› ›

Zeek 字段

处理 Zeek/Bro 生成的日志的模块

zeek

规范化后 Zeek/Bro 日志中的字段

zeek.session_id

会话的唯一标识符

类型：keyword

capture_loss

Zeek capture_loss 日志导出的字段

zeek.capture_loss.ts_delta

此测量值与上次测量值之间的时间延迟。

类型：integer

zeek.capture_loss.peer

如果有多个 Bro 实例记录到同一主机，则此字段使用其各自的名称区分每个对等体。

类型：keyword

zeek.capture_loss.gaps

上一个测量间隔中错过的 ACK 数。

类型：integer

zeek.capture_loss.acks

上一个测量间隔中看到的 ACK 总数。

类型：integer

zeek.capture_loss.percent_lost

看到的 ACK 中数据丢失的百分比。

类型：double

connection

Zeek Connection 日志导出的字段

zeek.connection.local_orig

指示会话是否在本地发起。

类型：boolean

zeek.connection.local_resp

指示会话是否在本地响应。

类型：boolean

zeek.connection.missed_bytes

会话中丢失的字节数。

类型：long

zeek.connection.state

指示会话状态的代码。

类型：keyword

zeek.connection.state_message

会话的状态。

类型：keyword

zeek.connection.icmp.type

ICMP 消息类型。

类型：integer

zeek.connection.icmp.code

ICMP 消息代码。

类型：integer

zeek.connection.history

指示会话历史记录的标志。

类型：keyword

zeek.connection.vlan

VLAN 标识符。

类型：integer

zeek.connection.inner_vlan

VLAN 标识符。

类型：integer

dce_rpc

Zeek DCE_RPC 日志导出的字段

zeek.dce_rpc.rtt

从请求到响应的往返时间。如果请求或响应未被看到，则此值为 null。

类型：integer

zeek.dce_rpc.named_pipe

远程管道名称。

类型：keyword

zeek.dce_rpc.endpoint

从 uuid 中查找的端点名称。

类型：keyword

zeek.dce_rpc.operation

调用中看到的操作。

类型：keyword

dhcp

Zeek DHCP 日志导出的字段

zeek.dhcp.domain

服务器在选项 15 中提供的域。

类型：keyword

zeek.dhcp.duration

DHCP 会话的持续时间，表示从第一条消息到最后一条消息的时间（以秒为单位）。

类型：double

zeek.dhcp.hostname

客户端在主机名选项 12 中提供的名称。

类型：keyword

zeek.dhcp.client_fqdn

客户端在客户端 FQDN 选项 81 中提供的 FQDN。

类型：keyword

zeek.dhcp.lease_time

IP 地址租期间隔（以秒为单位）。

类型：integer

address

在此 DHCP 交换中看到的地址。

zeek.dhcp.address.assigned

服务器分配的 IP 地址。

类型：ip

zeek.dhcp.address.client

客户端的 IP 地址。如果事务只是客户端发送 INFORM 消息，则没有交换租期信息，因此这有助于了解谁发送了消息。此字段中获取地址需要客户端至少使用非广播地址发送一条 DHCP 消息。

类型：ip

zeek.dhcp.address.mac

客户端的硬件地址。

类型：keyword

zeek.dhcp.address.requested

客户端请求的 IP 地址。

类型：ip

zeek.dhcp.address.server

DHCP 服务器的 IP 地址。

类型：ip

zeek.dhcp.msg.types

在此交换中看到的 DHCP 消息类型列表。

类型：keyword

zeek.dhcp.msg.origin

(如果加载了 policy/protocols/dhcp/msg-orig.bro，则存在) 从 msg.types 字段中发出每条消息的地址。

类型：ip

zeek.dhcp.msg.client

通常伴随 DHCP_DECLINE 消息，以便客户端可以告诉服务器它为什么拒绝地址。

类型：keyword

zeek.dhcp.msg.server

通常伴随 DHCP_NAK 消息，以让客户端知道它为什么拒绝请求。

类型：keyword

zeek.dhcp.software.client

(如果加载了 policy/protocols/dhcp/software.bro，则存在) 客户端在 vendor_class 选项中报告的软件。

类型：keyword

zeek.dhcp.software.server

(如果加载了 policy/protocols/dhcp/software.bro，则存在) 客户端在 vendor_class 选项中报告的软件。

类型：keyword

zeek.dhcp.id.circuit

(如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在) 由终止交换式或永久电路的 DHCP 中继代理添加。它对从接收 DHCP 客户端到服务器数据包的电路编码代理本地标识符。通常它应该表示路由器或交换机接口号。

类型：keyword

zeek.dhcp.id.remote_agent

(如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在) 中继代理添加的全局唯一标识符，用于标识电路的远程主机端。

类型：keyword

zeek.dhcp.id.subscriber

(如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在) 用户 ID 是一个与物理网络配置无关的值，以便无论客户在物理上连接到何处，都可以正确地向他们提供客户的 DHCP 配置。

