AWS Network Firewall

AWS Network Firewall 로그

#	Field	Type	Display name	Description
1	_time	DATE	시각
2	event_type	STRING	이벤트유형	예: alert, netflow
3	src_ip	IP	출발지IP
4	src_port	PORT	출발지포트
5	dst_ip	IP	목적지IP
6	dst_port	PORT	목적지포트
7	protocol	STRING	프로토콜	예: TCP, UDP, ICMP
8	app_protocol	STRING	응용프로토콜	예: tls, http, dns
9	direction	STRING	방향	to_server, to_client
10	action	STRING	대응	DETECT, BLOCK
11	verdict_action	STRING	최종판정	예: drop
12	raw_action	STRING	원본대응	allowed, blocked
13	signature	STRING	공격명	예: aws:alert_strict action
14	signature_id	INT	시그니처ID
15	severity	INT	심각도
16	category	STRING	분류	규칙 분류, 미설정 시 빈 값
17	aws_category	STRING	URL분류	예: ["Search Engines and Portals"]
18	flow_id	LONG	플로우ID
19	http_hostname	STRING	HTTP호스트	예: example.com
20	http_method	STRING	HTTP메소드	예: GET
21	http_url	STRING	URL	예: /path
22	http_status	INT	HTTP응답코드
23	http_user_agent	STRING	유저에이전트	예: curl/8.11.1
24	sni	DOMAIN	SNI	예: example.com
25	query_rrname	DOMAIN	DNS질의명	예: example.com
26	firewall_name	STRING	방화벽명	예: test-firewall
27	availability_zone	STRING	가용영역	예: ap-northeast-2a
28	bucket_name	STRING	버킷명	S3 버킷 이름 (수집기 전용)
29	region	STRING	리전	방화벽 리전 (수집기 전용). 예: ap-northeast-2

action 값

원본 값(raw_action)	action
allowed	DETECT
blocked	BLOCK

그 밖의 원본 값은 대문자로 변환해 저장합니다. 실제 처리 결과는 verdict_action으로 확인합니다.

bucket_name, region은 AWS Network Firewall 수집기가 추가하는 필드입니다. 사용자 정의 수집 모델에서 다른 수집기와 AWS Network Firewall 파서를 함께 사용하면 생성되지 않습니다.