用于处理来自 Okta 的系统日志的模块。
okta
来自 Okta 的字段。
-
okta.uuid -
Okta LogEvent 的唯一标识符。
type: keyword
-
okta.event_type -
LogEvent 的类型。
type: keyword
-
okta.version -
LogEvent 的版本。
type: keyword
-
okta.severity -
LogEvent 的严重性。必须是 DEBUG、INFO、WARN 或 ERROR 之一。
type: keyword
-
okta.display_message -
LogEvent 的显示消息。
type: keyword
actor
允许您存储 LogEvent 的执行者信息的字段。
-
okta.actor.id -
执行者的标识符。
type: keyword
-
okta.actor.type -
执行者的类型。
type: keyword
-
okta.actor.alternate_id -
执行者的备用标识符。
type: keyword
-
okta.actor.display_name -
执行者的显示名称。
type: keyword
client
允许您存储有关执行者客户端的信息的字段。
-
okta.client.ip -
客户端的 IP 地址。
type: ip
user_agent
有关客户端用户代理信息字段。
-
okta.client.user_agent.raw_user_agent -
用户代理的原始信息。
type: keyword
-
okta.client.user_agent.os -
操作系统信息。
type: keyword
-
okta.client.user_agent.browser -
客户端的浏览器信息。
type: keyword
-
okta.client.zone -
客户端的区域信息。
type: keyword
-
okta.client.device -
客户端设备的信息。
type: keyword
-
okta.client.id -
客户端的标识符。
type: keyword
outcome
允许您存储有关结果的信息的字段。
-
okta.outcome.reason -
结果的原因。
type: keyword
-
okta.outcome.result -
结果的结果。必须是以下之一：SUCCESS、FAILURE、SKIPPED、ALLOW、DENY、CHALLENGE、UNKNOWN。
type: keyword
-
okta.target -
目标列表。
type: flattened
transaction
允许您存储有关相关事务的信息的字段。
-
okta.transaction.id -
事务的标识符。
type: keyword
-
okta.transaction.type -
事务的类型。必须是 "WEB" 或 "JOB" 之一。
type: keyword
debug_context
允许您存储有关调试上下文的信息的字段。
debug_data
调试数据。
-
okta.debug_context.debug_data.device_fingerprint -
设备的指纹。
type: keyword
-
okta.debug_context.debug_data.factor -
用于身份验证的因素。
type: keyword
-
okta.debug_context.debug_data.request_id -
请求的标识符。
type: keyword
-
okta.debug_context.debug_data.request_uri -
请求 URI。
type: keyword
-
okta.debug_context.debug_data.threat_suspected -
威胁可疑。
type: keyword
-
okta.debug_context.debug_data.risk_behaviors -
导致风险评估的一组行为。
type: keyword
-
okta.debug_context.debug_data.risk_level -
分配给登录尝试的风险等级。
type: keyword
-
okta.debug_context.debug_data.risk_reasons -
风险的原因。
type: keyword
-
okta.debug_context.debug_data.url -
URL。
type: keyword
-
okta.debug_context.debug_data.flattened -
完整的 debug_data 对象。
type: flattened
suspicious_activity
来自调试数据的可疑活动字段。
-
okta.debug_context.debug_data.suspicious_activity.browser -
使用的浏览器。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_city -
发生可疑活动的城市。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_country -
发生可疑活动的国家/地区。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_id -
事件 ID。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_ip -
可疑事件的 IP。
type: ip
-
okta.debug_context.debug_data.suspicious_activity.event_latitude -
发生可疑活动的纬度。
type: float
-
okta.debug_context.debug_data.suspicious_activity.event_longitude -
发生可疑活动的经度。
type: float
-
okta.debug_context.debug_data.suspicious_activity.event_state -
发生可疑活动的州。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_transaction_id -
事件事务 ID。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.event_type -
事件类型。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.os -
发生可疑活动的系统操作系统。
type: keyword
-
okta.debug_context.debug_data.suspicious_activity.timestamp -
活动发生的日期时间戳。
type: date
authentication_context
允许您存储有关身份验证上下文的信息的字段。
-
okta.authentication_context.authentication_provider -
有关身份验证提供者的信息。必须是 OKTA_AUTHENTICATION_PROVIDER、ACTIVE_DIRECTORY、LDAP、FEDERATION、SOCIAL、FACTOR_PROVIDER 之一。
type: keyword
-
okta.authentication_context.authentication_step -
身份验证步骤。
type: integer
-
okta.authentication_context.credential_provider -
有关凭据提供者的信息。必须是 OKTA_CREDENTIAL_PROVIDER、RSA、SYMANTEC、GOOGLE、DUO、YUBIKEY 之一。
type: keyword
-
okta.authentication_context.credential_type -
有关凭据类型的信息。必须是 OTP、SMS、PASSWORD、ASSERTION、IWA、EMAIL、OAUTH2、JWT、CERTIFICATE、PRE_SHARED_SYMMETRIC_KEY、OKTA_CLIENT_SESSION、DEVICE_UDID 之一。
type: keyword
-
okta.authentication_context.issuer -
有关发行者的信息。
type: array
-
okta.authentication_context.external_session_id -
如果有的话，外部会话的会话标识符。
type: keyword
-
okta.authentication_context.interface -
使用的接口。例如，Outlook、Office365、wsTrust
type: keyword
security_context
允许您存储有关安全上下文的信息的字段。
as
自治系统。
-
okta.security_context.as.number -
AS 号。
type: integer
organization
拥有 AS 号的组织。
-
okta.security_context.as.organization.name -
组织名称。
type: keyword
-
okta.security_context.isp -
互联网服务提供商。
type: keyword
-
okta.security_context.domain -
域名。
type: keyword
-
okta.security_context.is_proxy -
是否为代理。
type: boolean
request
允许您存储有关请求的信息的字段，形式为 ip_chain 列表。
-
okta.request.ip_chain -
ip_chain 对象列表。
type: flattened