类型：keyword

dnp3

Zeek DNP3 日志导出的字段

zeek.dnp3.function.request

请求中功能消息的名称。

类型：keyword

zeek.dnp3.function.reply

回复中功能消息的名称。

类型：keyword

zeek.dnp3.id

响应的内部指示编号。

类型：integer

dns

Zeek DNS 日志导出的字段

zeek.dns.trans_id

DNS 事务标识符。

类型：keyword

zeek.dns.rtt

查询和响应的往返时间。

类型：double

zeek.dns.query

作为 DNS 查询主题的域名。

类型：keyword

zeek.dns.qclass

指定查询类别的 QCLASS 值。

类型：long

zeek.dns.qclass_name

查询类别的描述性名称。

类型：keyword

zeek.dns.qtype

指定查询类型的 QTYPE 值。

类型：long

zeek.dns.qtype_name

查询类型的描述性名称。

类型：keyword

zeek.dns.rcode

DNS 响应消息中的响应代码值。

类型：long

zeek.dns.rcode_name

响应代码值的描述性名称。

类型：keyword

zeek.dns.AA

响应消息中的权威应答位指定响应名称服务器是问题部分中域名的权威机构。

类型：boolean

zeek.dns.TC

截断位指定消息已被截断。

类型：boolean

zeek.dns.RD

请求消息中的递归所需位表示客户端想要为此查询进行递归服务。

类型：boolean

zeek.dns.RA

响应消息中的递归可用位表示名称服务器支持递归查询。

类型：boolean

zeek.dns.answers

查询答案中的资源描述集。

类型：keyword

zeek.dns.TTLs

answers 字段描述的关联 RR 的缓存间隔。

类型：double

zeek.dns.rejected

指示 DNS 查询是否被服务器拒绝。

类型：boolean

zeek.dns.total_answers

回复中资源记录的总数。

类型：integer

zeek.dns.total_replies

回复消息中资源记录的总数。

类型：integer

zeek.dns.saw_query

是否已看到完整的 DNS 查询。

类型：boolean

zeek.dns.saw_reply

是否已看到完整的 DNS 回复。

类型：boolean

dpd

Zeek DPD 日志导出的字段

zeek.dpd.analyzer

生成违规的分析器。

类型：keyword

zeek.dpd.failure_reason

分析失败的文本原因。

类型：keyword

zeek.dpd.packet_segment

(如果加载了 policy/frameworks/dpd/packet-segment-logging.bro，则存在) 最有可能导致协议违规的有效负载块。

类型：keyword

files

Zeek Files 日志导出的字段。

zeek.files.fuid

文件唯一标识符。

类型：keyword

zeek.files.tx_host

传输文件的宿主机。

类型：ip

zeek.files.rx_host

接收文件的宿主机。

类型：ip

zeek.files.session_ids

拥有此文件的会话。

类型：keyword

zeek.files.source

文件数据来源的标识。例如，它可能是传输它的网络协议，或读取的本地文件路径，或其他输入源。

类型：keyword

zeek.files.depth

表示此文件与其来源相关深度的值。在 SMTP 中，它是消息中 MIME 附件的深度。在 HTTP 中，它是 TCP 连接中请求的深度。

类型：long

zeek.files.analyzers

在文件分析期间完成的一组分析类型。

类型：keyword

zeek.files.mime_type

文件的 MIME 类型。

类型：keyword

zeek.files.filename

如果可用，则为文件的名称。

类型：keyword

zeek.files.local_orig

如果此文件的来源是网络连接，则此字段指示数据是否源自本地网络。

类型：boolean

zeek.files.is_orig

如果此文件的来源是网络连接，则此字段指示文件是否由连接的发起者或响应者发送。

类型：boolean

zeek.files.duration

分析文件持续的时间。不是会话的持续时间。

类型：double

zeek.files.seen_bytes

提供给文件分析引擎的文件字节数。

类型：long

zeek.files.total_bytes

应该构成完整文件的总字节数。

类型：long

zeek.files.missing_bytes

在分析过程中完全丢失的文件流中的字节数。

类型：long

zeek.files.overflow_bytes

未传递给流文件分析器的文件流中的字节数。这可能是重叠的字节或无法重新组装的字节。

类型：long

zeek.files.timedout

文件分析是否至少为此文件超时一次。

类型：boolean

zeek.files.parent_fuid

与容器文件关联的标识符，从中提取此文件作为文件分析的一部分。

类型：keyword

zeek.files.md5

文件的 MD5 散列值。

类型：keyword

zeek.files.sha1

文件的 SHA1 散列值。

类型：keyword

zeek.files.sha256

文件的SHA256摘要。

类型：keyword

zeek.files.extracted

已提取文件的本地文件名。

类型：keyword

zeek.files.extracted_cutoff

指示被提取的文件是否被截断，因此未完全提取。

类型：boolean

zeek.files.extracted_size

提取到磁盘的字节数。

类型：long

zeek.files.entropy

文件内容的信息密度。

类型：double

ftp

Zeek FTP日志导出的字段

zeek.ftp.user

当前FTP会话的用户名。

类型：keyword

zeek.ftp.password

如果已捕获，则为当前FTP会话的密码。

类型：keyword

zeek.ftp.command

客户端发出的命令。

类型：keyword

zeek.ftp.arg

如果给出命令，则为命令的参数。

类型：keyword

zeek.ftp.file.size

如果命令指示文件传输，则为文件的大小。

类型：long

zeek.ftp.file.mime_type

嗅探到的文件的MIME类型。

类型：keyword

zeek.ftp.file.fuid

(如果加载了base/protocols/ftp/files.bro) 文件唯一ID。

类型：keyword

zeek.ftp.reply.code

服务器对命令的回复代码。

类型：integer

zeek.ftp.reply.msg

服务器对命令的回复消息。

类型：keyword

data_channel

预期的FTP数据通道。

zeek.ftp.data_channel.passive

控制通道是否切换为PASV模式。

类型：boolean

zeek.ftp.data_channel.originating_host

将发起数据连接的主机。

类型：ip

zeek.ftp.data_channel.response_host

将接受数据连接的主机。

类型：ip

zeek.ftp.data_channel.response_port

接受者监听数据连接的端口。

类型：integer

zeek.ftp.cwd

此会话所在的当前工作目录。通过将默认值设为.，我们可以指示除非发现更具体的目录，否则可以使用现有的但未知的目录。

类型：keyword

cmdarg

当前正在等待响应的命令。

zeek.ftp.cmdarg.cmd

命令。

类型：keyword

zeek.ftp.cmdarg.arg

如果给出命令，则为命令的参数。

类型：keyword

zeek.ftp.cmdarg.seq

计数器，用于跟踪已执行的命令数量。

类型：integer

zeek.ftp.pending_commands

用于跟踪已发送但尚未响应的命令的队列。

类型：integer

zeek.ftp.passive

指示会话处于主动模式还是被动模式。

类型：boolean

zeek.ftp.capture_password

确定是否为此请求捕获密码。

类型：boolean

zeek.ftp.last_auth_requested

(如果加载了base/protocols/ftp/gridftp.bro) 最后使用的身份验证/安全机制。

类型：keyword

http

Zeek HTTP日志导出的字段

zeek.http.trans_depth

表示此请求/响应事务连接的流水线深度。

类型：integer

zeek.http.status_msg

服务器返回的状态消息。

类型：keyword

zeek.http.info_code

服务器返回的最后看到的1xx信息回复代码。

类型：integer

zeek.http.info_msg

服务器返回的最后看到的1xx信息回复消息。

类型：keyword

zeek.http.tags

一组发现的各种属性指示器，以及与特定请求/响应对相关的指示器。

类型：keyword

zeek.http.password

如果对请求执行基本身份验证，则为密码。

类型：keyword

zeek.http.captured_password

确定是否为此请求捕获密码。

类型：boolean

zeek.http.proxied

所有可能指示HTTP请求是否已通过代理的标头。

类型：keyword

zeek.http.range_request

指示此请求是否可以假设响应中的206部分内容。

类型：boolean

