› ›

解码 CEF 处理器字段

通用事件格式 (CEF) 数据。

cef

默认情况下，decode_cef 处理器将 CEF 消息中的所有数据写入此 cef 对象。它包含 CEF 标头字段和扩展数据。

cef.version

消息使用的 CEF 规范版本。

type: keyword

cef.device.vendor

生成消息的设备的供应商。

type: keyword

cef.device.product

生成消息的设备的产品。

type: keyword

cef.device.version

生成消息的产品的版本。

type: keyword

cef.device.event_class_id

事件类型的唯一标识符。

type: keyword

cef.severity

事件的重要性。有效的字符串值为 Unknown、Low、Medium、High 和 Very-High。有效的整数值为 0-3=Low、4-6=Medium、7-8=High 和 9-10=Very-High。

type: keyword

示例: Very-High

cef.name

事件的简短描述。

type: keyword

extensions

CEF 扩展字段中携带的键值对集合。

cef.extensions.agentAddress

处理事件的 ArcSight 连接器的 IP 地址。

type: ip

cef.extensions.agentDnsDomain

处理事件的 ArcSight 连接器的 DNS 域名。

type: keyword

cef.extensions.agentHostName

处理事件的 ArcSight 连接器的主机名。

type: keyword

cef.extensions.agentId

处理事件的 ArcSight 连接器的代理 ID。

type: keyword

cef.extensions.agentMacAddress

处理事件的 ArcSight 连接器的 MAC 地址。

type: keyword

cef.extensions.agentNtDomain

无

type: keyword

cef.extensions.agentReceiptTime

ArcSight 连接器接收到事件信息的时间。

type: date

cef.extensions.agentTimeZone

处理事件的 ArcSight 连接器的代理时区。

type: keyword

cef.extensions.agentTranslatedAddress

无

type: ip

cef.extensions.agentTranslatedZoneExternalID

无

type: keyword

cef.extensions.agentTranslatedZoneURI

无

type: keyword

cef.extensions.agentType

处理事件的 ArcSight 连接器的代理类型

type: keyword

cef.extensions.agentVersion

处理事件的 ArcSight 连接器的版本。

type: keyword

cef.extensions.agentZoneExternalID

无

type: keyword

cef.extensions.agentZoneURI

无

type: keyword

cef.extensions.applicationProtocol

应用程序级协议，示例值为 HTTP、HTTPS、SSHv2、Telnet、POP、IMPA、IMAPS 等。

type: keyword

cef.extensions.baseEventCount

与此事件关联的计数。观察到此同一事件多少次？如果计数为 1，则可以省略。

type: long

cef.extensions.bytesIn

相对于源到目标关系，传入的字节数，表示数据从源流向目标。

type: long

cef.extensions.bytesOut

相对于源到目标关系，传出的字节数。例如，数据从目标流向源的字节数。

type: long

cef.extensions.customerExternalID

无

type: keyword

cef.extensions.customerURI

无

type: keyword

cef.extensions.destinationAddress

标识事件在 IP 网络中引用的目标地址。格式为 IPv4 地址。

type: ip

cef.extensions.destinationDnsDomain

完整的完全限定域名 (FQDN) 的 DNS 域部分。

type: keyword

cef.extensions.destinationGeoLatitude

目标 IP 地址所属的纬度值。

type: double

cef.extensions.destinationGeoLongitude

目标 IP 地址所属的经度值。

type: double

cef.extensions.destinationHostName

标识事件在 IP 网络中引用的目标。当节点可用时，格式应为与目标节点关联的完全限定域名 (FQDN)。

type: keyword

cef.extensions.destinationMacAddress

六个以冒号分隔的十六进制数字。

type: keyword

cef.extensions.destinationNtDomain

目标地址的 Windows 域名。

type: keyword

cef.extensions.destinationPort

有效的端口号介于 0 和 65535 之间。

type: long

cef.extensions.destinationProcessId

提供与事件关联的目标进程的 ID。例如，如果事件包含进程 ID 105，“105”是进程 ID。

type: long

cef.extensions.destinationProcessName

事件的目标进程的名称。

type: keyword

cef.extensions.destinationServiceName

此事件的目标服务。

type: keyword

cef.extensions.destinationTranslatedAddress

标识事件在 IP 网络中引用的已转换的目标。

type: ip

cef.extensions.destinationTranslatedPort

转换后的端口；例如，防火墙。有效的端口号为 0 到 65535。

type: long

cef.extensions.destinationTranslatedZoneExternalID

无

type: keyword

cef.extensions.destinationTranslatedZoneURI

目标资产在 ArcSight 中分配到的已转换区域的 URI。

type: keyword

cef.extensions.destinationUserId

按 ID 标识目标用户。例如，在 UNIX 中，root 用户通常与用户 ID 0 相关联。

type: keyword

cef.extensions.destinationUserName

按名称标识目标用户。这是与事件目标关联的用户。电子邮件地址通常会映射到 UserName 字段中。收件人是一个可以放入此字段的候选者。

type: keyword

cef.extensions.destinationUserPrivileges

典型值为“Administrator”、“User”和“Guest”。这标识目标用户的权限。例如，在 UNIX 中，在 root 用户上执行的活动将使用“Administrator”的目标用户权限进行标识。

