog 和 Elasticsearch。

四层日志由代理网关产生，并由网关节点的日志采集服务发送。可选字段无值时可能省略。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	tgw_access_log	外发日志类型标识。
tenant_id	String	example	租户标识，多租户发送场景按上下文补充。仅私有化部署场景记录此字段。
user	String	USER_ou_example	员工标识，带 USER_ 前缀。
identity	String	DEPARTMENT_od_example,ROLE_or_example	部门、角色等身份标识，以逗号分隔。
did	String	example-device-id	设备 ID。
os	String	Mac	操作系统标识。
sip	String	192.0.2.10	代理网关观察到的请求源 IP。
dip	String	192.0.2.20	目标 IP；域名访问放行后可填充解析结果。
sport	String	53000	源端口，使用字符串表示。
dport	String	443	目标端口，使用字符串表示。
protocol	String	tcp	协议，例如 tcp、udp、icmp。
host	String	app.example.com	目标域名或目标 IP。
process_name	String	example-client	客户端上报的进程名称。
process_sig	String	空字符串	客户端上报的进程签名。
process_path	String	/Applications/Example.app	客户端上报的进程路径。
action	String	accept	访问策略处理结果，如 accept（放行）、drop（阻断）。
rule	String	示例应用\\|\\|示例策略\\|12\\|34\\|0	命中的规则名称。应用规则通常包含应用名、标签名、策略名、策略 ID、应用 ID及地址序号；默认规则可能采用其他名称。
timestamp	String	1789549200	事件发生时间，Unix 秒级时间戳字符串。
email	String	user@example.com	可选员工邮箱，未采集时省略。
mobile	String	脱敏手机号	可选员工手机号，未采集时省略。
smac	String	00:00:00:00:00:00	可选源 MAC，未采集时省略。
os_version	String	15.0	可选操作系统版本，未采集时省略。
device_brand	String	Apple	可选设备品牌，未采集时省略。
device_model	String	MacBookPro	可选设备型号，未采集时省略。
app_version	String	3.3.20	可选客户端版本，未采集时省略。
uip	String	192.0.2.10	可选用户地址信息，未采集时省略。
path	String	/example	可选路径，四层代理日志通常不包含。

终端管理

设备信息日志

设备信息日志记录设备及其关联用户的信息，包含设备标识、操作系统、硬件配置、设备状态和所属用户等字段，便于在外部日志平台关联设备信息。

日志示例：

字段说明：

字段	类型	示例	描述
x_key	String	device_info	日志类型。说明服务端 3.0.7 及以上版本支持该字段。
did	String	62d9065661a6e66*0ec839b	设备 did。
device_name	String	Example's Device	设备名称。
os	String	Windows	操作系统。
os_ver	String	10	系统版本。
os_model	String	macOS 14.6.1	操作系统类型。
os_detail_version	String	23G93	操作系统详细版本。
app_ver	String	2.0.13	版本号。
brand	String	Apple	品牌。
model	String	MacBookPro16,2	型号。
language	String	zh-CN	语言。
client_ip	String	10.10.10.*	客户端 IP。
mac_addrs	String	4e:80:b2:60:15:8f	MAC 地址。
serial_number	String	5053565a4331384b365134373...	设备序列号。
created_at	String	2006-01-02 15:04:05.999 -0700 MST	创建时间。
updated_at	String	2006-01-02 15:04:05.999 -0700 MST	更新时间。
software_num	Number	1	软件数量。
is_live	Boolean	1	是否活跃。
device_status	Number	0	设备状态： 0：设备失效。 1：设备活跃。 2：设备休眠。
device_info	Object	-	设备信息。
. product_id	String	1	产品 ID。
. serial_number	String	JWVQRXWYXL	序列号。
. memory_total	Number	36864	总内存大小，单位 MB。
. memory_available	Number	11619	可用内存大小，单位 MB。
. mem_serial_numbers	Array of String	null	内存序列号。
. disk_total	Number	500000	总磁盘大小，单位 MB。
. disk_available	Number	100000	可用磁盘大小，单位 MB。
. cpu_model	String	Apple M3 Pro	CPU 型号。
. cpu_serial_number	String	1	CPU 序列号。
. gpu_model	String	Apple M3 Pro	GPU 型号。
. nic_type	String	en4	网卡型号。
. login_user	String	admin	用户名称。
. is_vm	Boolean	false	是否虚拟机。
. nic_detail_list	Array of Object	-	网卡详情。
.. nic_type	String	en2	网卡类型。
.. mac_addr	String	36:0c:ed:a4:76:c4	MAC 地址。
.. active	Boolean	false	是否活跃。
.. description	String	en2	描述。
. os_install_date	String	1662626747	安装时间，格式为 Unix 时间戳（秒）。
. hdd_serial_numbers	Array of String	null	磁盘序列号。
. ssd_serial_numbers	Array of String	["0ba0225c433cd629"]	磁盘序列号（固态）。
ext_attr_list	Array of Object	-	拓展属性列表。
. id	Number	86	属性值 ID。
. def	Object		属性定义。
. value	Any	city	属性值。
groups	Array of Object	-	设备分组。
. id	Number	1	主键 ID。
. name	String	xxx	分组名称。
. mode	Number	1	区分手动/自动。
user_id	String	ou_xxx	用户的ID，格式为： ou_xxx。
full_name	String	张三	用户姓名。
mobile	String	18800**	用户手机号。
email	String	zhangsan@example.com	用户邮箱。
department_id	String	od_xxx	部门的 ID，格式为： od_xxx。
status	Number	1	用户状态： 1：启用。 2 ：禁用。 3 ：离职。
department_path	String	/1/2	所属部门路径。
icon_url	String	/api/v1/attach/download?key=xxxxx	用户头像。
third_party_user_id	String	1	三方用户 ID。
roles	Array of Object	-	角色。
. name	String	角色 A	角色名称。
. id	String	or_xxx	角色 ID，格式为：or_xxx。

飞连