按模块选择日志名称，查看对应的日志样例和字段说明。 * **通用：** [管理员操作日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E7%AE%A1%E7%90%86%E5%91%98%E6%93%8D%E4%BD%9C%E6%97%A5%E5%BF%97)、[员工登录日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E5%91%98%E5%B7%A5%E7%99%BB%E5%BD%95%E6%97%A5%E5%BF%97)、[API 调用日志](https://help.feilian.cn/help-center/log-forwarding-fields#api-%E8%B0%83%E7%94%A8%E6%97%A5%E5%BF%97) * **Wi\-Fi 管理：** [员工 Wi-Fi 连接日志/访客 Wi-Fi 连接日志/哑终端网络连接日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E5%91%98%E5%B7%A5-wi-fi-%E8%BF%9E%E6%8E%A5%E6%97%A5%E5%BF%97-%E8%AE%BF%E5%AE%A2-wi-fi-%E8%BF%9E%E6%8E%A5%E6%97%A5%E5%BF%97-%E5%93%91%E7%BB%88%E7%AB%AF%E7%BD%91%E7%BB%9C%E8%BF%9E%E6%8E%A5%E6%97%A5%E5%BF%97) * **VPN 管理：** [VPN 连接日志](https://help.feilian.cn/help-center/log-forwarding-fields#vpn-%E8%BF%9E%E6%8E%A5%E6%97%A5%E5%BF%97)、[VPN 访问日志](https://help.feilian.cn/help-center/log-forwarding-fields#vpn-%E8%AE%BF%E9%97%AE%E6%97%A5%E5%BF%97)、[CPE 访问日志](https://help.feilian.cn/help-center/log-forwarding-fields#cpe-%E8%AE%BF%E9%97%AE%E6%97%A5%E5%BF%97) * **AI 安全：** [Agent 全链路审计日志](https://help.feilian.cn/help-center/log-forwarding-fields#agent-%E5%85%A8%E9%93%BE%E8%B7%AF%E5%AE%A1%E8%AE%A1%E6%97%A5%E5%BF%97)、[Skill 防护日志](https://help.feilian.cn/help-center/log-forwarding-fields#skill-%E9%98%B2%E6%8A%A4%E6%97%A5%E5%BF%97) * **终端安全：** [终端防病毒-病毒查杀日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E7%BB%88%E7%AB%AF%E9%98%B2%E7%97%85%E6%AF%92-%E7%97%85%E6%AF%92%E6%9F%A5%E6%9D%80%E6%97%A5%E5%BF%97)、[Agent 行为护栏告警日志](https://help.feilian.cn/help-center/log-forwarding-fields#agent-%E8%A1%8C%E4%B8%BA%E6%8A%A4%E6%A0%8F%E5%91%8A%E8%AD%A6%E6%97%A5%E5%BF%97) * **动态控制：** [动态控制日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E5%8A%A8%E6%80%81%E6%8E%A7%E5%88%B6%E6%97%A5%E5%BF%97) * **零信任：** [应用网关访问日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E5%BA%94%E7%94%A8%E7%BD%91%E5%85%B3%E8%AE%BF%E9%97%AE%E6%97%A5%E5%BF%97)、[ZTNA 连接日志](https://help.feilian.cn/help-center/log-forwarding-fields#ztna-%E8%BF%9E%E6%8E%A5%E6%97%A5%E5%BF%97)、[零信任代理访问日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E9%9B%B6%E4%BF%A1%E4%BB%BB%E4%BB%A3%E7%90%86%E8%AE%BF%E9%97%AE%E6%97%A5%E5%BF%97) * **终端管理：** [设备信息日志](https://help.feilian.cn/help-center/log-forwarding-fields#%E8%AE%BE%E5%A4%87%E4%BF%A1%E6%81%AF%E6%97%A5%E5%BF%97) * 数据防泄漏：[DLP 日志外发字段格式](https://help.feilian.cn/help-center/dlp-log-outgoing-field-format) ## 通用 ### 管理员操作日志管理员操作日志记录管理员在管理后台执行的策略变更、系统配置修改和人员权限调整等操作，包含操作人、操作时间、执行环境、变更内容及操作结果，可用于追溯配置变更。管理员操作日志也会记录 ZTNA 引流策略、ACL、集群、七层应用、客户端限速和自动开启等已接入审计的配置变更行为。 * 日志示例： ```Plain Text <14>1 2024-10-24T21:11:08+08:00 - xxx 2511297 - - { "tenant_id": "b7******", "x_key": "admin_audit_log", "user": { "open_id": "ou_XqQW******", "username": "张三", "user_email": "zhangsan@example.com", "departments": ["xxx/RD"] }, "env": { "os": "web", "client_ip": "10.x.x.x", "user_agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.0.0 Safari/537.36" }, "option": { "module": "101", "module_message": "动态控制", "sub_module": "1", "sub_module_message": "动态决策", "action": "admin/dynamic_security/engine/groups/1615", "action_message": "更新规则组" }, "events": [{ "status": "success", "model": "dynamic_rule_group", "model_message": "规则组", "action": "update", "action_message": "更新了规则组", "updates": [{ "ids": null, "updates": { "策略名称": { "from": "", "to": "审计规则" }, "触发方式": { "from": null, "to": "应用风险" } } }] }, { "status": "success", "model": "dynamic_rule_group", "model_message": "规则组", "action": "update", "action_message": "更新了规则组", "updates": [{ "ids": null, "updates": { "启用策略": { "from": "", "to": "审计规则" } } }] }], "success": true, "timestamp": 1729775468 } ``` * 字段说明： |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |tenant_id |String |b7f5\*\*\*\* |租户唯一标识 ID。