zeek.http.client_header_names

客户端发送的HTTP标头名称向量。此处不包含标头值，仅包含标头名称。

类型：keyword

zeek.http.server_header_names

服务器发送的HTTP标头名称向量。此处不包含标头值，仅包含标头名称。

类型：keyword

zeek.http.orig_fuids

来自发起者的文件唯一ID的有序向量。

类型：keyword

zeek.http.orig_mime_types

来自发起者的MIME类型的有序向量。

类型：keyword

zeek.http.orig_filenames

来自发起者的文件名的有序向量。

类型：keyword

zeek.http.resp_fuids

来自响应者的文件唯一ID的有序向量。

类型：keyword

zeek.http.resp_mime_types

来自响应者的MIME类型的有序向量。

类型：keyword

zeek.http.resp_filenames

来自响应者的文件名的有序向量。

类型：keyword

zeek.http.orig_mime_depth

HTTP请求消息正文中当前的MIME实体数量。

类型：integer

zeek.http.resp_mime_depth

HTTP响应消息正文中当前的MIME实体数量。

类型：integer

intel

Zeek Intel日志导出的字段。

zeek.intel.seen.indicator

情报指标。

类型：keyword

zeek.intel.seen.indicator_type

指标表示的数据类型。

类型：keyword

zeek.intel.seen.host

如果指标类型为Intel::ADDR，则此字段将存在。

类型：keyword

zeek.intel.seen.conn

如果在连接中发现数据，则连接记录应放在此处，以便为数据提供上下文。

类型：keyword

zeek.intel.seen.where

数据被发现的地方。

类型：keyword

zeek.intel.seen.node

发现匹配的节点名称。

类型：keyword

zeek.intel.seen.uid

如果在连接中发现数据，则连接uid应放在此处，以便为数据提供上下文。如果提供了conn字段，则此字段将自动填充。

类型：keyword

zeek.intel.seen.f

如果在文件中发现数据，则文件记录应放在此处，以便为数据提供上下文。

类型：对象

zeek.intel.seen.fuid

如果在文件中发现数据，则文件uid应放在此处，以便为数据提供上下文。如果提供了文件记录f，则此字段将自动填充。

类型：keyword

zeek.intel.matched

表示在已查看数据中情报数据匹配的事件。

类型：keyword

zeek.intel.sources

为此匹配提供数据的来源。

类型：keyword

zeek.intel.fuid

如果此情报命中与文件关联，则为文件的uid。

类型：keyword

zeek.intel.file_mime_type

如果情报命中与文件相关，则为MIME类型。如果提供了$f字段，则此字段将自动填充。

类型：keyword

zeek.intel.file_desc

通常可以描述文件以提供更多上下文。如果提供了$f字段，则此字段将自动填充。

类型：keyword

irc

Zeek IRC日志导出的字段

zeek.irc.nick

连接的昵称。

类型：keyword

zeek.irc.user

连接的用户名。

类型：keyword

zeek.irc.command

客户端发出的命令。

类型：keyword

zeek.irc.value

客户端给出的命令的值。

类型：keyword

zeek.irc.addl

命令的任何附加数据。

类型：keyword

zeek.irc.dcc.file.name

(如果加载了base/protocols/irc/dcc-send.bro) 请求的DCC文件名。

类型：keyword

zeek.irc.dcc.file.size

(如果加载了base/protocols/irc/dcc-send.bro) 发送者指示的DCC传输大小。

类型：long

zeek.irc.dcc.mime_type

(如果加载了base/protocols/irc/dcc-send.bro) 嗅探到的文件的MIME类型。

类型：keyword

zeek.irc.fuid

(如果加载了base/protocols/irc/files.bro) 文件唯一ID。

类型：keyword

kerberos

Zeek Kerberos日志导出的字段

zeek.kerberos.request_type

请求类型 - 身份验证服务（AS）或票证授予服务（TGS）。

类型：keyword

zeek.kerberos.client

客户端名称。

类型：keyword

zeek.kerberos.service

服务名称。

类型：keyword

zeek.kerberos.success

请求结果。

类型：boolean

zeek.kerberos.error.code

错误代码。

类型：integer

zeek.kerberos.error.msg

错误消息。

类型：keyword

zeek.kerberos.valid.from

票证有效期自。

类型：日期

zeek.kerberos.valid.until

票证有效期至。

类型：日期

zeek.kerberos.valid.days

票证有效的持续天数。

类型：integer

zeek.kerberos.cipher

票据加密类型。

类型：keyword

zeek.kerberos.forwardable

请求可转发票据。

类型：boolean

zeek.kerberos.renewable

请求可续期票据。

类型：boolean

zeek.kerberos.ticket.auth

用于授权请求/事务的票据哈希值。

类型：keyword

zeek.kerberos.ticket.new

KDC返回的票据哈希值。

类型：keyword

zeek.kerberos.cert.client.value

客户端证书。

类型：keyword

zeek.kerberos.cert.client.fuid

客户端证书的文件唯一ID。

类型：keyword

zeek.kerberos.cert.client.subject

客户端证书的主题。

类型：keyword

zeek.kerberos.cert.server.value

服务器证书。

类型：keyword

zeek.kerberos.cert.server.fuid

服务器证书的文件唯一ID。

类型：keyword

zeek.kerberos.cert.server.subject

服务器证书的主题。

类型：keyword

modbus

Zeek modbus日志导出的字段。

zeek.modbus.function

发送的功能消息的名称。

类型：keyword

zeek.modbus.exception

如果响应失败，则为异常。

类型：keyword

zeek.modbus.track_address

(如果加载了policy/protocols/modbus/track-memmap.bro) Modbus跟踪地址。

类型：integer

mysql

Zeek MySQL日志导出的字段。

zeek.mysql.cmd

发出的命令。

类型：keyword

zeek.mysql.arg

发出的命令参数。

类型：keyword

zeek.mysql.success

命令是否成功。

类型：boolean

zeek.mysql.rows

受影响的行数（如果有）。

类型：integer

zeek.mysql.response

服务器消息（如果有）。

类型：keyword

notice

Zeek Notice日志导出的字段。

zeek.notice.connection_id

ntlm

Zeek NTLM日志导出的字段。

zeek.ntlm.domain

客户端提供的域名。

类型：keyword

zeek.ntlm.hostname

客户端提供的主机名。

类型：keyword

zeek.ntlm.success

指示身份验证是否成功。

类型：boolean

zeek.ntlm.username

客户端提供的用户名。

类型：keyword

zeek.ntlm.server.name.dns

服务器在CHALLENGE中提供的DNS名称。

类型：keyword

zeek.ntlm.server.name.netbios

服务器在CHALLENGE中提供的NetBIOS名称。

类型：keyword

zeek.ntlm.server.name.tree

服务器在CHALLENGE中提供的树名称。

类型：keyword

ntp

Zeek NTP日志导出的字段。

zeek.ntp.version

NTP版本号 (1, 2, 3, 4)。

类型：integer

zeek.ntp.mode

正在使用的NTP模式。

类型：integer

zeek.ntp.stratum

分层结构 (主服务器、次级服务器等)。

类型：integer

zeek.ntp.poll

连续消息之间最大间隔（秒）。

类型：double

zeek.ntp.precision

系统时钟精度（秒）。

类型：double

zeek.ntp.root_delay

到参考时钟的总往返延迟（秒）。

类型：double

zeek.ntp.root_disp

到参考时钟的总色散（秒）。

类型：double

zeek.ntp.ref_id

对于分层结构0，用于调试的4个字符的字符串。对于分层结构1，IANA分配给参考时钟的ID。对于分层结构1以上，使用IPv4时，参考时钟的IP地址。请注意，NTP协议最初没有指定足够大的字段来表示IPv6地址，因此它们使用参考时钟IPv6地址的MD5哈希的前四个字节（即，此处的IPv4地址不一定是IPv4）。