type: keyword

cef.extensions.destinationZoneExternalID

无

type: keyword

cef.extensions.destinationZoneURI

目标资产在 ArcSight 中分配到的区域的 URI。

type: keyword

cef.extensions.deviceAction

设备采取的操作。

type: keyword

cef.extensions.deviceAddress

标识事件在 IP 网络中引用的设备地址。

type: ip

cef.extensions.deviceCustomFloatingPoint1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomFloatingPoint3Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomFloatingPoint4Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomDate1

可用于映射不适用于此字典中任何其他字段的两个时间戳字段之一。

type: date

cef.extensions.deviceCustomDate1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomDate2

可用于映射不适用于此字典中任何其他字段的两个时间戳字段之一。

type: date

cef.extensions.deviceCustomDate2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomFloatingPoint1

可用于映射不适用于此字典中任何其他字段的四个浮点字段之一。

type: double

cef.extensions.deviceCustomFloatingPoint2

可用于映射不适用于此字典中任何其他字段的四个浮点字段之一。

type: double

cef.extensions.deviceCustomFloatingPoint2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomFloatingPoint3

可用于映射不适用于此字典中任何其他字段的四个浮点字段之一。

type: double

cef.extensions.deviceCustomFloatingPoint4

可用于映射不适用于此字典中任何其他字段的四个浮点字段之一。

type: double

cef.extensions.deviceCustomIPv6Address1

可用于映射不适用于此字典中任何其他字段的四个 IPv6 地址字段之一。

type: ip

cef.extensions.deviceCustomIPv6Address1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomIPv6Address2

可用于映射不适用于此字典中任何其他字段的四个 IPv6 地址字段之一。

type: ip

cef.extensions.deviceCustomIPv6Address2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomIPv6Address3

可用于映射不适用于此字典中任何其他字段的四个 IPv6 地址字段之一。

type: ip

cef.extensions.deviceCustomIPv6Address3Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomIPv6Address4

可用于映射不适用于此字典中任何其他字段的四个 IPv6 地址字段之一。

type: ip

cef.extensions.deviceCustomIPv6Address4Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomNumber1

可用于映射不适用于此字典中任何其他字段的三个数字字段之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: long

cef.extensions.deviceCustomNumber1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomNumber2

可用于映射不适用于此字典中任何其他字段的三个数字字段之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: long

cef.extensions.deviceCustomNumber2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomNumber3

可用于映射不适用于此字典中任何其他字段的三个数字字段之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: long

cef.extensions.deviceCustomNumber3Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString1

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString2

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString3

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString3Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString4

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString4Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString5

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString5Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceCustomString6

可用于映射不适用于此字典中任何其他字段的六个字符串之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: keyword

cef.extensions.deviceCustomString6Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceDirection

有关观察到的通信方向的任何信息。支持以下值 - “0”表示入站，“1”表示出站。

type: long

cef.extensions.deviceDnsDomain

完整的完全限定域名 (FQDN) 的 DNS 域部分。

type: keyword

cef.extensions.deviceEventCategory

表示始发设备分配的类别。设备通常使用自己的分类架构来对事件进行分类。示例 “/Monitor/Disk/Read”。

type: keyword

cef.extensions.deviceExternalId

唯一标识生成此事件的设备的名称。

type: keyword

cef.extensions.deviceFacility

生成此事件的设施。例如，Syslog 每个事件都有一个明确的设施与之关联。

type: keyword

cef.extensions.deviceFlexNumber1

可用于映射不适用于此字典中任何其他字段的两个备用数字字段之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: long

cef.extensions.deviceFlexNumber1Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceFlexNumber2