仅私有化部署场景记录此字段。 | |x_key |String |admin_audit_log |日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |user |Object |\- |用户信息。 | |\-\- open_id |String |ou_xxx |用户 open id，格式为 ou_xx。 | |\-\- username |String |张三 |用户名称。 | |\-\- user_email |String |zhangsan@example.com |用户邮箱。 | |\-\- departments |Array of String |["xxx/RD"] |用户所属部门列表。 | |env |Object |\- |操作执行环境信息。 | |\-\- os |String |web |操作系统。 | |\-\- client_ip |String |8.8.8.8 |客户端 IP。 | |\-\- user_agent |String |Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36 |UA，登录的客户端的标识信息。 | |option |Object |\- |操作信息。 | |\-\- module |String |101 |操作模块。 | |\-\- module_message |String |动态控制 |操作模块说明。 | |\-\- sub_module |String |1 |操作子模块。 | |\-\- sub_module_message |String |动态决策 |操作子模块说明。 | |\-\- action |String |admin/dynamic_security/engine/groups/1615 |执行操作。 | |\-\- action_message |String |更新规则组 |执行操作说明。 | |events |Array of Object |\- |变更事件详情。 | |\-\- status |String |success |事件变更状态。 | |\-\- model |String |dynamic_rule_group |变更对象。 | |\-\- model_message |String |规则组 |变更对象说明。 | |\-\- action |String |update |变更动作。 | |\-\- action_message |String |更新了规则组 |变更动作说明。 | |\-\- updates |Array of Object |\- |变更详情。 | |\-\-\-\- ids |Object |null |发生变更实体。 | |\-\-\-\- updates |Object |\- |发送变更内容。 | |\-\-\-\-\-\- key |String |策略名称 |变更内容 key。 | |\-\-\-\-\-\- from |String |空 |原始内容。 | |\-\-\-\-\-\- to |String |审计规则 |变更内容。 | |success |Boolean |true |是否成功。 | |timestamp |Number |1600000000 |操作进行的时间戳。 | ### 员工登录日志员工登录日志记录员工的登录、退出等操作，包含员工信息、客户端信息、操作类型、执行结果和时间，便于排查登录问题和追溯账号活动。 **日志示例：** ```Plain Text <14>1 2023-05-24T12:38:32+08:00 - xxx 19461 - - { "x_key": "employee_login", "open_id": "ou_dV1**zYA", "user_name": "张X", "user_email": "zhangx@example.com", "client_ip": "10.10.*.*", "user_agent": "Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh))", "app_version": "2.1.12", "device_model": "Apple/MacBookPro16,2", "events": "[{\"success\":true,\"error_code\":\"\",\"error_message\":\"\",\"error_message_en\":\"\",\"name\":\"users\",\"action\":\"logout\",\"changes\":[{\"ids\":[2198],\"attrs\":null}]}]", "action": "logout", "success": true, "timestamp": 1684903112 } ``` **字段说明：** |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |x_key |String |employee_login |日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |open_id |String |ou_xxx |用户的 ID，格式为 `ou_xx`。 | |user_name |String |张三 |用户名称。 | |user_email |String |zhangsan@example.com |用户邮箱。 | |client_ip |String |10.10.10.\* |客户端 IP。 | |user_agent |String |Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36 |UA，登录的客户端的标识信息。 | |app_version |String |2.1.0 |版本号。 | |device_model |String |Apple/MacBookPro16,2 |设备类型。 | |events |String |[{"success":true,"error_code":"","error_message":"","error_message_en":"","name":"users","action":"logout","changes":[{"ids":[2198],"attrs":null}]}] |事件详情。 | |action |String |login |操作类型，包括login、logout、login/code/verify。 | |success |Boolean |true |登录是否成功。 | |timestamp |Number |1600000000 |登录的时间，格式为 Unix 秒时间戳。 | ### API 调用日志 API 调用日志记录 API 请求及其处理结果，包含请求路径、调用时间、耗时、响应状态和错误信息，便于排查接口调用问题。 **日志示例：** ```Plain Text <14>1 2024-10-24T21:11:08+08:00 - xxx 2511297 - - { "tenant_id": "********", "x_key": "openapi_request_log", "timestamp": 1770985595105, "create_time": 1770985599746313000, "request_id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx", "user_agent": "Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh))", "request_content_type": "application/json", "response_content_type": "application/json; charset=utf-8", "client_ip": "xxx.xxx.xxx.xxx", "method": "POST", "canonical_path": "/api/open/v1/user/batch_create", "execution_time": 1634, "request_path": "/api/open/v1/user/batch_create?department_id=od_********", "access_key_id": "*", "http_status": 200, "error_message": "参数错误", "error_code": 40000, "request_payload": "{\"email\":\"test_user@example.com\",\"mobile\":\"138********\"}", "response_body": "{\"code\":40000,\"action\":\"alert\",\"message\":\"参数错误\"}", "flags": 12, "is_success": false } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |tenant_id |String |b7f5\*\*\*\* |租户唯一标识 ID。

仅私有化部署场景记录此字段。 | |x_key |String |openapi_request_log |日志类型标识。 | |create_time |Number |1770985599746313000 |日志记录在服务端生成的纳秒级时间戳。 | |access_key_id |Number |6 |调用 API 时使用的 AK/SK。 | |timestamp |Number |1770985595105 |接口请求发生的毫秒级时间戳（Unix Timestamp）。 | |request_id |String |3c64ee48\-\-\-\*\*\*\*\-a21e0d483692 |请求唯一标识符，对应 HTTP Header 中的 `X-Request-Id`。 | |user_agent |String |Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh)) |访问客户端的 User\-Agent 信息，用于识别发起请求的系统及版本。 | |request_content_type |String |application/json |请求体的内容类型。 | |response_content_type |String |application/json; charset=utf\-8 |响应体的内容类型。 | |client_ip |String |114.251.xxx.xxx |发起请求的客户端公网 IP。 | |method |String |POST |接口访问使用的 HTTP 方法。 | |canonical_path |String |/api/open/v1/security/edlp/events/evidence/:type |API 的规范路径，用于唯一识别该接口功能。 | |execution_time |uint64 |1543 |接口请求的执行总耗时，单位为毫秒（ms）。 | |request_path |String |/api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx |实际请求的完整路径，包含 Query 查询参数。 | |http_status |int16 |200 |标准 HTTP 协议响应状态码。 | |error_message |String |服务器错误 |接口返回的错误描述信息。 | |error_code |int32 |50000 |错误码。`0` 表示处理成功，非 `0` 表示业务异常。 | |request_payload |String | |请求体原文数据。最大记录 2 KB，超过限制将被截断。 | |response_body |String | |响应体原文数据。最大记录 12 KB，超过限制将被截断。 | |flags |Number |12 |日志采集状态位掩码，用于追踪数据捕获情况：

* **bit 0**: 请求体超过 2 KB 被截断。

* **bit 1**: 响应体超过 12 KB 被截断。

* **bit 2**: 已记录请求体载荷。

* **bit 3**: 已记录响应体载荷。 | |is_success |Boolean |false |请求是否成功的判定依据。逻辑：`http_status` 为 2xx 且 `error_code` 为 0 时为 `true`。 | ## Wi\-Fi 管理 ### 员工 Wi\-Fi 连接日志/访客 Wi\-Fi 连接日志/哑终端网络连接日志这三类日志记录员工、访客和哑终端的网络连接情况，包含认证账号、设备、连接时间、连接结果及断开信息。三类日志共用字段结构，通过日志类型和账号类型区分。 * 员工 Wi\-Fi 连接日志、访客 Wi\-Fi 连接日志和哑终端网络连接日志使用的是相同的数据结构，通过 `x_key` 和`account_type` 字段内容来表示不同网络连接记录。 * 服务端 3.0.7 及以上版本支持`x_key`字段。 **日志示例：** ```Plain Text <14>1 2023-05-24T12:48:48+08:00 - xxx 19461 - - { "x_key": "wifi_connect_employee", "radius_id": 1, "connect_time": "2006-01-02T15:04:05Z07:00", "disconnect_time": "2006-01-02T15:04:05Z07:00", "connection_result": 1, "connection_group_id": "DEFAULT", "connection_ip": "10.0.0.*", "account_id": 1, "account_username": "zhangsan", "account_type": 1, "device_id": "0000000000", "device_name": "xxxxx", "calling_station_id": "3a:af:28:df:f8:79", "called_station_id": "20:4c:03:2b:30:6c", "creators": "1", "creators_ex": [{ "open_id": "ou_xxx", "user_name": "张三", "user_email": "zhangsan@example.com" }], "remark": "", "option": "connect" } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |wifi_connect_employee |日志类型。

* `wifi_connect_employee`：员工 Wi\-Fi 连接日志：

* `wifi_connect_guest`：访客 Wi\-Fi 连接日志。

* `wifi_connect_terminal`：哑终端网络连接日志。 | |radius_id |Number |1 |RADIUS 节点 ID。 | |connect_time |String |2006\-01\-02T15:04:05Z07:00 |Wi\-Fi 连接的建立时间。 | |disconnect_time |String |2006\-01\-02T15:04:05Z07:00 |Wi\-Fi 连接的断开时间，仅断开时的日志有值。 | |connection_result |Number |1 |连接的状态：