类型：keyword

zeek.ntp.ref_time

上次设置或校正系统时钟的时间。

类型：日期

zeek.ntp.org_time

客户端请求离开NTP服务器的时间。

类型：日期

zeek.ntp.rec_time

服务器收到来自NTP客户端的请求的时间。

类型：日期

zeek.ntp.xmt_time

服务器响应离开NTP客户端的时间。

类型：日期

zeek.ntp.num_exts

扩展字段的数量（目前未解析）。

类型：integer

ocsp

Zeek OCSP日志导出的字段在线证书状态协议 (OCSP)。只有加载策略脚本时才会创建。

zeek.ocsp.file_id

OCSP回复的文件ID。

类型：keyword

zeek.ocsp.hash.algorithm

用于生成issuerNameHash和issuerKeyHash的哈希算法。

类型：keyword

zeek.ocsp.hash.issuer.name

颁发者区分名称的哈希值。

类型：keyword

zeek.ocsp.hash.issuer.key

颁发者公钥的哈希值。

类型：keyword

zeek.ocsp.serial_number

受影响证书的序列号。

类型：keyword

zeek.ocsp.status

受影响证书的状态。

类型：keyword

zeek.ocsp.revoke.time

证书被吊销的时间。

类型：日期

zeek.ocsp.revoke.reason

证书被吊销的原因。

类型：keyword

zeek.ocsp.update.this

已知显示的状态正确的时间。

类型：日期

zeek.ocsp.update.next

将提供有关证书状态的新信息的最新时间。

类型：日期

pe

Zeek pe日志导出的字段。

zeek.pe.client

客户端的版本字符串。

类型：keyword

zeek.pe.id

此可移植可执行文件的文件ID。

类型：keyword

zeek.pe.machine

为此文件编译的目标机器。

类型：keyword

zeek.pe.compile_time

文件创建时间。

类型：日期

zeek.pe.os

所需的操作系统。

类型：keyword

zeek.pe.subsystem

运行此文件所需的子系统。

类型：keyword

zeek.pe.is_exe

该文件是可执行文件还是只是目标文件？

类型：boolean

zeek.pe.is_64bit

该文件是64位可执行文件吗？

类型：boolean

zeek.pe.uses_aslr

该文件是否支持地址空间布局随机化？

类型：boolean

zeek.pe.uses_dep

该文件是否支持数据执行保护？

类型：boolean

zeek.pe.uses_code_integrity

该文件是否强制执行代码完整性检查？

类型：boolean

zeek.pe.uses_seh

该文件是否使用结构化异常处理？

类型：boolean

zeek.pe.has_import_table

该文件是否有导入表？

类型：boolean

zeek.pe.has_export_table

该文件是否有导出表？

类型：boolean

zeek.pe.has_cert_table

该文件是否有属性证书表？

类型：boolean

zeek.pe.has_debug_data

该文件是否有调试表？

类型：boolean

zeek.pe.section_names

节的名称，按顺序排列。

类型：keyword

radius

Zeek Radius日志导出的字段。

zeek.radius.username

用户名（如果存在）。

类型：keyword

zeek.radius.mac

MAC地址（如果存在）。

类型：keyword

zeek.radius.framed_addr

提供给网络接入服务器的地址（如果存在）。这只是RADIUS服务器的提示，网络接入服务器不需要遵守该地址。

类型：ip

zeek.radius.remote_ip

远程IP地址（如果存在）。这是从Tunnel-Client-Endpoint属性收集的。

类型：ip

zeek.radius.connect_info

连接信息（如果存在）。

类型：keyword

zeek.radius.reply_msg

服务器挑战的回复消息。这通常会显示给进行身份验证的用户。

类型：keyword

zeek.radius.result

身份验证成功或失败。

类型：keyword

zeek.radius.ttl

第一次请求和“Access-Accept”消息或错误之间的持续时间。如果该字段为空，则表示未看到请求或响应。

类型：integer

zeek.radius.logged

此记录是否已被记录并可以忽略。

类型：boolean

rdp

Zeek RDP日志导出的字段。

zeek.rdp.cookie

客户端机器使用的Cookie值。这通常是用户名。

类型：keyword

zeek.rdp.result

连接的状态结果。它是RDP协商失败消息和GCC服务器创建响应消息的混合。

类型：keyword

zeek.rdp.security_protocol

服务器选择的安全协议。

类型：keyword

zeek.rdp.keyboard_layout

客户端机器的键盘布局（语言）。

类型：keyword

zeek.rdp.client.build

客户端机器使用的RDP客户端版本。

类型：keyword

zeek.rdp.client.client_name

客户端机器的名称。

类型：keyword

zeek.rdp.client.product_id

客户端机器的产品ID。

类型：keyword

zeek.rdp.desktop.width

客户端机器的桌面宽度。

类型：integer

zeek.rdp.desktop.height

客户端机器的桌面高度。

类型：integer

zeek.rdp.desktop.color_depth

客户端在high_color_depth字段中请求的颜色深度。

类型：keyword

zeek.rdp.cert.type

如果连接使用本地RDP加密进行加密，则这是正在使用的证书类型。

类型：keyword

zeek.rdp.cert.count

看到的证书数量。X.509可以传输整个证书链。

类型：integer

zeek.rdp.cert.permanent

指示提供的证书或证书链是永久的还是临时的。

类型：boolean

zeek.rdp.encryption.level

连接的加密级别。

类型：keyword

zeek.rdp.encryption.method

连接的加密方法。

类型：keyword

zeek.rdp.done

跟踪RDP连接日志记录的状态。

类型：boolean

zeek.rdp.ssl

(如果加载了policy/protocols/rdp/indicate_ssl.bro) 如果连接通过SSL看到，则标记连接。

类型：boolean

rfb

Zeek RFB日志导出的字段。

zeek.rfb.version.client.major

客户端的主版本。

类型：keyword

zeek.rfb.version.client.minor

客户端的次版本。

类型：keyword

zeek.rfb.version.server.major

服务器的主版本。

类型：keyword