可用于映射不适用于此字典中任何其他字段的两个备用数字字段之一。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。

type: long

cef.extensions.deviceFlexNumber2Label

所有自定义字段都有一个对应的标签字段。这些字段中的每一个都是一个字符串，用于描述自定义字段的用途。

type: keyword

cef.extensions.deviceHostName

当节点可用时，格式应为与设备节点关联的完全限定域名 (FQDN)。

type: keyword

cef.extensions.deviceInboundInterface

数据包或数据进入设备的接口。

type: keyword

cef.extensions.deviceMacAddress

六个以冒号分隔的十六进制数字。

type: keyword

cef.extensions.deviceNtDomain

设备地址的 Windows 域名。

type: keyword

cef.extensions.deviceOutboundInterface

数据包或数据离开设备的接口。

type: keyword

cef.extensions.devicePayloadId

与事件关联的有效负载的唯一标识符。

type: keyword

cef.extensions.deviceProcessId

提供设备上生成事件的进程的 ID。

type: long

cef.extensions.deviceProcessName

与事件关联的进程名称。一个示例可能是 UNIX 中生成 syslog 条目的进程。

type: keyword

cef.extensions.deviceReceiptTime

接收到与活动相关的事件的时间。格式为 MMM dd yyyy HH:mm:ss 或自 epoch（1970 年 1 月 1 日）以来的毫秒数

type: date

cef.extensions.deviceTimeZone

生成事件的设备的时区。

type: keyword

cef.extensions.deviceTranslatedAddress

标识事件在 IP 网络中引用的已转换的设备地址。

type: ip

cef.extensions.deviceTranslatedZoneExternalID

无

type: keyword

cef.extensions.deviceTranslatedZoneURI

设备资产在 ArcSight 中分配到的已转换区域的 URI。

type: keyword

cef.extensions.deviceZoneExternalID

无

type: keyword

cef.extensions.deviceZoneURI

设备资产在 ArcSight 中分配到的区域的 URI。

type: keyword

cef.extensions.endTime

与事件相关的活动结束的时间。格式为 MMM dd yyyy HH:mm:ss 或自 epoch（1970 年 1 月 1 日）以来的毫秒数。一个示例是报告会话的结束。

type: date

cef.extensions.eventId

这是 ArcSight 分配给每个事件的唯一 ID。

type: long

cef.extensions.eventOutcome

显示结果，通常为成功或失败。

type: keyword

cef.extensions.externalId

始发设备使用的 ID。它们通常是递增的数字，与事件相关联。

type: keyword

cef.extensions.fileCreateTime

文件创建时间。

type: date

cef.extensions.fileHash

文件的哈希值。

type: keyword

cef.extensions.fileId

与文件关联的 ID，可以是 inode。

type: keyword

cef.extensions.fileModificationTime

文件上次修改的时间。

type: date

cef.extensions.filename

仅文件名（不包含路径）。

type: keyword

cef.extensions.filePath

文件的完整路径，包括文件名本身。

type: keyword

cef.extensions.filePermission

文件的权限。

type: keyword

cef.extensions.fileSize

文件的大小。

type: long

cef.extensions.fileType

文件类型（管道、套接字等）。

type: keyword

cef.extensions.flexDate1

一个时间戳字段，可用于映射不适用于此字典中任何其他已定义时间戳字段的时间戳。请谨慎使用所有 flex 字段，并尽可能寻找更具体的、字典提供的字段。这些字段通常保留供客户使用，除非必要，否则不应由供应商设置。

type: date

cef.extensions.flexDate1Label

标签字段是一个字符串，描述 flex 字段的用途。

type: keyword

cef.extensions.flexString1

四个浮点数字段之一，可用于映射不适用于此字典中任何其他字段的字段。请谨慎使用，并尽可能寻找更具体的、字典提供的字段。这些字段通常保留供客户使用，除非必要，否则不应由供应商设置。