* 1：成功。

* 2：失败。

* 3：降级。 | |connection_group_id |String |DEFAULT |连接的权限字符串。 | |connection_ip |String |10.0.0.\* |DHCP 分配的 IP。 | |account_id |Number |1 |Wi\-Fi 账号 ID。 | |account_username |String |zhangsan |Wi\-Fi 账号用户名。 | |account_type |Number |1 |Wi\-Fi 账号类型：

* 1：访客 Wi\-Fi。

* 2：员工 Wi\-Fi。

* 3：员工有线。

* 4：哑终端。 | |portal_login_type |String |xxx |员工 portal 认证类型。 | |nas_identifier |String |xxx |认证携带的 nas 标识符。 | |nas_id |Number |1 |认证匹配到的网络设备 id。 | |nas_port_id |String | |nas 端口信息。 | |session_id |String | |认证日志标识id。 | |ssid |String |feilian\-inc |无线信号标识符。 | |device_id |String |00000000000000 |认证设备的 DID。 | |device_name |String |xxx |认证设备的设备名。 | |calling_station_id |String |3a:af:28:df:f8:79 |NAS 的 MAC。 | |called_station_id |String |20:4c:03:2b:30:6c |认证设备的 MAC 地址。 | |creators |String |1 |* 对于员工 Wi\-Fi 和员工有线，此字段表示账号的用户 ID。

* 对于访客 Wi\-Fi，此字段表示申请者 ID（多 ID 之间以`\\|` 分隔）。 | |creators_ex |Array of Object |[] |数组类型，依次解释 creators 里每个用户的信息。 | |. open_id |String |ou_xxx |用户 OpenID，可用于 OpenAPI 查询，格式为 `ou_xx`。 | |. user_name |String |张三 |用户名。 | |. user_email |String |zhangsan@xxx.cn |用户邮箱。 | |remarks |String |null |* 若连接失败，此字段显示失败原因。

* 若连接成功，此字段为空。 | |option |String |connect |日志类型，枚举值，包括 connect、disconnect 和 update。 | ## VPN 管理 ### VPN 连接日志 VPN 连接日志记录员工终端建立和断开 VPN 连接的情况，包含员工、设备、VPN 节点、连接时间及操作类型，便于追溯连接状态。 **日志示例：** ```Plain Text <14>1 2023-05-24T12:48:48+08:00 - xxx 19461 - - { "x_key": "vpn_connect_log", "open_id": "ou_dV***zYA", "user_name": "张三", "user_email": "zhangsan@example.com", "client_ip": "10.10.*.*", "device_id": "641162*****58ff43f991312093", "device_os": "Mac 13.2.1", "device_model": "Apple/MacBookPro16,2", "vpn_id": 1, "vpn_ip": "10.*.*.*", "connect_time": "2023-05-24T12:48:45+08:00", "app_version": "Mac v2.1.12", "option": "connect" } ``` **字段说明：** |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |x_key |String |vpn_connect_log |标识日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |open_id |String |ou_xxx |用户 OpenID，可用于 OpenAPI 查询，格式为 `ou_xx`。 | |user_name |String |张三 |用户名。 | |user_email |String |example@xxx.cn |用户邮箱。 | |client_ip |String |10.10.10.\* |客户端 IP 地址。 | |device_id |String |00000000000000 |客户端设备 ID。 | |device_os |String |Mac 12.4 |客户端系统。 | |device_model |String |Apple/MacBookPro16,2 |客户端系统信息。 | |vpn_id |Number |1 |VPN 节点 ID。 | |vpn_ip |String |10.0.0.\* |VPN 节点内网 IP 地址。 | |vpn_ipv6 |String |00::0 |VPN 节点内网 IPv6 地址。 | |connect_time |String |2006\-01\-02T15:04:05Z07:00 |VPN 连接的建立时间。 | |disconnect_time |String |2006\-01\-02T15:04:05Z07:00 |VPN 连接的断开时间，仅断开时的日志有值。 | |app_version |String |2.1.10 |版本号。 | |option |String |connect |日志类型，枚举值，包括 connect 和 disconnect。 | ### VPN 访问日志 VPN 访问日志记录终端建立 VPN 连接后的资源访问情况，包含源地址、目的地址、端口、协议、访问时间及处置动作，便于审计网络访问。 **日志示例：** ```Plain Text <14>1 2023-05-24T12:58:43+08:00 - xxx 13643 - - { "x_key": "vpn_conntrack", "user": "USER_ou_dV1jLvVzYA", "uip": "10.10.*.*:55299", "sip": "10.241.*.*", "dip": "142.251.*.*", "sport": "63031", "dport": "443", "protocol": "tcp", "host": "www.example.com", "action": "accept", "timestamp": "1684904321" } ``` **字段说明：** |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |x_key |String |vpn_conntrack |标识日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |email |String |admin@example.local |用户邮箱。 | |mobile |String |18800\*\*\*\*\*\* |用户手机号。 | |did |String |62d9065661a6e66\*\*\*\*\*0ec839b |设备 ID。 | |smac |String |3c:22:fb:33:86:70 |源 MAC 地址。 | |os |String |Mac |设备操作系统。 | |os_version |String |12.4 |操作系统版本。 | |device_brand |String |Apple |设备品牌。 | |device_model |String |MacBookPro15,4 |设备型号。 | |app_version |String |v2.0.11 |版本号。 | |user |String |USER_ou_xxx |用户，格式为 `USER_{open_id}`。 | |uip |String |10.10. *.* |用户 IP。 | |sip |String |20.20. *.* |源 IP。 | |dip |String |10.92. *.* |目的 IP。 | |sport |String |51293 |源端口。 | |dport |String |18009 |目的端口。 | |protocol |String |udp |协议。 | |host |String |example.com |域名。 | |action |String |accept |处置动作。 | |timestamp |String |1684904321 |访问时间，Unix 秒时间戳。 | ### CPE 访问日志 CPE 访问日志记录分支网关的网络访问行为，可用于审计分支机构通过网关访问资源的情况。 **日志示例：** ```Plain Text <14>1 2023-05-24T13:10:14+08:00 - xxx 19461 - - { "x_key": "cpe_conntrack", "sip": "169.254.*.*", "dip": "100.64.*.*", "sport": "59618", "dport": "80", "protocol": "tcp", "host": "100.64.*.*", "action": "continue", "timestamp": "1752837441", "user": "*", "identity": "*", "uip": "111.19.*.*:6192", "rule": "rule-1" } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |cpe_conntrack |日志类型。

**说明**

服务端 3.1.5 及以上版本支持该字段。 | |sip |String |169.254.. |源 IP。 | |dip |String |100.64.. |目标 IP。 | |sport |String |59618 |源端口。 | |dport |String |80 |目标端口。 | |protocol |String |tcp |通信协议。 | |host |String |100.64.. |HTTP 地址。 | |action |String |continue |访问结果。

