日志轉發是指將日志數據從日志審計服務實時或準實時地傳輸到外部服務器的過程，支持轉發業務日志、操作日志、告警日志。

新增日志轉發任務

1. 登錄日志審計實例控制臺。

2. 在左側導航欄選擇“系統配置 > 日志轉發”，進入“日志轉發”頁面。

3. 根據業務需求，選擇需要轉發的日志或告警，單擊“新增”按鈕。

   

4. 在彈出的窗口中填寫相關參數。

   參數	說明
   名稱	自定義名稱，不超過50個字符長度。
   數據過濾規則	通過配置過濾參數，篩選要轉發的日志： 業務日志轉發：支持通過事件名稱、設備IP、設備類型、事件等級、事件分組字段進行篩選。 操作日志轉發：不涉及。 告警日志轉發：支持通過源/目的IP、源/目的端口、告警名稱、告警大/小類、告警等級、開始/結束時間進行篩選。
   描述	自定義內容，不超過512個字符長度。
   日志發送類型	可選udp和kafka方式，配置后該參數不可修改。 udp轉發方式：支持添加多個目標。 目標地址：請輸入合法的IP地址，暫不支持IPv6地址。 目標端口：請輸入1~65535之間的端口。 Kafka轉發方式： IP：請輸入合法的IP地址，暫不支持IPv6地址。 端口：請輸入1~65535之間的端口。 發送Topic：Kafka的Topic。 協議：支持PLANINTEXT和SSL/TLS協議。 若選擇SSL/TLS協議，還需要配置如下參數： Keystore文件：僅支持上傳.jks類型文件。 Keystore.Password：請輸入正確的Keystore認證密碼。 Key.Password：請輸入正確的Key認證密碼。 Truststore文件：僅支持上傳.jks類型文件。 Truststore.Password：請輸入正確的Truststore認證密碼。

5. 填寫完成后單擊“提交”即可。

日志格式說明

業務日志

外發采集到的日志原文，請前往日志源服務查看日志說明。

告警日志

日志示例：

{ "from_ana_single": { "alarm_name": "新增賬號告警", "alert_source": "9", "alarm_level": "1", "merge_way": "1,4", "alert_type": "180", "alert_type_sub": "1802", "attack_stage": "4", "protocol": "", "alert_count": "1", "rule_id": "9", "reliability": "80", "success_tag": "1", "src_ip": "", "src_port": "0", "dst_ip": "192.168.101.3", "dst_port": "0", "signature": "", "cve_id": "", "file_name": "", "file_path": "", "file_md5": "", "url": "", "cookie": "", "user_name": "test", "process_name": "", "mail_from": "", "mail_to": "", "src_zone": "", "dst_zone": "", "status_tag": "0", "rectification": "", "index_name": "", "occur_time": "2025-08-05 11:12:35", "update_time": "2025-08-05 11:12:35", "description": "新增賬號告警", "event_type_count": "1", "event_count": "1", "vul_id": "", "componentId": "1", "user_group": "", "domain": "", "class_dga": "", "attack_result": "", "is_white": "", "attack_type": "", "payload": "", "attack_main_type": "" } }

日志字段說明：

操作日志

日志示例：

{"LOG_ID":"389","MODULE_NAME":"首頁模塊管理","OPERATION_CONTENT":"查詢首頁模塊","OPERATION_TYPE":"sys","SUCCESS_TAG":"1","IP_ADDRESS":"10.144.243.22, 100.126.9.148","VALID_TAG":"","USER_ID":"1","CREATE_TIME":"2025-08-14 16:33:20","REQUEST_PARAM":"請求路徑=/homePage/realTimeAlarm; beanName=com.soc.cloud.homepage.controller.HomePageController; IP地址=10.144.243.22, 100.126.9.148; 方法名=getRealTimeAlarm","REVIEWER":""}

日志字段說明：