› ›

风险信息字段

用于描述实体（例如主机和用户）的风险评分和风险等级的字段。这些字段不允许嵌套在 event.* 下。请继续使用 event.risk_score 和 event.risk_score_norm 来表示事件风险。

这些字段处于测试阶段，可能会发生更改。

字段	描述	级别
risk.calculated_level	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类级别。类型：keyword 示例：`高`	扩展
risk.calculated_score	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类分数。类型：float 示例：`880.73`	扩展
risk.calculated_score_norm	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类分数，并归一化为 0 到 100 的范围。类型：float 示例：`88.73`	扩展
risk.static_level	从系统外部获得的风险分类级别，例如来自某些外部威胁情报平台。类型：keyword 示例：`高`	扩展
risk.static_score	从系统外部获得的风险分类分数，例如来自某些外部威胁情报平台。类型：float 示例：`830.0`	扩展
risk.static_score_norm	从系统外部获得的风险分类分数，例如来自某些外部威胁情报平台，并归一化为 0 到 100 的范围。类型：float 示例：`83.0`	扩展

预期 risk 字段嵌套在：

另请注意，risk 字段不应直接在事件的根级别使用。