* accept：放行。

* continue：识别中。 | |timestamp |String |1752837441 |访问时间，Unix 时间戳，单位秒。 | |user |String | |预留字段，可忽略。 | |identity |String | |预留字段，可忽略。 | |uip |String |111.19..:6192 |预留字段，可忽略。 | |rule |String |rule\-1 |预留字段，可忽略。 | ## AI 安全 ### Agent 全链路审计日志 Agent 全链路审计日志记录 Agent 任务执行过程中的事件，包含会话、事件类型及相关用户信息，可用于追溯任务过程。 **日志示例：** ```Plain Text <14>1 2026-08-12T14:13:00+08:00 - feilian 8537 - - { "x_key":"agent_audit_event", "object_key":"2_6964b3a68541c3e1c6f4c0c031769a48_1786515xxxxx", "session_id":"rollout-2026-08-12T09-50-55-019ff3aa-5a7d-7cb0-9047-026686xxxxx", "timestamp":1786503981053, "cwd":"", "type":"model_output", "user_id":2, "open_id":"ou_aEB1L81Ne9", "username":"linfei", "user_email":"linfei.123@bytedance.com", "mobile":"", "department_path":"feilian", "roles":"", "device_id":"6964b3a68541c3e1c6f4c0c03xxxxx", "device_name":"Lxxxxx-DESKTOP", "device_hostname":"Lxxxxx-DESKTOP", "device_serial_number":"8TDBNZ3", "device_os":"Windows", "device_os_version":"Windows Windows11_v10.0", "app_version":"3318", "app_build_number":"5368", "agent_key":"codex", "session_title":"rollout-2026-08-12T09-50-55-019ff3aa-5a7d-7cb0-9047-026686abe081", "content":"{\"session_id\":\"rollout-2026-08-12T09-50-55-019ff3aa-5a7d-7cb0-9047-026686abe081\",\"text\":\"好呀。11:06 要发给谁、发送什么内容？\",\"timestamp\":1786503981053,\"watcher_source\":\"session_file\"}", "image_keys":[], "create_time":1786515180213701676} ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |agent_audit_event |固定值。

Fixed Value。 | |create_time |Number |1770985599746313000 |记录创建时间。

Record Creation Time。 | |access_key_id |Number |6 |AK/SK primary key。 | |timestamp |Number |1770985595105 |Event timestamp (ms)。 | |request_id |String |3c64ee48\-08d7\-11f1\-8add\-a21e0d483692 |请求唯一 ID\*\*。\*\* 对应 Header 中的 X\-Request\-Id。

Obtained from "X\-Request\-Id" header, usually in UUID format。 | |user_agent |String |Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh)) |访问客户端UA Obtained from "User\-Agent" header。 | |request_content_type |String |application/json |请求体的内容类型。

Request content type, obtained from "Content\-Type" header。 | |response_content_type |String |application/json; charset=utf\-8 |响应体的内容类型。

Response content type, obtained from "Content\-Type" header。 | |client_ip |String |114.251.196.103 |访问客户端IP。 | |method |String |POST |访问方法。 | |canonical_path |String |/api/open/v1/security/edlp/events/evidence/:type |API 的规范路径，用于唯一识别该接口功能。

Canonical path to identify the API, eg. /api/open/v1/security/edlp/events/evidence/:type。 | |execution_time |uint64 |1543 |接口请求的执行总耗时，单位为毫秒（ms）。

Execution time of request in millisecond。 | |request_path |String |/api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx |实际请求的完整路径。

Actual requested path, eg. /api/open/v1/security/edlp/events/evidence/screenshot?event_id=xxxx。 | |http_status |int16 |200 |响应状态码。 | |error_message |String |服务器错误 |接口返回的错误描述信息。

Error message of response。 | |error_code |int32 |50000 |错误码。0 表示处理成功，非 0 表示业务异常。

Feilian error code, 0 if success。 | |request_payload |String | |请求体原文数据。最大记录 2 KB，超过限制将被截断。

Request payload, truncated if size limit is exceeded. Limit is up to 2KB。 | |response_body |String | |响应体原文数据。最大记录 12 KB，超过限制将被截断。

Response body data, truncated if size limit is exceeded. Limit is up to 12KB。 | |flags |Number |12 |日志采集状态位掩码。

Bitmask tracking log capture status:

* bit 0 = request payload too large。

* bit 1 = response body too large。

* bit 2 = request payload was logged。

* bit 3 = response body was logged。 | |is_success |Boolean |false |请求是否成功的判定依据。逻辑：http_status 为 2xx 且 error_code 为 0 时为 true。

