›

ECS 字段参考

编辑

ECS 字段参考

编辑

这是 ECS 8.16.0 版本的文档。

ECS 定义了多个相关的字段组。它们被称为“字段集”。基础字段集是唯一一个字段定义在事件根目录下的字段集。

所有其他字段集都在 Elasticsearch 中定义为对象，所有字段都在其下定义。

要查看所有字段的单页表示形式，请参阅生成的字段 CSV 文件。

字段集

编辑

字段集	描述
基础	直接在事件根目录下定义的所有字段。
代理	关于监控代理的字段。
自治系统	描述自治系统（互联网路由前缀）的字段。
客户端	关于网络连接客户端的字段，与服务器一起使用。
云	关于云资源的字段。
代码签名	这些字段包含有关二进制代码签名的信息。
容器	描述生成此事件的容器的字段。
数据流	data_stream 字段参与定义新的数据流命名方案。
目标	关于网络连接目标端的字段，与源一起使用。
设备	描述进程或应用程序运行在其上的（移动）设备的字段。
DLL	这些字段包含有关动态加载到进程中的代码库的信息。
DNS	描述 DNS 查询和应答的字段。
ECS	特定于 ECS 的元信息。
ELF 头部	这些字段包含 Linux 可执行链接格式 (ELF) 元数据。
电子邮件	描述电子邮件事务。
错误	关于任何类型错误的字段。
事件	细分事件详细信息的字段。
FaaS	描述函数即服务的字段。
文件	描述文件的字段。
地理位置	描述位置的字段。
组	与事件相关的用户组。
哈希值	哈希值，通常是文件哈希值。
主机	描述相关计算实例的字段。
HTTP	描述 HTTP 请求的字段。
接口	描述观察者接口信息的字段。
日志	关于事件日志记录机制的详细信息。
Mach-O 头部	这些字段包含 Mac OS Mach 对象文件格式 (Mach-O) 元数据。
网络	描述事件发生时通信路径的字段。
观察者	描述从主机外部观察事件的实体的字段。
编排器	与容器编排器相关的字段。
组织	描述事件相关的组织或公司的字段。
操作系统	操作系统字段包含有关操作系统的的信息。
软件包	这些字段包含有关已安装软件包的信息。
PE 头部	这些字段包含 Windows 可移植执行体 (PE) 元数据。
进程	这些字段包含有关进程的信息。
注册表	与 Windows 注册表操作相关的字段。
相关	旨在方便围绕数据片段进行枢轴的字段。
风险信息	用于描述风险评分和级别的字段。
规则	用于捕获用于生成警报或其他重要事件的规则的详细信息的字段。
服务器	关于网络连接服务器端的字段，与客户端一起使用。
服务	描述收集数据的服务或来源的字段。
源	关于网络连接源端的字段，与目标一起使用。
威胁	根据威胁分类对事件和警报进行分类的字段。
TLS	描述 TLS 连接的字段。
追踪	与分布式追踪相关的字段。
URL	允许您以各种形式存储 URL 的字段。
用户	描述与事件相关的用户的字段。
用户代理	用于描述浏览器 user_agent 字符串的字段。
VLAN	用于描述观察到的 VLAN 信息的字段。
卷	与存储卷详细信息相关的字段。
漏洞	用于描述与事件相关的漏洞的字段。
x509 证书	这些字段包含 x509 证书元数据。

« 自定义字段基础字段 »