事件字段

event.action

事件捕获的动作。

这描述了事件中的信息。它比event.category更具体。示例包括group-add、process-started、file-created。该值通常由实现者定义。

类型：keyword

示例：user-password-change

核心

event.agent_id_status

代理通常负责填充agent.id字段值。如果接收事件的系统能够基于客户端的认证信息验证该值，则可以使用此字段来反映该验证的结果。

例如，如果代理的连接使用 mTLS 进行身份验证，并且客户端证书包含颁发给该证书的代理的 ID，则可以针对证书检查事件中的agent.id值。如果值匹配，则将event.agent_id_status: verified添加到事件中，否则应使用其他允许的值之一。

如果未执行验证，则应省略此字段。

允许的值为：

verified - agent.id字段值与从身份验证元数据获得的预期值匹配。

mismatch - agent.id字段值与从身份验证元数据获得的预期值不匹配。

missing - 事件中没有要验证的agent.id字段。

auth_metadata_missing - 没有身份验证元数据或缺少有关代理 ID 的信息。

类型：keyword

示例：verified

扩展

event.category

这是四个 ECS 分类字段之一，表示 ECS 分类层次结构中的第二级。

event.category表示 ECS 类别的“大类别”。例如，根据event.category:process筛选将产生所有与进程活动相关的事件。此字段与用作子类别的event.type密切相关。

此字段是一个数组。这将允许对属于多个类别的某些事件进行正确的分类。

类型：keyword

注意：此字段应包含一个值数组。

重要：字段值必须是以下值之一：

api, authentication, configuration, database, driver, email, file, host, iam, intrusion_detection, library, malware, network, package, process, registry, session, threat, vulnerability, web

要了解何时使用哪个值，请访问页面event.category 的允许值

核心

event.code

此事件的标识代码（如果存在）。

一些事件源使用事件代码来明确标识消息，而不管消息语言或措辞随时间的调整如何。Windows 事件 ID 就是一个示例。

类型：keyword

示例：4648

扩展

event.created

event.created包含代理或管道首次读取事件的日期/时间。

此字段与@timestamp不同，因为@timestamp通常包含从原始事件中提取的时间。

在大多数情况下，这两个时间戳略有不同。差异可用于计算事件源生成事件与代理首次处理事件之间的时间延迟。这可用于监控代理或管道的跟上事件源的能力。

如果这两个时间戳相同，则应使用@timestamp。

类型：date

示例：2016-05-23T08:05:34.857Z

核心

event.dataset

数据集的名称。

如果事件源发布多种类型的日志或事件（例如访问日志、错误日志），则数据集用于指定事件来自哪个源。

建议但不强制要求数据集名称以模块名称开头，后跟一个点，然后是数据集名称。

类型：keyword

示例：apache.access

核心

event.duration

事件持续时间（以纳秒为单位）。

如果已知event.start和event.end，则此值应为结束时间和开始时间之差。

类型：long

核心

event.end

event.end包含事件结束或最后一次观察到活动的时间。

类型：date

扩展

event.hash

原始字段的哈希值（可能是 logstash 指纹），用于证明日志完整性。

类型：keyword

示例：123456789012345678901234567890ABCD

扩展

event.id

用于描述事件的唯一 ID。

类型：keyword

示例：8a4f500d

核心

event.ingested

事件到达中央数据存储的时间戳。

这与@timestamp不同，@timestamp是事件最初发生的时间。它也与event.created不同，event.created旨在捕获代理第一次看到事件的时间。

在正常情况下，假设没有篡改，时间戳的顺序应如下所示：@timestamp < event.created < event.ingested。

类型：date

示例：2016-05-23T08:05:35.101Z

核心

event.kind

这是四个 ECS 分类字段之一，表示 ECS 分类层次结构中的最高级别。

event.kind提供了关于事件包含什么类型的信息的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。

此字段的值可用于告知如何处理这些类型的事件。它们可能需要不同的保留策略、不同的访问控制，它还有助于理解数据是否以规则的间隔进入。

类型：keyword

重要：字段值必须是以下值之一：

alert, asset, enrichment, event, metric, state, pipeline_error, signal

要了解何时使用哪个值，请访问页面event.kind 的允许值

核心

event.module

此数据来源的模块名称。

如果您的监控代理支持模块或插件的概念来处理给定源的事件（例如 Apache 日志），则event.module应包含此模块的名称。

类型：keyword

示例：apache

核心

event.original

整个事件的原始文本消息。用于证明日志完整性或在需要完整日志消息（在将其分成多个部分之前）的地方，例如用于重新索引。

此字段未编入索引，并且禁用了 doc_values。它无法搜索，但可以从_source中检索。如果用户希望覆盖此设置并编入此字段的索引，请参阅Elasticsearch 参考中的字段数据类型。

