› ›

风险信息字段

风险信息字段编辑

用于描述实体（例如主机和用户）的风险评分和风险级别的字段。这些字段不允许嵌套在 event.* 下。请继续使用 event.risk_score 和 event.risk_score_norm 获取事件风险。

这些字段处于测试阶段，可能会发生变化。

字段	描述	级别
risk.calculated_level	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类级别。类型：关键字示例： `高`	扩展
risk.calculated_score	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类评分。类型：浮点数示例： `880.73`	扩展
risk.calculated_score_norm	由内部系统作为实体分析和实体风险评分的一部分计算出的风险分类评分，并标准化为 0 到 100 的范围。类型：浮点数示例： `88.73`	扩展
risk.static_level	从系统外部获取的风险分类级别，例如从某些外部威胁情报平台获取。类型：关键字示例： `高`	扩展
risk.static_score	从系统外部获取的风险分类评分，例如从某些外部威胁情报平台获取。类型：浮点数示例： `830.0`	扩展
risk.static_score_norm	从系统外部获取的风险分类评分，例如从某些外部威胁情报平台获取，并标准化为 0 到 100 的范围。类型：浮点数示例： `83.0`	扩展

risk 字段预期嵌套在以下位置

另请注意，risk 字段不应直接用于事件的根目录。