Amazon Security Lake

@timestamp

事件时间戳。

日期

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集。

constant_keyword

event.message

针对在日志查看器中查看而优化的日志消息。

文本

event.module

事件模块。

constant_keyword

input.type

Filebeat 输入的类型。

关键字

log.flags

日志文件的标志。

关键字

log.offset

日志文件中条目的偏移量。

长整型

ocsf.access_mask

平台本机格式的访问掩码。

长整型

ocsf.action

action_id 的标准化标题。

关键字

ocsf.action_id

控制或其他基于策略的系统所采取的导致结果或处置的操作。在大多数情况下，处置符合 1 允许 或 2 拒绝 的操作。

整数

ocsf.activity_id

触发事件的活动的标准化标识符。

关键字

ocsf.activity_name

事件活动名称，由 activity_id 定义。

关键字

ocsf.actor.authorizations.decision

授权结果/结果，例如允许、拒绝。

关键字

ocsf.actor.authorizations.policy.desc

策略的描述。

关键字

ocsf.actor.authorizations.policy.group.desc

组描述。

关键字

ocsf.actor.authorizations.policy.group.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.authorizations.policy.group.name

组名称。

关键字

ocsf.actor.authorizations.policy.group.privileges

组权限。

关键字

ocsf.actor.authorizations.policy.group.type

组或帐户的类型。

关键字

ocsf.actor.authorizations.policy.group.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.authorizations.policy.name

策略名称。例如：IAM 策略。

关键字

ocsf.actor.authorizations.policy.uid

策略实例的唯一标识符。

关键字

ocsf.actor.authorizations.policy.version

策略版本号。

关键字

ocsf.actor.idp.name

身份提供者的名称。

关键字

ocsf.actor.idp.uid

身份提供者的唯一标识符。

关键字

ocsf.actor.invoked_by

事件中描述的调用活动的服务名称。

关键字

ocsf.actor.process.auid

审核子系统在登录时分配的审核用户。

关键字

ocsf.actor.process.cmd_line

用于启动应用程序、服务、进程或作业的完整命令行。

关键字

ocsf.actor.process.container.hash.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.container.hash.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.container.hash.value

数字指纹值。

关键字

ocsf.actor.process.container.image.labels

映像标签。

关键字

ocsf.actor.process.container.image.name

映像名称。

关键字

ocsf.actor.process.container.image.path

映像文件的完整路径。

关键字

ocsf.actor.process.container.image.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.actor.process.container.image.uid

唯一映像 ID。

关键字

ocsf.actor.process.container.name

容器名称。

关键字

ocsf.actor.process.container.network_driver

容器使用的网络驱动程序。例如，桥接、覆盖、主机、无等。

关键字

ocsf.actor.process.container.orchestrator

管理容器的编排器，例如 ECS、EKS、K8s 或 OpenShift。

关键字

ocsf.actor.process.container.pod_uuid

容器正在执行的 pod（或等效项）的唯一标识符。

关键字

ocsf.actor.process.container.runtime

运行容器的后端，例如 containerd 或 cri-o。

关键字

ocsf.actor.process.container.size

容器映像的大小。

长整型

ocsf.actor.process.container.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.actor.process.container.uid

此容器实例的完整容器唯一标识符。

关键字

ocsf.actor.process.created_time

创建/启动进程的时间。

日期

ocsf.actor.process.created_time_dt

创建/启动进程的时间。

日期

ocsf.actor.process.egid

此进程正在运行的有效组。

关键字

ocsf.actor.process.euid

此进程正在运行的有效用户。

关键字

ocsf.actor.process.file.accessed_time

上次访问文件的时间。

日期

ocsf.actor.process.file.accessed_time_dt

上次访问文件的时间。

日期

ocsf.actor.process.file.accessor.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.file.accessor.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.accessor.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.file.accessor.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.file.accessor.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.file.accessor.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.accessor.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.file.accessor.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.file.accessor.groups.desc

