目标字段
编辑目标字段
编辑目标字段捕获网络交换/数据包接收方的详细信息。这些字段从网络事件、数据包或包含网络事务详细信息的其他事件中填充。
目标字段通常与源字段一起填充。源字段和目标字段被认为是基线，如果事件包含来自网络事务的源和目标详细信息，则应始终填充它们。如果事件还包含客户端和服务器角色的标识，则也应填充客户端和服务器字段。
目标字段详细信息
编辑| 字段 | 描述 | 级别 |
|---|---|---|
|
某些事件目标地址的定义不明确。事件有时会列出 IP、域名或 Unix 套接字。您应始终将原始地址存储在 然后应将其复制到 类型：keyword |
扩展 |
|
|
从目标发送到源的字节数。 类型：long 示例： |
核心 |
|
|
目标系统的域名。 此值可以是主机名、完全限定域名或其他主机命名格式。该值可能源自原始事件或从增强中添加。 类型：keyword 示例： |
核心 |
|
|
目标的 IP 地址（IPv4 或 IPv6）。 类型：ip |
核心 |
|
|
目标的 MAC 地址。 建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个 [大写] 十六进制数字表示，表示八位字节作为无符号整数的值。连续的八位字节用连字符分隔。 类型：keyword 示例： |
核心 |
|
|
基于 NAT 会话（例如，Internet 到私有 DMZ）的目标的转换后的 IP。 通常与负载均衡器、防火墙或路由器一起使用。 类型：ip |
扩展 |
|
|
源会话由 NAT 设备转换到的端口。 通常与负载均衡器、防火墙或路由器一起使用。 类型：long |
扩展 |
|
|
从目标发送到源的数据包数。 类型：long 示例： |
核心 |
|
|
目标的端口。 类型：long |
核心 |
|
|
剥离子域后，最高注册的目标域。 例如，“foo.example.com”的注册域为“example.com”。 可以使用类似公共后缀列表（http://publicsuffix.org）的列表精确地确定此值。仅通过获取最后两个标签来近似此值对于“co.uk”等顶级域将效果不佳。 类型：keyword 示例： |
扩展 |
|
|
完全限定域名中的子域名部分包括注册域下除主机名之外的所有名称。在部分限定域名中，或者如果无法确定完整名称的限定级别，则子域名包含注册域以下的所有名称。 例如，“www.east.mydomain.co.uk”的子域名部分为“east”。如果域名具有多个子域名级别，例如“sub2.sub1.example.com”，则子域名字段应包含“sub2.sub1”，不带尾随句点。 类型：keyword 示例： |
扩展 |
|
|
有效顶级域 (eTLD)，也称为域名后缀，是域名最后一部分。例如，example.com 的顶级域为“com”。 可以使用类似公共后缀列表（http://publicsuffix.org）的列表精确地确定此值。仅通过获取最后一个标签来近似此值对于“co.uk”等有效顶级域将效果不佳。 类型：keyword 示例： |
扩展 |