type: keyword

cef.extensions.flexString2

type: keyword

cef.extensions.flexString1Label

标签字段是一个字符串，描述 flex 字段的用途。

type: keyword

cef.extensions.flexString2Label

标签字段是一个字符串，描述 flex 字段的用途。

type: keyword

cef.extensions.message

一个任意消息，提供有关事件的更多详细信息。可以使用 \n 作为换行符来生成多行条目。

type: keyword

cef.extensions.oldFileCreateTime

旧文件创建的时间。

type: date

cef.extensions.oldFileHash

旧文件的哈希值。

type: keyword

cef.extensions.oldFileId

与旧文件关联的 ID，可以是 inode。

type: keyword

cef.extensions.oldFileModificationTime

旧文件上次修改的时间。

type: date

cef.extensions.oldFileName

旧文件的名称。

type: keyword

cef.extensions.oldFilePath

旧文件的完整路径，包括文件名本身。

type: keyword

cef.extensions.oldFilePermission

旧文件的权限。

type: keyword

cef.extensions.oldFileSize

旧文件的大小。

type: long

cef.extensions.oldFileType

旧文件的类型（管道、套接字等）。

type: keyword

cef.extensions.rawEvent

无

type: keyword

cef.extensions.Reason

生成审核事件的原因。例如“密码错误”或“未知用户”。这也可能是一个错误或返回代码。例如“0x1234”。

type: keyword

cef.extensions.requestClientApplication

与请求关联的 User-Agent。

type: keyword

cef.extensions.requestContext

描述请求来源内容的信息（例如，HTTP 引用）。

type: keyword

cef.extensions.requestCookies

与请求关联的 Cookie。

type: keyword

cef.extensions.requestMethod

用于访问 URL 的 HTTP 方法。

type: keyword

cef.extensions.requestUrl

在 HTTP 请求的情况下，此字段包含访问的 URL。URL 应包含协议。

type: keyword

cef.extensions.sourceAddress

标识 IP 网络中事件所指的源。

type: ip

cef.extensions.sourceDnsDomain

完整的完全限定域名 (FQDN) 的 DNS 域部分。

type: keyword

cef.extensions.sourceGeoLatitude

无

type: double

cef.extensions.sourceGeoLongitude

无

type: double

cef.extensions.sourceHostName

标识 IP 网络中事件所指的源。格式应为与源节点关联的完全限定域名 (FQDN)，如果模式可用。示例：host 或 host.domain.com。

type: keyword

cef.extensions.sourceMacAddress

六个以冒号分隔的十六进制数字。

type: keyword

示例：00:0d:60:af:1b:61

cef.extensions.sourceNtDomain

源地址的 Windows 域名。

type: keyword

cef.extensions.sourcePort

有效的端口号为 0 到 65535。

type: long

cef.extensions.sourceProcessId

与事件关联的源进程的 ID。

type: long

cef.extensions.sourceProcessName

事件的源进程的名称。

type: keyword

cef.extensions.sourceServiceName

负责生成此事件的服务。

type: keyword

cef.extensions.sourceTranslatedAddress

标识 IP 网络中事件所指的转换后的源。

type: ip

cef.extensions.sourceTranslatedPort

被防火墙等转换后的端口号。有效的端口号为 0 到 65535。

type: long

cef.extensions.sourceTranslatedZoneExternalID

无

type: keyword

cef.extensions.sourceTranslatedZoneURI

目标资产在 ArcSight 中分配到的已转换区域的 URI。

type: keyword

cef.extensions.sourceUserId

按 ID 标识源用户。这是与事件源关联的用户。例如，在 UNIX 中，root 用户通常与用户 ID 0 关联。

type: keyword

cef.extensions.sourceUserName

按名称标识源用户。电子邮件地址也映射到 UserName 字段中。发送者是一个可以放入此字段的候选者。

type: keyword

cef.extensions.sourceUserPrivileges

典型的值为“Administrator”、“User”和“Guest”。它标识源用户的权限。例如，在 UNIX 中，由 root 用户执行的活动将使用“Administrator”标识。

type: keyword

cef.extensions.sourceZoneExternalID

无

type: keyword

cef.extensions.sourceZoneURI

源资产在 ArcSight 中被分配到的区域的 URI。

type: keyword

cef.extensions.startTime

事件所指活动开始的时间。格式为 MMM dd yyyy HH:mm:ss 或自纪元（1970 年 1 月 1 日）以来的毫秒数

type: date

cef.extensions.transportProtocol

标识使用的第 4 层协议。可能的值是 TCP 或 UDP 等协议。

type: keyword

cef.extensions.type

0 表示基本事件，1 表示聚合，2 表示关联，3 表示操作。对于基本事件（类型 0），可以省略此字段。

type: long

cef.extensions.categoryDeviceType

设备类型。示例 - 代理、IDS、Web 服务器

type: keyword

cef.extensions.categoryObject

事件所关于的对象。例如，它可以是操作系统、数据库、文件等。

type: keyword

cef.extensions.categoryBehavior

与事件关联的操作或行为。这是对对象执行的操作。

type: keyword

cef.extensions.categoryTechnique

正在使用的技术（例如 /DoS）。

type: keyword

cef.extensions.categoryDeviceGroup

通用设备组，例如防火墙。

type: keyword

cef.extensions.categorySignificance

事件重要性的特征。

type: keyword

cef.extensions.categoryOutcome

事件的结果（例如，成功、失败或尝试）。

type: keyword

cef.extensions.managerReceiptTime

Arcsight ESM 接收事件的时间。

type: date

source.service.name

作为事件来源的服务。

type: keyword

destination.service.name

作为事件目标的服务。

type: keyword

« Beat 字段 CEF 字段 »