组描述。

关键字

ocsf.actor.process.file.accessor.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.accessor.groups.name

组名称。

关键字

ocsf.actor.process.file.accessor.groups.privileges

组权限。

关键字

ocsf.actor.process.file.accessor.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.file.accessor.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.file.accessor.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.file.accessor.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.file.accessor.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.process.file.accessor.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.file.accessor.type_id

帐户类型标识符。

关键字

ocsf.actor.process.file.accessor.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.file.accessor.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.file.attributes

表示文件属性的位掩码值。

长整型

ocsf.actor.process.file.company_name

发布文件的公司名称。例如：Microsoft Corporation。

关键字

ocsf.actor.process.file.confidentiality

文件内容机密性，已规范化为 confidentiality_id 值。对于其他，由事件源定义。

关键字

ocsf.actor.process.file.confidentiality_id

文件内容机密性指示符的规范化标识符。

整数

ocsf.actor.process.file.created_time

文件创建的时间。

日期

ocsf.actor.process.file.created_time_dt

文件创建的时间。

日期

ocsf.actor.process.file.creator.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.file.creator.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.creator.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.file.creator.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.file.creator.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.file.creator.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.creator.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.file.creator.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.file.creator.groups.desc

组描述。

关键字

ocsf.actor.process.file.creator.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.creator.groups.name

组名称。

关键字

ocsf.actor.process.file.creator.groups.privileges

组权限。

关键字

ocsf.actor.process.file.creator.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.file.creator.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.file.creator.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.file.creator.name

城市名称。

关键字

ocsf.actor.process.file.creator.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.process.file.creator.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.file.creator.type_id

帐户类型标识符。

关键字

ocsf.actor.process.file.creator.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.file.creator.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.file.desc

文件描述，由文件系统返回。例如：由 Unix file 命令或 Windows 文件类型返回的描述。

关键字

ocsf.actor.process.file.hashes.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.hashes.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.file.hashes.value

数字指纹值。

关键字

ocsf.actor.process.file.is_system

指示对象是否为操作系统的一部分。

布尔值

ocsf.actor.process.file.mime_type

如果适用，文件的多用途 Internet 邮件扩展 (MIME) 类型。

关键字

ocsf.actor.process.file.modified_time

上次修改文件的时间。

日期

ocsf.actor.process.file.modified_time_dt

上次修改文件的时间。

日期

ocsf.actor.process.file.modifier.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.file.modifier.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.modifier.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.file.modifier.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.file.modifier.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.file.modifier.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.modifier.email_addr

映像名称。例如：elixir。

关键字

ocsf.actor.process.file.modifier.full_name

用户的电子邮件地址。

关键字

ocsf.actor.process.file.modifier.groups.desc

组描述。

关键字

ocsf.actor.process.file.modifier.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.modifier.groups.name

组名称。

关键字

ocsf.actor.process.file.modifier.groups.privileges

组权限。

关键字

ocsf.actor.process.file.modifier.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.file.modifier.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.file.modifier.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.file.modifier.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.file.modifier.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.process.file.modifier.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.file.modifier.type_id

帐户类型标识符。

关键字

ocsf.actor.process.file.modifier.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.file.modifier.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.file.name

文件名称。例如：svchost.exe。

关键字

ocsf.actor.process.file.owner.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.file.owner.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.owner.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.file.owner.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.file.owner.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.file.owner.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.owner.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.file.owner.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.file.owner.groups.desc

组描述。

关键字

ocsf.actor.process.file.owner.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.file.owner.groups.name

组名称。

关键字

ocsf.actor.process.file.owner.groups.privileges

组权限。

关键字

ocsf.actor.process.file.owner.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.file.owner.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.file.owner.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.file.owner.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.file.owner.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.process.file.owner.type

该事件发生在个人设备上。用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.file.owner.type_id