true if http_status \>=200 AND http_status <400 AND error_code=0。 | ### Agent 行为护栏告警日志 Agent 行为护栏告警日志记录 Agent 风险行为及护栏处置结果，包含命中的策略、设备、行为类型、目标对象和处置动作，便于追溯风险行为。 **日志示例：** ```Plain <14>1 2026-08-13T10:13:10+08:00 - feilian - - { "tenant_id": "xxxxx", "event_id": "did-001-1786503xxxx", "strategy_key": "abg_policy_xxx", "strategy_name": "默认 Agent 行为护栏策略", "policy_version": "20260813.1", "did": "did-001", "uid": 1001, "device_os": "windows", "agent_object": "cursor", "process_key": "cursor", "process_matcher_id": 123456, "resource_key": "net-prod-api", "behavior_type": "network", "target_object": "api.example.com", "detail_domain": "api.example.com", "detail_remote_ip": "10.x.x.x", "detail_resolved_addresses": "10.1.2.3,10.x.x.x", "action": "block", "result": "blocked", "rule_id": "98765xxxx", "process_path": "", "command_line": "", "related_app_id": "", "extension_id": "", "publisher": "", "event_time": 1786503981, "report_time": 1786503990 } ``` **字段说明：** |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |tenant_id |String |tenant\-g |租户 ID。来自服务端上下文，是外发与排查的租户维度。仅私有化部署场景记录此字段。 | |event_id |String |did\-001\-1786503981\-0 |事件唯一标识。客户端未上报时由服务端按 did、接收时间和事件序号补齐。 | |strategy_key |String |abg_policy_001 |命中的行为护栏策略 key，对应客户端上报的 policy_id。 | |strategy_name |String |默认 Agent 行为护栏策略 |命中策略名称快照。服务端按 strategy_key 回填；取不到时可能等于策略 key。 | |policy_version |String |20260813.1 |客户端命中的策略版本号。 | |did |String |did\-001 |设备 DID。 | |uid |Number |1001 |用户 UID；未知时为 0。 | |device_os |String |windows |设备操作系统。服务端使用客户端 OS 并转为小写。 | |agent_object |String |cursor |历史对象字段，当前与 process_key 同源，用于兼容旧链路。 | |process_key |String |cursor |Agent 或进程对象主键。 | |process_matcher_id |Number |123456 |命中的进程匹配器 ID；未知时为 0。 | |resource_key |String |net\-prod\-api |资源 key。 | |behavior_type |String |network |行为类型。枚举：file、network、command、registry。 | |target_object |String |api.example.com |目标对象。file 为文件路径，network 优先域名、其次远端 IP、最后解析地址，command 为命令行，registry 为注册表 key。 | |detail_domain |String |api.example.com |网络行为域名明细；非 network 或无域名时为空。 | |detail_remote_ip |String |10.1.2.3 |网络行为远端 IP 明细；非 network 或无远端 IP 时为空。 | |detail_resolved_addresses |String |10.1.2.3,10.1.2.4 |网络行为域名解析 IP 列表，多个值用英文逗号拼接。 | |action |String |block |护栏动作。当前枚举：audit、block。空动作或未知动作按 block 处理。 | |result |String |blocked |动作结果。当前枚举：audited、blocked。 | |rule_id |String |987654321 |命中的规则 ID，服务端以字符串形式外发；未上报时为空。 | |event_time |Number |1786503981 |事件发生时间，Unix 秒级时间戳。客户端未带 timestamp 时使用服务端接收时间兜底。 | |report_time |Number |1786503990 |服务端接收并上报外发的时间，Unix 秒级时间戳。外发行 Row.Time 优先使用该时间。 | ### Skill 防护日志 Skill 防护日志记录终端命中 Skill 防护策略的风险事件，包含风险项详情、关联用户与设备、处置状态及命中策略等信息，可用于追溯 Skill 安全事件和处置情况。 **日志示例：** ```JSON <14>1 2026-09-18T10:13:10+08:00 - feilian - - - { "x_key": "skill_protect", "tenant_id": "tenant-1", "event_id": "event-1", "file_status_updated_at": 1786503990, "first_alert_at": 1786503981, "skill_id": "skill-1", "skill_name": "demo-skill", "skill_path": "/skills/demo-skill", "sha256": "9f86d081884c7d659a2feaa0c55ad015...", "md5": "098f6bcd4621d373cade4e832627b4f6", "risks": [ { "threat_type": "code.malicious_code", "threat_name": "恶意代码", "description": "检测到可疑命令执行逻辑", "evidence": [ { "file_code": "exec(command)", "file_path": "index.js", "file_line": 8 } ] } ], "user": { "id": 1001, "name": "示例用户", "department": "/研发中心", "mobile": "138****0000", "email": "user@example.com", "hire_time": "2024-01-02", "expire_time": 1800000000, "status": 1 }, "device": { "id": "device-1", "name": "Example Device", "os": "macOS", "ip": "10.0.0.1", "app_version": "7.8.9", "build_number": "20260826" }, "file_status": "deleted", "file_status_code": 5, "policy": { "key": "policy-1", "name": "默认 Skill 防护策略" }, "cloud_query_method": 1 } ``` **字段说明：** |字段 |类型 |示例 |描述 | |---|---|---|---| |x_key |String |skill_protect |日志类型标识，固定为 skill_protect。 | |tenant_id |String |tenant\-1 |租户 ID，来自 ClickHouse 事件快照。仅私有化部署场景记录此字段。 | |event_id |String |event\-1 |事件 ID。 | |file_status_updated_at |Number |1786503990 |当前聚合快照的最近告警时间，Unix 秒级时间戳，取自 last_seen。该字段不是独立记录的处置动作发生时间。 | |first_alert_at |Number |1786503981 |首次告警时间，Unix 秒级时间戳，取自 first_seen。 | |skill_id |String |skill\-1 |Skill 唯一标识。 | |skill_name |String |demo\-skill |Skill 名称。 | |skill_path |String |/skills/demo\-skill |Skill 在设备上的路径。 | |sha256 |String |9f86d081... |Skill 文件或内容的 SHA\-256 值。 | |md5 |String |098f6bcd... |Skill 文件或内容的 MD5 值。 | |risks |Array |\- |风险项数组。没有可用风险时输出空数组，不省略字段。同一个 Skill 可以包含多个风险，并保持风险项的原始顺序。 | |\-\- threat_type |String |code.malicious_code |风险类型标识。 | |\-\- threat_name |String |恶意代码 |本地化风险名称。存储值为空时按 threat_type 查询名称；仍为空时省略。 | |\-\- description |String |检测到可疑命令执行逻辑 |风险描述。 | |\-\- evidence |Array |\- |风险证据数组，对应存储风险项中的 alert_details。 | |\-\- file_code |String |exec(command) |命中风险的代码片段。 | |\-\- file_path |String |index.js |证据所在文件路径。 | |\-\- file_line |Number |8 |证据所在行号；无行号时为 0。 | |user |Object |\- |关联用户。对象始终输出；组织信息补充失败时至少保留 id。 | |\-\- id |Number |1001 |用户 ID，取自 ClickHouse user_id。字段始终输出，未知时为 0。 | |\-\- name |String |示例用户 |用户姓名，取自组织架构用户信息；为空时省略。 | |\-\- department |String |/研发中心 |用户部门路径。优先使用主部门路径，缺失时省略。 | |\-\- mobile |String |138\*\*\*\*0000 |用户手机号；为空时省略。 | |\-\- email |String |user@example.com |用户邮箱；为空时省略。 | |\-\- hire_time |String |2024\-01\-02 |用户入职日期原始值；为空时省略。 | |\-\- expire_time |Number |1800000000 |用户过期时间，Unix 秒级时间戳；未设置时省略。 | |\-\- status |Number |1 |用户状态；值为 0 时省略。 | |device |Object |\- |关联设备。对象始终输出；设备信息补充失败时至少保留 ClickHouse 中的 id、os 和 app_version。 | |\-\- id |String |device\-1 |设备 DID，取自 ClickHouse device_id。字段始终输出。 | |\-\- name |String |Example Device |设备名称，取自设备服务；为空时省略。 | |\-\- os |String |macOS |设备操作系统。先使用 ClickHouse 快照值，设备服务查询成功时使用实时设备值覆盖；为空时省略。 | |\-\- ip |String |10.0.0.1 |设备最近一次上报的客户端 IP，取自设备服务；为空时省略。 | |\-\- app_version |String |7.8.9 |飞连客户端版本。先使用 ClickHouse 快照值，设备服务查询成功时使用实时设备值覆盖；为空时省略。 | |\-\- build_number |String |20260826 |客户端构建号，取自设备服务；为空时省略。 | |file_status |String |deleted |处置状态名称，由 disposition_action 转换得到。

枚举与映射：

* not_disposed（code=1）：未处置，仅用于兼容旧状态。

* isolated（code=2）：已隔离。

* trusted（code=3）：已信任。

* disinfected（code=4）：已消毒。

* deleted（code=5）：已删除。

* not_isolated（code=8）：未隔离。未知、未处置、恢复文件和取消信任等动作会收敛为该状态。

* allowlisted（code=9）：已加入白名单。

* unknown_{code}（其他值）：未识别状态。例如编码为 10 时输出 unknown_10。 | |file_status_code |Number |5 |处置状态编码，与 file_status 的状态名称对应。取值及含义参见 file_status 的枚举与映射。例如，5 表示已删除（deleted）。 | |policy |Object |\- |命中的 Skill 防护策略。无策略信息时输出空对象。 | |\-\- key |String |policy\-1 |命中策略的配置 key；为空时省略。 | |\-\- name |String |默认 Skill 防护策略 |命中策略名称；为空时省略。 | |cloud_query_method |Number |1 |云查方式，直接透传 ClickHouse cloud_query_type。

