系统登录数据集
编辑系统登录数据集编辑
此功能处于测试阶段，可能会发生变化。其设计和代码不如正式的 GA 功能成熟，并按原样提供，不提供任何保证。测试功能不受正式 GA 功能支持 SLA 的约束。
这是系统模块的 login 数据集。
实现编辑
login 数据集仅针对 Linux 实现。
在 Linux 上，该数据集读取跟踪系统登录和注销的 utmp 文件。它们通常位于 /var/log/wtmp（成功登录）和 /var/log/btmp（失败登录）。
可以使用 login.wtmp_file_pattern 和 login.btmp_file_pattern 配置用于定位文件的模式。默认情况下，将读取当前文件和任何轮换文件（例如 wtmp.1、wtmp.2）。
utmp 文件是二进制文件，但可以使用 utmpdump 实用程序显示其内容。
示例仪表板编辑
该数据集附带一个示例仪表板
字段编辑
有关数据集中每个字段的描述，请参阅导出字段部分。
以下是此数据集生成的文档示例
{
"@timestamp": "2017-10-12T08:05:34.853Z",
"event": {
"action": "user_login",
"category": "authentication",
"dataset": "login",
"kind": "event",
"module": "system",
"origin": "/var/log/wtmp",
"outcome": "success",
"type": "authentication_success"
},
"message": "Login by user vagrant (UID: 1000) on pts/2 (PID: 14962) from 10.0.2.2 (IP: 10.0.2.2)",
"process": {
"pid": 14962
},
"service": {
"type": "system"
},
"source": {
"ip": "10.0.2.2"
},
"user": {
"id": 1000,
"name": "vagrant",
"terminal": "pts/2"
}
}