帐户类型标识符。

关键字

ocsf.actor.process.file.owner.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.file.owner.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.file.parent_folder

文件所在的父文件夹。例如：c:\windows\system32。

关键字

ocsf.actor.process.file.path

文件的完整路径。例如：c:\windows\system32\svchost.exe。

关键字

ocsf.actor.process.file.product.feature.*

Feature 对象提供有关生成特定事件的软件产品功能的信息。

对象

ocsf.actor.process.file.product.lang

双字母小写语言代码，如 ISO 639-1 所定义。例如：en（英语）、de（德语）或 fr（法语）。

关键字

ocsf.actor.process.file.product.name

功能名称。

关键字

ocsf.actor.process.file.product.path

产品的安装路径。

关键字

ocsf.actor.process.file.product.uid

功能的唯一标识符。

关键字

ocsf.actor.process.file.product.url_string

指向产品的 URL。

关键字

ocsf.actor.process.file.product.vendor_name

产品供应商的名称。

关键字

ocsf.actor.process.file.product.version

产品版本，如事件源定义。例如：2013.1.3-beta。

关键字

ocsf.actor.process.file.security_descriptor

对象安全描述符。

关键字

ocsf.actor.process.file.signature.algorithm

用于创建签名的数字签名算法，已规范化为 algorithm_id 的标题。对于其他，由事件源定义。

关键字

ocsf.actor.process.file.signature.algorithm_id

规范化数字签名算法的标识符。

关键字

ocsf.actor.process.file.signature.certificate.created_time

证书创建的时间。

日期

ocsf.actor.process.file.signature.certificate.created_time_dt

证书创建的时间。

日期

ocsf.actor.process.file.signature.certificate.expiration_time

证书的到期时间。

日期

ocsf.actor.process.file.signature.certificate.expiration_time_dt

证书的到期时间。

日期

ocsf.actor.process.file.signature.certificate.fingerprints.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.signature.certificate.fingerprints.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.file.signature.certificate.fingerprints.value

数字指纹值。

关键字

ocsf.actor.process.file.signature.certificate.issuer

证书颁发者可分辨名称。

关键字

ocsf.actor.process.file.signature.certificate.serial_number

用于创建数字签名的证书的序列号。

关键字

ocsf.actor.process.file.signature.certificate.subject

证书使用者可分辨名称。

关键字

ocsf.actor.process.file.signature.certificate.uid

证书的唯一标识符。

关键字

ocsf.actor.process.file.signature.certificate.version

证书版本。

关键字

ocsf.actor.process.file.signature.created_time

数字签名创建的时间。

日期

ocsf.actor.process.file.signature.created_time_dt

数字签名创建的时间。

日期

ocsf.actor.process.file.signature.developer_uid

签名文件的证书上的开发人员 ID。

关键字

ocsf.actor.process.file.signature.digest.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.file.signature.digest.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.file.signature.digest.value

数字指纹值。

关键字

ocsf.actor.process.file.size

数据的大小，以字节为单位。

长整型

ocsf.actor.process.file.type

文件类型。

关键字

ocsf.actor.process.file.type_id

文件类型 ID。

关键字

ocsf.actor.process.file.uid

存储系统定义的文件的唯一标识符，例如文件系统文件 ID。

关键字

ocsf.actor.process.file.version

文件版本。例如：8.0.7601.17514。

关键字

ocsf.actor.process.file.xattributes

零个或多个名称/值对的无序集合，其中每对表示文件或文件夹的扩展属性。

已扁平化

ocsf.actor.process.group.desc

组描述。

关键字

ocsf.actor.process.group.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.group.name

组名称。

关键字

ocsf.actor.process.group.privileges

组权限。

关键字

ocsf.actor.process.group.type

组或帐户的类型。

关键字

ocsf.actor.process.group.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.integrity