枚举与映射：

* 0 = Skill Hash 云查：通过 Skill Hash 查询风险结果。

* 1 = Skill 内容云查：上传 Skill 内容并查询风险结果。

* 其他值 = 未知方式：服务端不改写未知数值，接收方应保留原值并按未知类型处理。 | ## 终端安全 ### 终端防病毒\-病毒查杀日志病毒查杀日志记录终端检测到的病毒事件，包含设备、检测策略、威胁文件、威胁等级和处置动作，便于分析病毒告警和处置情况。 **日志示例：** ```Plain Text <14>1 2023-05-24T13:10:14+08:00 - xxx 19461 - - { "x_key": "anti_virus", "event_id": "xxxx", "open_id": "xxx", "username": "", "user_email": "example.xxx.cn", "mobile": "", "timestamp": 17012345678, "report_time": 17012345678, "config_key": "xxx", "config_name": "xxx", "device_ip": "10.0.*.*", "device_id": "xxxxxxxx", "scan_mode": "realtime_scan", "scan_scene": "sensitive_file_protect", "scan_id": "xxx", "threat_object_flag": "av_object_file", "threat_object_id": "c:\\users\\mimikatz.exe+7862ac21eb3****247c188c5f8179f", "threat_file_path": "", "threat_file_hash": "xxx", "threat_file_size": 123, "threat_file_type": "win32exe", "process_name": "", "threat_type": "virus", "raw_malware_name": "Generic.Trojan.Mimikatz.Marte.!s!.A.301958EE", "threat_level": 1, "remediation": "remind_only" } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |anti_virus |日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |event_id |String |9312dc30\-b0a4\-43d2\-add1\-6707ec\*\* |事件 ID。 | |open_id |String |ou_W9Yz\*\*\*8e |用户 ID，格式为 `ou_xx`。 | |username |String |张三 |用户名称。 | |user_email |String |example@xxx.cn |用户邮箱。 | |mobile |String |18800\*\* |用户手机号。 | |timestamp |Number |1662626747 |事件发生时间，格式为 Unix 时间戳。 | |report_time |Number |1662626747 |事件上报时间，格式为 Unix 时间戳。 | |config_key |String |2212dc30\-2222\-1111\-00aa\-6707ecf2c1c0 |终端防病毒策略的 key。 | |config_name |String |策略 AAA |终端防病毒策略的名称。 | |device_ip |String |10.10.10.\* |设备 IP。 | |device_id |String |62d9065661a6e66\*0ec839b |设备 ID。 | |device_name |String |Example's Device |设备名。 | |device_hostname |String |CORPLINK\-PC |设备主机名。 | |device_serial_number |String |5053565a4331384b365\*\*\*\*64e4e48384a |设备序列号。 | |device_os |String |windows |操作系统，包括 windows、mac、linux。 | |app_version |String |2.1.0 |版本号。 | |scan_mode |String |realtime_scan |检测模式。 | |scan_scene |String |sensitive_file_protect |扫描场景。 | |scan_id |String |e21b829f\-18a5\-4437\-b7e0\-0192a0\*\* |扫描任务 ID。 | |threat_object_flag |String |av_object_file |可疑对象的种类。 | |threat_object_id |String |c:\users\mimikatz.exe+7862ac21e\*\*\*\*c188c5f8179f |可疑对象ID。 | |threat_file_path |String |c:\users\mimikatz.exe |可疑文件在用户机器上的路径。 | |threat_file_hash |String |7862ac21eb3f8c4e8247c188c5f8179f |可疑文件 hash。 | |threat_file_size |String |1355680 |可疑文件大小。 | |threat_file_type |String |win32exe |可疑文件类型。 | |process_name |String |mimikatz.exe.zip |相关进程名称。 | |threat_type |String |virus |威胁分类。

phishing 钓鱼软件。 | |raw_malware_name |String |Generic.Trojan.Mimikatz.Marte.!s!.A.301958EE |原始威胁名称。 | |threat_level |Number |1 |威胁等级。 | |remediation |String |remind_only |默认处置方式。

* remind_only\-宽松。

* remind_quarantine_recoverable\-适中。

* remind_quarantine_unrecoverable \- 严格。 | |disposition_action |Number |1 |0 // 报毒。

1 // 报毒。

2 //隔离文件。

3 //恢复文件。

4 //删除文件。

5 //消毒文件。

6 //添加信任文件。

7 //添加信任目录。

8 //删除信任文件。

9 //删除信任目录。

10 //添加信任文件名称。

11 //删除信任文件名称。

12 //添加信任文件MD5。

13 //删除信任文件MD5。

14 //添加信任文件SHA1。

15 //删除信任文件SHA1。 | ## 动态控制 ### 动态控制日志动态控制日志记录动态控制策略的执行情况，包含触发条件、命中规则、处置动作及执行结果，便于排查策略触发和处置问题。 **日志示例：** ```Plain Text <14>1 2023-05-24T13:05:05+08:00 - xxx 19461 - - { "x_key": "dynamic_engine", "id": "738e8595-ff45-4343-8326-bb3***088", "open_id": "ou_dV1***zYA", "username": "张三", "user_email": "zhangsan.9612@example.com", "did": "62c24a*****17be079189b968bb7d7", "trigger": "period_5_min", "trigger_label": "", "action_key": "wifi-device-downgrade", "timestamp": 1684904700, "action_record_type": 1, "context": { "user_id": 2198, "user_agent": "", "did": "62c24a3***b968bb7d7", "ip": "", "event": {}, "params": { "user_id": "21 ** 8" }, "result": null }, "is_manual": false, "undo": false, "result_code": 0, "group_id": 49, "rule_id": 406 } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |dynamic_engine |日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |action_key |String |abort\-request |处置动作。 | |action_record_type |String |1 |处置类型：

* 1：执行。

* 2：自动恢复。

* 3：手动恢复。 | |context |String |{"user_id":7,"user_agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7） AppleWebKit/605.1.15 （KHTML， like Gecko） Version/15.6.1 Safari/605.1.15"，"did":""，"ip":"10.10.."，"event":{}，"params":{"roles":[1]}，"result":[{"name":"abort_request"，"undo":false，"args":"["用户所属角色被管理员禁止登录"，"role has been limited"]"}]} |上下文，JSON 字符串，包含处置时的参数及处置结果。 | |did |String |62d90656\*\*0ec839b |设备 ID。 | |id |String |101 |处置记录 ID。 | |is_manual |String |false |是否是手动。 | |result_code |String |0 |执行结果：

* 0：执行成功。

* 1：被限流。

* 2：已手动恢复。

* 99：未知错误。 | |timestamp |String |1662626747 |操作的时间，格式为 Unix 时间戳。 | |trigger |String |web_login |触发点。 | |trigger_label |String |门户登录（登录尝试） |触发点（中文）。 | |undo |String |false |是否是自动恢复。 | |user_id |String |ou_W9Y\*\*\*r8e |用户 ID。 | |group_id |String |45 |触发规则组 ID。 | |rule_id |String |461 |触发规则 ID。 | ## 零信任 ### 应用网关访问日志应用网关访问日志记录用户通过应用网关访问内部 Web 系统的请求，包含请求地址、方法、响应状态、耗时及用户信息，便于审计应用访问。 **日志示例：** ```Plain Text <14>1 2025-11-28T15:24:10+08:00 - xxx 9493 - - { "tenant_id": "00000000", "x_key": "agw_access_log", "sip": "114.251.*.*", "sport": "63074", "protocol": "HTTP/1.1", "schema": "https", "method": "POST", "host": "fakebaidu.com", "uri": "/EWS/Exchange.asmx", "intranet_ip": "127.0.0.1", "referer": "", "user_agent": "AppleExchangeWebServices/835 ExchangeSync/2007", "status": 401, "size": 0, "duration": 0.01093102, "level": "error", "timestamp": 1764314646, "trace_id": "fb4d8abe-d2b1-4a47-b848-c2abf5******", "user": { "open_id": "ou_JwBN******", "username": "张三", "user_email": "zhangsan@example.com", "departments": ["测试"] }, "api_resource_groups": [{ "id": 5, "name": "全部资源", "app_id": 37, "api_resources": [{ "headers": ["GET", "POST", "PUT", "DELETE", "OPTIONS"], "path": "/*" }] }], "app_name": "网关测试", "app_gateway_name": "测试节点" } ``` |**字段** |**类型** |**示例** |**描述** | |---|---|---|---| |tenant_id |String |00000000 |租户ID。仅私有化部署场景记录此字段。 | |x_key |String |agw_access_log |日志类型。