类型：keyword

示例：Sep 19 08:26:10 host CEF:0|Security| threatmanager|1.0|100| worm successfully stopped|10|src=10.0.0.1 dst=2.1.2.2spt=1232

核心

event.outcome

这是四个 ECS 分类字段之一，表示 ECS 分类层次结构中的最低级别。

event.outcome简单地表示事件是否代表从生成事件的实体的角度来看成功或失败。

请注意，当单个事务在多个事件中描述时，每个事件可能会填充event.outcome的不同值，这取决于它们的角度。

另请注意，对于复合事件（包含多个逻辑事件的单个事件），此字段应填充最能捕获事件生成者视角的整体成功或失败的值。

此外，并非所有事件都具有相关的结果。例如，此字段通常不填充指标事件、event.type:info的事件或任何结果没有逻辑意义的事件。

类型：keyword

重要：字段值必须是以下值之一：

failure, success, unknown

要了解何时使用哪个值，请访问页面event.outcome 的允许值

核心

event.provider

事件的来源。

Syslog 或 Windows 事件日志等事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如 Sysmon、httpd），也可以是操作系统的子系统的名称（内核、Microsoft-Windows-Security-Auditing）。

类型：keyword

示例：kernel

扩展

event.reason

根据来源，此事件发生的原因。

这描述了事件中捕获的特定操作或结果的原因。其中event.action捕获事件中的操作，event.reason描述了为什么采取该操作。例如，具有event.action拒绝请求的 Web 代理还可以使用event.reason填充原因（例如blocked site）。

类型：keyword

示例：Terminated an unexpected process

扩展

event.reference

指向此事件的附加信息的参考 URL。

此 URL 链接到此事件的静态定义。event.kind:alert指示的警报事件是此字段的常见用例。

类型：keyword

示例：https://system.example.com/event/#0001234

扩展

event.risk_score

事件的风险评分或优先级（例如，安全解决方案）。请在此处使用您系统中的原始值。

类型：浮点数

核心

event.risk_score_norm

事件的标准化风险评分或优先级，范围为 0 到 100。

如果您使用多个分配风险评分的系统，并且希望查看所有系统的标准化值，这将非常有用。

类型：浮点数

扩展

event.sequence

事件的序列号。

序列号是由某些事件源发布的值，用于明确事件的精确顺序，而不管时间戳的精度如何。

类型：long

扩展

event.severity

根据您的事件源，事件的数值严重性。

不同的严重性值含义可能因来源和用例而异。实现者有责任确保来自同一来源的事件的严重性保持一致。

Syslog 严重性属于 log.syslog.severity.code。 event.severity 用于表示根据事件源（例如防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，则可以选择将 log.syslog.severity.code 复制到 event.severity。

类型：long

示例：7

核心

event.start

event.start 包含事件开始时间或首次观察到活动的时间。

类型：date

扩展

event.timezone

当事件的时间戳未包含时区信息时（例如，默认的 Syslog 时间戳），应填充此字段。否则为可选。

可接受的时区格式为：规范 ID（例如，“Europe/Amsterdam”）、缩写（例如，“EST”）或 HH:mm 差值（例如，“-05:00”）。

类型：keyword

扩展

event.type

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。

event.type 表示一个分类“子桶”，当与 event.category 字段值一起使用时，可以将事件过滤到适合单一可视化的级别。

此字段是一个数组。这允许对属于多个事件类型的某些事件进行正确的分类。

类型：keyword

注意：此字段应包含一个值数组。

重要：字段值必须是以下值之一：

访问、管理、允许、更改、连接、创建、删除、拒绝、结束、错误、组、指标、信息、安装、协议、开始、用户

要了解何时使用哪个值，请访问页面 event.type 的允许值

核心

event.url

链接到外部系统以继续调查此事件的 URL。

此 URL 链接到另一个系统，可以在该系统中对该事件的特定发生情况进行深入调查。由 event.kind:alert 指示的警报事件是此字段的常见用例。

类型：keyword

示例：https://mysystem.example.com/alert/5271dedb-f5b0-4218-87f0-4ac4870a38fe

扩展