zeek.rfb.version.server.minor

服务器的次版本。

类型：keyword

zeek.rfb.auth.success

身份验证是否成功。

类型：boolean

zeek.rfb.auth.method

使用的身份验证方法的标识符。

类型：keyword

zeek.rfb.share_flag

客户端是否具有独占会话或共享会话。

类型：boolean

zeek.rfb.desktop_name

正在共享的屏幕名称。

类型：keyword

zeek.rfb.width

正在共享的屏幕宽度。

类型：integer

zeek.rfb.height

正在共享的屏幕高度。

类型：integer

signature

Zeek Signature日志导出的字段。

zeek.signature.note

与签名事件相关的通知。

类型：keyword

zeek.signature.sig_id

匹配的签名的名称。

类型：keyword

zeek.signature.event_msg

签名匹配事件的更详细的消息。

类型：keyword

zeek.signature.sub_msg

提取的有效负载数据或额外消息。

类型：keyword

zeek.signature.sig_count

签名数量，通常来自摘要计数。

类型：integer

zeek.signature.host_count

主机数量，来自摘要计数。

类型：integer

sip

Zeek SIP日志导出的字段。

zeek.sip.transaction_depth

表示此请求/响应事务连接的流水线深度。

类型：integer

zeek.sip.sequence.method

SIP请求中使用的动词（INVITE、REGISTER等）。

类型：keyword

zeek.sip.sequence.number

客户端CSeq: 头的内容。

类型：keyword

zeek.sip.uri

请求中使用的URI。

类型：keyword

zeek.sip.date

客户端Date: 头的内容。

类型：keyword

zeek.sip.request.from

请求From: 头的内容注意：通常附加到发件人的tag=值会被剥离并且不会记录。

类型：keyword

zeek.sip.request.to

To: 头的内容。

类型：keyword

zeek.sip.request.path

从头中提取的客户端消息传输路径。

类型：keyword

zeek.sip.request.body_length

客户端Content-Length: 头的内容。

类型：long

zeek.sip.response.from

响应From: 头的内容注意：通常附加到发件人的tag=值会被剥离并且不会记录。

类型：keyword

zeek.sip.response.to

响应To: 头的内容。

类型：keyword

zeek.sip.response.path

从头中提取的服务器消息传输路径。

类型：keyword

zeek.sip.response.body_length

服务器Content-Length: 头的内容。

类型：long

zeek.sip.reply_to

Reply-To: 头的内容。

类型：keyword

zeek.sip.call_id

客户端Call-ID: 头的内容。

类型：keyword

zeek.sip.subject

客户端Subject: 头的内容。

类型：keyword

zeek.sip.user_agent

客户端User-Agent: 头的内容。

类型：keyword

zeek.sip.status.code

服务器返回的状态代码。

类型：integer

zeek.sip.status.msg

服务器返回的状态消息。

类型：keyword

zeek.sip.warning

Warning: 头的内容。

类型：keyword

zeek.sip.content_type

服务器Content-Type: 头的内容。

类型：keyword

smb_cmd

Zeek smb_cmd日志导出的字段。

zeek.smb_cmd.command

客户端发送的命令。

类型：keyword

zeek.smb_cmd.sub_command

客户端发送的子命令（如果存在）。

类型：keyword

zeek.smb_cmd.argument

客户端发送的命令参数（如果有）。

类型：keyword

zeek.smb_cmd.status

服务器对客户端命令的回复。

类型：keyword

zeek.smb_cmd.rtt

从请求到响应的往返时间。

类型：double

zeek.smb_cmd.version

命令的SMB版本。

类型：keyword

zeek.smb_cmd.username

已验证的用户名（如果可用）。

类型：keyword

zeek.smb_cmd.tree

如果这与树相关，则这是当前命令使用的树。

类型：keyword

zeek.smb_cmd.tree_service

树的类型（磁盘共享、打印机共享、命名管道等）。

类型：keyword

file

如果命令引用了文件，则将其存储在此处。

zeek.smb_cmd.file.name

如果看到文件名。

类型：keyword

zeek.smb_cmd.file.action

此日志记录表示的操作。

类型：keyword

zeek.smb_cmd.file.uid

引用的文件的UID。

类型：keyword

zeek.smb_cmd.file.host.tx

发送主机的地址。

类型：ip

zeek.smb_cmd.file.host.rx

接收主机的地址。

类型：ip

zeek.smb_cmd.smb1_offered_dialects

如果加载了base/protocols/smb/smb1-main.bro。客户端提供的方言。

类型：keyword

zeek.smb_cmd.smb2_offered_dialects

如果加载了base/protocols/smb/smb2-main.bro。客户端提供的方言。

类型：integer

smb_files

Zeek SMB Files日志导出的字段。

zeek.smb_files.action

此日志记录表示的操作。

类型：keyword

zeek.smb_files.fid

引用此文件ID。

类型：integer

zeek.smb_files.name

如果看到文件名。

类型：keyword

zeek.smb_files.path

从此文件传输到或从中传输的树中提取的路径。

类型：keyword

zeek.smb_files.previous_name

如果看到重命名操作，这将是文件的先前名称。

类型：keyword

zeek.smb_files.size

文件的字节大小。

类型：long

times

文件的时间戳。

zeek.smb_files.times.accessed

文件的访问时间。

类型：日期

zeek.smb_files.times.changed

文件的更改时间。

类型：日期

zeek.smb_files.times.created

文件的创建时间。

类型：日期

zeek.smb_files.times.modified

文件的修改时间。

类型：日期

zeek.smb_files.uuid

如果为DCE/RPC，则引用此文件的UUID。