**说明**

服务端 3.1.5 及以上版本支持该字段。 | |sip |String |114.251. *.* |源IP，请求网关的客户端IP地址。 | |sport |String |62596 |源端口，请求网关的客户端端口。 | |protocol |String |HTTP/1.1 |HTTP协议版本。 | |schema |String |http |协议头，http或https。 | |method |String |POST |请求方法。 | |host |String |fakebaidu.com |请求域名。 | |uri |String |/firm/pricvate |请求路径。 | |intranet_ip |String |127.0.0.1 |网关服务器的内网IP地址。 | |referer |String |[http://fakebaidu.com/firm/private](http://fakebaidu.com/firm/private) |http请求头中的字段。 | |user_agent |String |Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Safari/537.36 |http请求头中的字段。 | |status |int32 |200 |http请求返回的状态字段。 | |size |int32 |93264 |http请求大小。 | |duration |float64 |0.319 |http请求耗时。 | |level |String |info |网关日志级别。 | |timestamp |int64 |1760605802 |时间戳。 | |trace_id |String |fb4d8abe\-d2b1\-4a47\-b848\-c2abf5\*\*\*\*\*\* |追踪ID。 | |user.open_id |String |ou_xd7J\*\*\*\*\*\* |用户的 ID，格式为 ou_xx。 | |user.username |String |张三 |用户名称。 | |user.user_email |String |zhangsan@example.com |用户邮箱。 | |user.departments |Array of String |测试 |用户所属部门。 | |api_resource_groups |APIResourceGroup[] |{

"id": 6,

"name": "全部资源",

"app_id": 208,

"api_resources": [

{

"headers": [

"GET",

"POST",

"PUT",

"DELETE",

"OPTIONS"

],

"path": "/\*"

}

]

} |当前请求所属的API资源。 | |app_name |String |网关测试 |当前请求所属的网关应用。 | |app_gateway_name |String |测试节点 |当前请求所属的网关。 | ### ZTNA 连接日志 ZTNA 连接日志记录员工开启和断开代理的情况，包含员工、设备、连接与断开时间、连接地址及接入集群信息，便于追溯代理连接。 **日志示例：** ```JSON { "x_key": "ztna_connect_log", "did": "example-device-id", "open_id": "ou_example", "user_name": "示例员工", "user_email": "user@example.com", "department": "示例企业/研发部", "connect_at": "2026-09-16T09:00:00+08:00", "disconnect_at": "2026-09-16T10:00:00+08:00", "internal_ip": "10.0.0.10", "internal_ipv6": "", "client_ip": "192.0.2.10", "active_client_ip": "192.0.2.11", "os": "Mac", "os_version": "15.0", "app_version": "3.3.20", "device_brand": "Apple", "device_model": "MacBookPro", "connect_type": 1, "cluster_id": 10, "cluster_name": "示例接入集群", "option": "disconnect" } ``` **字段说明：** |字段 |类型 |示例 |描述 | |---|---|---|---| |x_key |String |ztna_connect_log |外发日志类型标识；属于外发公共封装。 | |did |String |example\-device\-id |设备 ID。 | |open_id |String |ou_example |员工 OpenID，由外发时补充用户信息获得。 | |user_name |String |示例员工 |员工名称。 | |user_email |String |user@example.com |员工邮箱。 | |department |String |示例企业/研发部 |部门路径字符串，不是部门 ID 数组。 | |connect_at |String |2026\-09\-16T09:00:00+08:00 |连接开始时间；源字段 connect_time 在模板中改名。 | |disconnect_at |String |2026\-09\-16T10:00:00+08:00 |断开时间；源字段 disconnect_time 在模板中改名。 | |internal_ip |String |10.0.0.10 |终端内网 IPv4。 | |internal_ipv6 |String |空字符串 |终端内网 IPv6，无数据时可为空。 | |client_ip |String |192.0.2.10 |连接请求源 IP。 | |active_client_ip |String |192.0.2.11 |客户端活跃 IP，可能与连接请求源 IP 不同。 | |os |String |Mac |操作系统标识；不是操作系统版本。 | |os_version |String |15.0 |操作系统版本。 | |app_version |String |3.3.20 |飞连客户端版本。 | |device_brand |String |Apple |设备品牌。 | |device_model |String |MacBookPro |设备型号。 | |connect_type |Number |1 |1：自动选点；2：手动选点；3：未知。 | |cluster_id |Number |10 |关联集群 ID。 | |cluster_name |String |示例接入集群 |集群名称快照，无信息时可为空。 | |option |String |disconnect |connect：连接；disconnect：断开。 | ### 零信任代理访问日志代理四层访问日志和代理七层访问日志共用“零信任代理访问日志”外发项。记录用户经代理网关访问应用时命中的访问策略、放行或阻断结果，以及源地址、目标地址、设备和进程信息。日志外发类型为 `tgw_access_log`，在外发管理中显示为“零信任代理访问日志”，支持 Syslog 和 Elasticsearch。四层日志由代理网关产生，并由网关节点的日志采集服务发送。可选字段无值时可能省略。 **日志示例：** ```JSON { "x_key": "tgw_access_log", "user": "USER_ou_example", "identity": "DEPARTMENT_od_example,ROLE_or_example", "did": "example-device-id", "os": "Mac", "sip": "192.0.2.10", "dip": "192.0.2.20", "sport": "53000", "dport": "443", "protocol": "tcp", "host": "app.example.com", "process_name": "example-client", "process_sig": "", "process_path": "/Applications/Example.app", "action": "accept", "rule": "示例应用||示例策略|12|34|0", "timestamp": "1789549200" } ``` **字段说明：** |字段 |类型 |示例 |描述 | |---|---|---|---| |x_key |String |tgw_access_log |外发日志类型标识。 | |tenant_id |String |example |租户标识，多租户发送场景按上下文补充。仅私有化部署场景记录此字段。 | |user |String |USER_ou_example |员工标识，带 USER_ 前缀。 | |identity |String |DEPARTMENT_od_example,ROLE_or_example |部门、角色等身份标识，以逗号分隔。 | |did |String |example\-device\-id |设备 ID。 | |os |String |Mac |操作系统标识。 | |sip |String |192.0.2.10 |代理网关观察到的请求源 IP。 | |dip |String |192.0.2.20 |目标 IP；域名访问放行后可填充解析结果。 | |sport |String |53000 |源端口，使用字符串表示。 | |dport |String |443 |目标端口，使用字符串表示。 | |protocol |String |tcp |协议，例如 tcp、udp、icmp。 | |host |String |app.example.com |目标域名或目标 IP。 | |process_name |String |example\-client |客户端上报的进程名称。 | |process_sig |String |空字符串 |客户端上报的进程签名。 | |process_path |String |/Applications/Example.app |客户端上报的进程路径。 | |action |String |accept |访问策略处理结果，如 accept（放行）、drop（阻断）。 | |rule |String |示例应用\\|\\|示例策略\\|12\\|34\\|0 |命中的规则名称。应用规则通常包含应用名、标签名、策略名、策略 ID、应用 ID及地址序号；默认规则可能采用其他名称。 | |timestamp |String |1789549200 |事件发生时间，Unix 秒级时间戳字符串。 | |email |String |user@example.com |可选员工邮箱，未采集时省略。 | |mobile |String |脱敏手机号 |可选员工手机号，未采集时省略。 | |smac |String |00:00:00:00:00:00 |可选源 MAC，未采集时省略。 | |os_version |String |15.0 |可选操作系统版本，未采集时省略。 | |device_brand |String |Apple |可选设备品牌，未采集时省略。 | |device_model |String |MacBookPro |可选设备型号，未采集时省略。 | |app_version |String |3.3.20 |可选客户端版本，未采集时省略。 | |uip |String |192.0.2.10 |可选用户地址信息，未采集时省略。 | |path |String |/example |可选路径，四层代理日志通常不包含。 | ## 终端管理 ### 设备信息日志设备信息日志记录设备及其关联用户的信息，包含设备标识、操作系统、硬件配置、设备状态和所属用户等字段，便于在外部日志平台关联设备信息。 **日志示例：** ```Plain Text <14>1 2023-05-24T13:10:14+08:00 - xxx 19461 - - { "x_key": "device_info", "did": "668d9d86e6f****8a98e62725", "device_name": "JWVQRXWYXL", "os": "Mac", "os_ver": "14.6.1", "os_model": "macOS 14.6.1", "os_detail_version": "23G93", "app_ver": "3014", "brand": "Apple", "model": "Mac15,6", "language": "en-US", "client_ip": "10.10.*.*", "mac_addrs": "[\"4e:80:b2:60:15:8f\",\"66:6e:fe:47:42:2c\",\"66:6e:fe:47:42:2d\",\"a2:a9:97:42:15:e0\",\"36:0c:ed:a4:76:c0\",\"80:a9:97:42:15:e0\",\"66:6e:fe:47:42:0c\",\"36:0c:ed:a4:76:c4\",\"36:0c:ed:a4:76:c8\",\"66:6e:fe:47:42:0d\"]", "serial_number": "JWVQRXWYXL", "created_at": "2024-07-16T15:31:57+08:00", "updated_at": "2024-08-26T17:07:07+08:00", "is_live": true, "device_status": 1, "device_info": { "product_id": "", "serial_number": "JWVQRXWYXL", "memory_total": 36864, "memory_available": 11619, "disk_total": 471482, "disk_available": 385065, "cpu_model": "Apple M3 Pro", "cpu_serial_number": "", "gpu_model": "Apple M3 Pro", "nic_type": "Wi-Fi (0x14E4, 0x4388)", "login_user": "admin", "is_vm": false, "nic_detail_list": [{ "nic_type": "en2", "mac_addr": "36:0c:ed:a4:76:c4", "active": false, "description": "en2", "has_traffic": false, "ipv4": "", "ipv6": [], "is_default": "0" }, { "nic_type": "en4", "mac_addr": "66:6e:fe:47:42:0c", "active": false, "description": "en4", "has_traffic": false, "ipv4": "", "ipv6": [], "is_default": "0" }], "os_install_date": 1720556814, "ssd_serial_numbers": ["0ba0225c433cd629"] }, "ext_attr_list": [{ "id": 86, "def": { "id": 86, "name": "是否是公司设备", "key": "是否是公司设备", "desc": "", "type": 3, "is_required": false, "is_unique": false }, "value": true }], "groups": [{ "id": 6, "name": "公司资产", "mode": 2 }, { "id": 107, "name": "设备分组示例", "mode": 2 }], "user_id": "ou_PO1***P2Va", "full_name": "username", "mobile": "", "email": "abc@def.com", "department_id": "od_yN***vzz", "status": 1, "department_path": "example/xxxx/yyyy", "icon_url": "https://xxxxxxx", "roles": [{ "name": "Employees", "id": "or_N1**EV" }], "third_party_user_id": "92**3e1" } ``` **字段说明：** |字段 |类型 |示例 |**描述** | |---|---|---|---| |x_key |String |device_info |日志类型。

