› ›

服务器字段

服务器定义为网络连接中的响应方，用于处理与会话、连接或双向流记录相关的事件。

对于 TCP 事件，服务器是 TCP 连接初始 SYN 数据包的接收方。对于其他协议，服务器通常是网络事务中的响应方。某些系统实际上使用术语“响应方”来指代 TCP 连接中的服务器。服务器字段描述充当网络事件中服务器的系统的详细信息。服务器字段通常与客户端字段一起填充。服务器字段通常不为数据包级事件填充。

客户端/服务器表示可以为交换添加语义上下文，这有助于在某些情况下可视化数据。如果您的上下文属于此类别，您仍应确保正确填充源和目标。

服务器字段详细信息

编辑

字段	描述	级别
server.address	某些事件服务器地址定义不明确。事件有时会列出 IP 地址、域名或 Unix 套接字。您应始终将原始地址存储在`.address`字段中。然后应根据情况复制到`.ip`或`.domain`。类型：keyword	扩展
server.bytes	从服务器发送到客户端的字节数。类型：long 示例：`184`	核心
server.domain	服务器系统的域名。此值可以是主机名、完全限定域名或其他主机命名格式。该值可能源自原始事件或从富化中添加。类型：keyword 示例：`foo.example.com`	核心
server.ip	服务器的 IP 地址（IPv4 或 IPv6）。类型：ip	核心
server.mac	服务器的 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）都用两个[大写]十六进制数字表示，表示该八位字节作为无符号整数的值。连续的八位字节用连字符分隔。类型：keyword 示例：`00-00-5E-00-53-23`	核心
server.nat.ip	基于目标 NAT 会话的转换后的 IP 地址（例如，互联网到专用 DMZ）。通常与负载均衡器、防火墙或路由器一起使用。类型：ip	扩展
server.nat.port	基于目标 NAT 会话的转换后的端口（例如，互联网到专用 DMZ）。通常与负载均衡器、防火墙或路由器一起使用。类型：long	扩展
server.packets	从服务器发送到客户端的数据包数。类型：long 示例：`12`	核心
server.port	服务器的端口。类型：long	核心
server.registered_domain	已注册的最高级服务器域名，已去除子域名。例如，“foo.example.com”的注册域名是“example.com”。可以使用公共后缀列表（http://publicsuffix.org）等列表精确确定此值。仅仅取最后两个标签来近似这个值对于像“co.uk”这样的顶级域名来说并不可行。类型：keyword 示例：`example.com`	扩展
server.subdomain	完全限定域名中的子域名部分包含除注册域名下的主机名之外的所有名称。在部分限定域名中，或者如果无法确定全名的限定级别，则子域名包含注册域名下方的所有名称。例如，“www.east.mydomain.co.uk”的子域名部分是“east”。如果域名有多个子域名级别，例如“sub2.sub1.example.com”，则子域名字段应包含“sub2.sub1”，不带尾随句点。类型：keyword 示例：`east`	扩展
server.top_level_domain	有效的顶级域名 (eTLD)，也称为域名后缀，是域名最后一部分。例如，example.com 的顶级域名是“com”。可以使用公共后缀列表（http://publicsuffix.org）等列表精确确定此值。仅仅取最后一个标签来近似这个值对于像“co.uk”这样的有效顶级域名来说并不可行。类型：keyword 示例：`co.uk`	扩展

字段重用

编辑

可在服务器下嵌套的字段集

编辑

位置	字段集	描述
`server.as.*`	as	描述自治系统（互联网路由前缀）的字段。
`server.geo.*`	geo	描述位置的字段。
`server.user.*`	user	用于描述与事件相关的用户的字段。

« 规则字段服务字段 »