类型：keyword

smb_mapping

Zeek SMB_Mapping 日志导出的字段。

zeek.smb_mapping.path

树路径的名称。

类型：keyword

zeek.smb_mapping.service

树的资源类型（磁盘共享、打印机共享、命名管道等）。

类型：keyword

zeek.smb_mapping.native_file_system

树的文件系统。

类型：keyword

zeek.smb_mapping.share_type

如果是SMB2，则会包含共享类型。对于SMB1，也会推断并包含共享类型。

类型：keyword

smtp

Zeek SMTP 日志导出的字段。

zeek.smtp.transaction_depth

表示此邮件事务在单个连接中的深度计数，其中传输了多封邮件。

类型：integer

zeek.smtp.helo

Helo 头的内容。

类型：keyword

zeek.smtp.mail_from

在MAIL FROM 头中找到的电子邮件地址。

类型：keyword

zeek.smtp.rcpt_to

在RCPT TO 头中找到的电子邮件地址。

类型：keyword

zeek.smtp.date

Date 头的内容。

类型：日期

zeek.smtp.from

From 头的内容。

类型：keyword

zeek.smtp.to

To 头的内容。

类型：keyword

zeek.smtp.cc

CC 头的内容。

类型：keyword

zeek.smtp.reply_to

ReplyTo 头的内容。

类型：keyword

zeek.smtp.msg_id

MsgID 头的内容。

类型：keyword

zeek.smtp.in_reply_to

In-Reply-To 头的内容。

类型：keyword

zeek.smtp.subject

Subject 头的内容。

类型：keyword

zeek.smtp.x_originating_ip

X-Originating-IP 头的内容。

类型：keyword

zeek.smtp.first_received

第一个 Received 头的内容。

类型：keyword

zeek.smtp.second_received

第二个 Received 头的内容。

类型：keyword

zeek.smtp.last_reply

服务器发送给客户端的最后一条消息。

类型：keyword

zeek.smtp.path

从报头中提取的消息传输路径。

类型：ip

zeek.smtp.user_agent

客户端 User-Agent 头的值。

类型：keyword

zeek.smtp.tls

指示连接已切换为使用TLS。

类型：boolean

zeek.smtp.process_received_from

指示是否仍应处理“Received: from”报头。

类型：boolean

zeek.smtp.has_client_activity

指示是否已看到客户端活动，但尚未记录。

类型：boolean

zeek.smtp.fuids

(如果加载了base/protocols/smtp/files.bro) 附加到邮件中看到的已排序的文件唯一 ID 向量。

类型：keyword

zeek.smtp.is_webmail

指示邮件是否通过网络邮件界面发送。

类型：boolean

snmp

Zeek SNMP 日志导出的字段。

zeek.snmp.duration

SNMP会话中第一个数据包和看到的最后一个数据包之间的时间差。

类型：double

zeek.snmp.version

正在使用的SNMP版本。

类型：keyword

zeek.snmp.community

与会话关联的第一个SNMP数据包的社区字符串。这用作SNMP（v1和v2c）的管理/安全框架的一部分。参见RFC 1157或RFC 1901。

类型：keyword

zeek.snmp.get.requests

会话中看到的GetRequest/GetNextRequest PDU中的变量绑定数量。

类型：integer

zeek.snmp.get.bulk_requests

会话中看到的GetBulkRequest PDU中的变量绑定数量。

类型：integer

zeek.snmp.get.responses

会话中看到的GetResponse/Response PDU中的变量绑定数量。

类型：integer

zeek.snmp.set.requests

会话中看到的SetRequest PDU中的变量绑定数量。

类型：integer

zeek.snmp.display_string

SNMP响应端点的系统描述。

类型：keyword

zeek.snmp.up_since

SNMP响应端点声称已启动的时间。

类型：日期

socks

Zeek SOCKS 日志导出的字段。

zeek.socks.version

SOCKS的协议版本。

类型：integer

zeek.socks.user

用于请求登录到代理的用户名。

类型：keyword

zeek.socks.password

用于请求登录到代理的密码。

类型：keyword

zeek.socks.status

使用代理尝试的服务器状态。

类型：keyword

zeek.socks.request.host

客户端请求的SOCKS地址。可以是地址、名称或两者兼有。

类型：keyword

zeek.socks.request.port

客户端请求的端口。

类型：integer

zeek.socks.bound.host

服务器绑定地址。可以是地址、名称或两者兼有。

类型：keyword

zeek.socks.bound.port

服务器绑定端口。

类型：integer

zeek.socks.capture_password

确定是否为此请求捕获密码。

类型：boolean

ssh

Zeek SSH 日志导出的字段。

zeek.ssh.client

客户端的版本字符串。

类型：keyword

zeek.ssh.direction

连接的方向。如果客户端是登录到外部主机的本地主机，则为出站。对于相反的情况，将设置入站。

类型：keyword

zeek.ssh.host_key

服务器的密钥指纹。

类型：keyword

zeek.ssh.server

服务器的版本字符串。

类型：keyword

zeek.ssh.version

SSH主版本（1或2）。

类型：integer

algorithm

此会话中使用的密码算法。

zeek.ssh.algorithm.cipher

正在使用的加密算法。

类型：keyword

zeek.ssh.algorithm.compression

正在使用的压缩算法。

类型：keyword

zeek.ssh.algorithm.host_key

服务器主机密钥的算法。

类型：keyword

zeek.ssh.algorithm.key_exchange

正在使用的密钥交换算法。

类型：keyword

zeek.ssh.algorithm.mac

正在使用的签名（MAC）算法。

类型：keyword

zeek.ssh.auth.attempts

我们观察到的身份验证尝试次数。至少总是有一次，因为某些服务器可能根本不支持身份验证。需要注意的是，并非所有这些都是失败的，因为某些服务器需要双因素身份验证（例如密码和公钥）。