**说明**

服务端 3.0.7 及以上版本支持该字段。 | |did |String |62d9065661a6e66\*0ec839b |设备 did。 | |device_name |String |Example's Device |设备名称。 | |os |String |Windows |操作系统。 | |os_ver |String |10 |系统版本。 | |os_model |String |macOS 14.6.1 |操作系统类型。 | |os_detail_version |String |23G93 |操作系统详细版本。 | |app_ver |String |2.0.13 |版本号。 | |brand |String |Apple |品牌。 | |model |String |MacBookPro16,2 |型号。 | |language |String |zh\-CN |语言。 | |client_ip |String |10.10.10.\* |客户端 IP。 | |mac_addrs |String |4e:80:b2:60:15:8f |MAC 地址。 | |serial_number |String |5053565a4331384b365134373... |设备序列号。 | |created_at |String |2006\-01\-02 15:04:05.999 \-0700 MST |创建时间。 | |updated_at |String |2006\-01\-02 15:04:05.999 \-0700 MST |更新时间。 | |software_num |Number |1 |软件数量。 | |is_live |Boolean |1 |是否活跃。 | |device_status |Number |0 |设备状态：

* 0：设备失效。

* 1：设备活跃。

* 2：设备休眠。 | |device_info |Object |\- |设备信息。 | |. product_id |String |1 |产品 ID。 | |. serial_number |String |JWVQRXWYXL |序列号。 | |. memory_total |Number |36864 |总内存大小，单位 MB。 | |. memory_available |Number |11619 |可用内存大小，单位 MB。 | |. mem_serial_numbers |Array of String |null |内存序列号。 | |. disk_total |Number |500000 |总磁盘大小，单位 MB。 | |. disk_available |Number |100000 |可用磁盘大小，单位 MB。 | |. cpu_model |String |Apple M3 Pro |CPU 型号。 | |. cpu_serial_number |String |1 |CPU 序列号。 | |. gpu_model |String |Apple M3 Pro |GPU 型号。 | |. nic_type |String |en4 |网卡型号。 | |. login_user |String |admin |用户名称。 | |. is_vm |Boolean |false |是否虚拟机。 | |. nic_detail_list |Array of Object |\- |网卡详情。 | |.. nic_type |String |en2 |网卡类型。 | |.. mac_addr |String |36:0c:ed:a4:76:c4 |MAC 地址。 | |.. active |Boolean |false |是否活跃。 | |.. description |String |en2 |描述。 | |. os_install_date |String |1662626747 |安装时间，格式为 Unix 时间戳（秒）。 | |. hdd_serial_numbers |Array of String |null |磁盘序列号。 | |. ssd_serial_numbers |Array of String |["0ba0225c433cd629"] |磁盘序列号（固态）。 | |ext_attr_list |Array of Object |\- |拓展属性列表。 | |. id |Number |86 |属性值 ID。 | |. def |Object | |属性定义。 | |. value |Any |city |属性值。 | |groups |Array of Object |\- |设备分组。 | |. id |Number |1 |主键 ID。 | |. name |String |xxx |分组名称。 | |. mode |Number |1 |区分手动/自动。 | |user_id |String |ou_xxx |用户的ID，格式为： `ou_xxx`。 | |full_name |String |张三 |用户姓名。 | |mobile |String |18800\*\* |用户手机号。 | |email |String |zhangsan@example.com |用户邮箱。 | |department_id |String |od_xxx |部门的 ID，格式为： `od_xxx`。 | |status |Number |1 |用户状态：

* 1：启用。

* 2 ：禁用。

* 3 ：离职。 | |department_path |String |/1/2 |所属部门路径。 | |icon_url |String |/api/v1/attach/download?key=xxxxx |用户头像。 | |third_party_user_id |String |1 |三方用户 ID。 | |roles |Array of Object |\- |角色。 | |. name |String |角色 A |角色名称。 | |. id |String |or_xxx |角色 ID，格式为：`or_xxx`。 |