类型：integer

zeek.ssh.auth.success

身份验证结果。

类型：boolean

ssl

Zeek SSL 日志导出的字段。

zeek.ssl.version

已记录的SSL/TLS版本。

类型：keyword

zeek.ssl.cipher

已记录的SSL/TLS密码套件。

类型：keyword

zeek.ssl.curve

使用ECDH/ECDHE时已记录的椭圆曲线。

类型：keyword

zeek.ssl.resumed

标志，指示会话是否已恢复，并重用在较早连接中交换的密钥材料。

类型：boolean

zeek.ssl.next_protocol

服务器使用应用程序层下一协议扩展选择的下一协议。

类型：keyword

zeek.ssl.established

标志，指示此ssl会话是否已成功建立。

类型：boolean

zeek.ssl.validation.status

此连接的证书验证结果。

类型：keyword

zeek.ssl.validation.code

此连接的证书验证结果，以OpenSSL验证代码给出。

类型：keyword

zeek.ssl.last_alert

连接期间看到的最后一个警报。

类型：keyword

zeek.ssl.server.name

服务器名称指示符SSL/TLS扩展的值。它指示客户端请求的服务器名称。

类型：keyword

zeek.ssl.server.cert_chain

服务器提供的证书链，用于验证其完整的签名链。

类型：keyword

zeek.ssl.server.cert_chain_fuids

服务器提供的证书的已排序证书文件标识符向量。

类型：keyword

issuer

服务器提供的X.509证书签名的主体。

zeek.ssl.server.issuer.common_name

服务器提供的X.509证书签名的通用名称。

类型：keyword

zeek.ssl.server.issuer.country

服务器提供的X.509证书签名的国家代码。

类型：keyword

zeek.ssl.server.issuer.locality

服务器提供的X.509证书签名的地区。

类型：keyword

zeek.ssl.server.issuer.organization

服务器提供的X.509证书签名的组织。

类型：keyword

zeek.ssl.server.issuer.organizational_unit

服务器提供的X.509证书签名的组织单元。

类型：keyword

zeek.ssl.server.issuer.state

服务器提供的X.509证书签名的州或省份名称。

类型：keyword

subject

服务器提供的X.509证书的主体。

zeek.ssl.server.subject.common_name

服务器提供的X.509证书的通用名称。

类型：keyword

zeek.ssl.server.subject.country

服务器提供的X.509证书的国家代码。

类型：keyword

zeek.ssl.server.subject.locality

服务器提供的X.509证书的地区。

类型：keyword

zeek.ssl.server.subject.organization

服务器提供的X.509证书的组织。

类型：keyword

zeek.ssl.server.subject.organizational_unit

服务器提供的X.509证书的组织单元。

类型：keyword

zeek.ssl.server.subject.state

服务器提供的X.509证书的州或省份名称。

类型：keyword

zeek.ssl.client.cert_chain

客户端提供的证书链，用于验证其完整的签名链。

类型：keyword

zeek.ssl.client.cert_chain_fuids

客户端提供的证书的已排序证书文件标识符向量。

类型：keyword

issuer

客户端提供的X.509证书签名的主体。

zeek.ssl.client.issuer.common_name

客户端提供的X.509证书签名的通用名称。

类型：keyword

zeek.ssl.client.issuer.country

客户端提供的X.509证书签名的国家代码。

类型：keyword

zeek.ssl.client.issuer.locality

客户端提供的X.509证书签名的地区。

类型：keyword

zeek.ssl.client.issuer.organization

客户端提供的X.509证书签名的组织。

类型：keyword

zeek.ssl.client.issuer.organizational_unit

客户端提供的X.509证书签名的组织单元。

类型：keyword

zeek.ssl.client.issuer.state

客户端提供的X.509证书签名的州或省份名称。

类型：keyword

subject

客户端提供的X.509证书的主体。

zeek.ssl.client.subject.common_name

客户端提供的X.509证书的通用名称。

类型：keyword

zeek.ssl.client.subject.country

客户端提供的X.509证书的国家代码。

类型：keyword

zeek.ssl.client.subject.locality

客户端提供的X.509证书的地区。

类型：keyword

zeek.ssl.client.subject.organization

客户端提供的X.509证书的组织。

类型：keyword

zeek.ssl.client.subject.organizational_unit

客户端提供的X.509证书的组织单元。

类型：keyword

zeek.ssl.client.subject.state

客户端提供的X.509证书的州或省份名称。

类型：keyword

stats

Zeek stats 日志导出的字段。

zeek.stats.peer

生成此日志的对等方。主要用于集群。

类型：keyword

zeek.stats.memory

当前使用的内存量（MB）。

类型：integer

zeek.stats.packets.processed

自上次统计间隔以来处理的数据包数量。

类型：long

zeek.stats.packets.dropped

如果读取实时流量，则自上次统计间隔以来丢弃的数据包数量。

类型：long

zeek.stats.packets.received

如果读取实时流量，则自上次统计间隔以来在链路上看到的数据包数量。

类型：long

zeek.stats.bytes.received

如果读取实时流量，则自上次统计间隔以来接收到的字节数。

类型：long

zeek.stats.connections.tcp.active

当前内存中的TCP连接。

类型：integer

zeek.stats.connections.tcp.count

自上次统计间隔以来看到的TCP连接。

类型：integer

zeek.stats.connections.udp.active

当前内存中的UDP连接。

类型：integer

zeek.stats.connections.udp.count

自上次统计间隔以来看到的UDP连接。

类型：integer

zeek.stats.connections.icmp.active

当前内存中的ICMP连接。

类型：integer

zeek.stats.connections.icmp.count

自上次统计间隔以来看到的ICMP连接。

类型：integer

zeek.stats.events.processed

自上次统计间隔以来已处理的事件数。

类型：integer

zeek.stats.events.queued

自上次统计间隔以来已排队的事件数。

类型：integer

zeek.stats.timers.count

自上次统计间隔以来已安排的定时器数量。

类型：integer

zeek.stats.timers.active

当前已安排的定时器数量。

类型：integer

zeek.stats.files.count

自上次统计间隔以来看到的打开文件数量。

类型：integer

zeek.stats.files.active

当前正在打开的文件数量。

类型：integer

zeek.stats.dns_requests.count

自上次统计间隔以来看到的DNS请求数量。

类型：integer

zeek.stats.dns_requests.active

当前正在等待回复的DNS请求数量。

类型：integer

zeek.stats.reassembly_size.tcp

当前TCP数据重组的大小。

类型：integer

zeek.stats.reassembly_size.file

当前文件数据重组的大小。

类型：integer

zeek.stats.reassembly_size.frag

当前数据包碎片数据重组的大小。

类型：integer

zeek.stats.reassembly_size.unknown

当前未知数据重组的大小（目前仅为PIA缓冲区）。

类型：integer

zeek.stats.timestamp_lag

如果读取实时流量，则系统时钟与数据包时间戳之间的延迟。

类型：integer

syslog

Zeek syslog日志导出的字段。

zeek.syslog.facility

消息的syslog设备。

类型：keyword

zeek.syslog.severity

消息的syslog严重性级别。

类型：keyword

zeek.syslog.message

纯文本消息。

类型：keyword

tunnel

Zeek SSH 日志导出的字段。

zeek.tunnel.type

隧道类型。

类型：keyword

zeek.tunnel.action

发生的活动类型。

类型：keyword

weird

Zeek Weird日志导出的字段。

zeek.weird.name

发生的异常名称。

类型：keyword

zeek.weird.additional_info

如有任何伴随异常的附加信息。

类型：keyword

zeek.weird.notice

指示此异常是否也已转换为通知。

类型：boolean

zeek.weird.peer

发起此异常的对等方。在集群部署中，如果特定集群节点出现问题，这有助于识别哪个节点出现问题。

类型：keyword

zeek.weird.identifier

生成异常时用于去重异常的目的而提供的字段。标识符字符串对于异常的单个实例应该是唯一的。此字段用于定义异常在概念上何时是先前异常的副本。

类型：keyword

x509

Zeek x509日志导出的字段。

zeek.x509.id

此证书的文件ID。

类型：keyword

certificate

关于证书的基本信息。

zeek.x509.certificate.version

版本号。

类型：integer

zeek.x509.certificate.serial

序列号。

类型：keyword

subject

主题。

zeek.x509.certificate.subject.country

证书主题中提供的国家/地区。

类型：keyword

zeek.x509.certificate.subject.common_name

证书主题中提供的通用名称。

类型：keyword

zeek.x509.certificate.subject.locality

证书主题中提供的地区。

类型：keyword

zeek.x509.certificate.subject.organization

证书主题中提供的组织。

类型：keyword

zeek.x509.certificate.subject.organizational_unit

证书主题中提供的组织单元。

类型：keyword

zeek.x509.certificate.subject.state

证书主题中提供的州或省份。

类型：keyword

issuer

颁发者。

zeek.x509.certificate.issuer.country

证书颁发者字段中提供的国家/地区。

类型：keyword

zeek.x509.certificate.issuer.common_name

证书颁发者字段中提供的通用名称。

类型：keyword

zeek.x509.certificate.issuer.locality

证书颁发者字段中提供的地区。

类型：keyword

zeek.x509.certificate.issuer.organization

证书颁发者字段中提供的组织。

类型：keyword

zeek.x509.certificate.issuer.organizational_unit

证书颁发者字段中提供的组织单元。

类型：keyword

zeek.x509.certificate.issuer.state

证书颁发者字段中提供的州或省份。

类型：keyword

zeek.x509.certificate.common_name

最后一个（最具体的）通用名称。

类型：keyword

valid

证书有效性时间戳

zeek.x509.certificate.valid.from

证书无效之前的時間戳。

类型：日期

zeek.x509.certificate.valid.until

证书无效之后的時間戳。

类型：日期

zeek.x509.certificate.key.algorithm

密钥算法的名称。

类型：keyword

zeek.x509.certificate.key.type

密钥类型，如果密钥可由openssl解析（rsa、dsa或ec）。

类型：keyword

zeek.x509.certificate.key.length

密钥长度（以位为单位）。

类型：integer

zeek.x509.certificate.signature_algorithm

签名算法的名称。

类型：keyword

zeek.x509.certificate.exponent

如果为RSA证书，则为指数。

类型：keyword

zeek.x509.certificate.curve

如果为EC证书，则为曲线。

类型：keyword

san

证书的主题替代名称扩展。

zeek.x509.san.dns

SAN中的DNS条目列表。

类型：keyword

zeek.x509.san.uri

SAN中的URI条目列表。

类型：keyword

zeek.x509.san.email

SAN中的电子邮件条目列表。

类型：keyword

zeek.x509.san.ip

SAN中的IP条目列表。

类型：ip

zeek.x509.san.other_fields

如果证书包含其他未识别或未解析的名称字段，则为True。

类型：boolean

basic_constraints

证书的基本约束扩展。

zeek.x509.basic_constraints.certificate_authority

CA标志是否设置。

类型：boolean

zeek.x509.basic_constraints.path_length

最大路径长度。

类型：integer

zeek.x509.log_cert

如果加载了policy/protocols/ssl/log-hostcerts-only.bro，则存在。如果设置为F，则会抑制证书的记录。

类型：boolean

« Windows ETW 字段 ZooKeeper 字段 »