进程完整性级别，已规范化为 direction_id 值的标题。对于其他，由事件源定义（仅限 Windows）。

关键字

ocsf.actor.process.integrity_id

进程完整性级别的规范化标识符（仅限 Windows）。

整数

ocsf.actor.process.lineage

进程的沿袭，由每个祖先进程的路径列表表示。例如：[/usr/sbin/sshd, /usr/bin/bash, /usr/bin/whoami]。

关键字

ocsf.actor.process.loaded_modules

已加载模块名称的列表。

关键字

ocsf.actor.process.name

进程的友好名称，例如：Notepad++。

关键字

ocsf.actor.process.namespace_pid

如果在进程命名空间（例如在容器中）下运行，则该进程命名空间内的进程标识符。

长整型

ocsf.actor.process.parent_process.auid

审核子系统在登录时分配的审核用户。

关键字

ocsf.actor.process.parent_process.cmd_line

用于启动应用程序、服务、进程或作业的完整命令行。

关键字

ocsf.actor.process.parent_process.container.hash.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.container.hash.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.parent_process.container.hash.value

数字指纹值。

关键字

ocsf.actor.process.parent_process.container.image.labels

映像标签。

关键字

ocsf.actor.process.parent_process.container.image.name

映像名称。

关键字

ocsf.actor.process.parent_process.container.image.path

映像文件的完整路径。

关键字

ocsf.actor.process.parent_process.container.image.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.actor.process.parent_process.container.image.uid

唯一映像 ID。

关键字

ocsf.actor.process.parent_process.container.name

容器名称。

关键字

ocsf.actor.process.parent_process.container.network_driver

容器使用的网络驱动程序。例如，桥接、覆盖、主机、无等。

关键字

ocsf.actor.process.parent_process.container.orchestrator

管理容器的编排器，例如 ECS、EKS、K8s 或 OpenShift。

关键字

ocsf.actor.process.parent_process.container.pod_uuid

容器正在执行的 pod（或等效项）的唯一标识符。

关键字

ocsf.actor.process.parent_process.container.runtime

运行容器的后端，例如 containerd 或 cri-o。

关键字

ocsf.actor.process.parent_process.container.size

容器映像的大小。

长整型

ocsf.actor.process.parent_process.container.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.actor.process.parent_process.container.uid

此容器实例的完整容器唯一标识符。

关键字

ocsf.actor.process.parent_process.created_time

创建/启动进程的时间。

日期

ocsf.actor.process.parent_process.created_time_dt

创建/启动进程的时间。

日期

ocsf.actor.process.parent_process.egid

此进程正在运行的有效组。

关键字

ocsf.actor.process.parent_process.euid

此进程正在运行的有效用户。

关键字

ocsf.actor.process.parent_process.file.accessed_time

上次访问文件的时间。

日期

ocsf.actor.process.parent_process.file.accessed_time_dt

上次访问文件的时间。

日期

ocsf.actor.process.parent_process.file.accessor.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.parent_process.file.accessor.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.accessor.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.accessor.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.parent_process.file.accessor.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.file.accessor.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.accessor.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.parent_process.file.accessor.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.desc

组描述。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.name

组名称。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.privileges

组权限。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.file.accessor.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.file.accessor.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.parent_process.file.accessor.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.parent_process.file.accessor.org.*

对象

ocsf.actor.process.parent_process.file.accessor.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.parent_process.file.accessor.type_id

帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.accessor.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.parent_process.file.accessor.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.parent_process.file.attributes

表示文件属性的位掩码值。

长整型

ocsf.actor.process.parent_process.file.company_name

发布文件的公司名称。例如：Microsoft Corporation。

关键字

ocsf.actor.process.parent_process.file.confidentiality

文件内容机密性，已规范化为 confidentiality_id 值。对于其他，由事件源定义。

关键字

ocsf.actor.process.parent_process.file.confidentiality_id

文件内容机密性指示符的规范化标识符。

整数

ocsf.actor.process.parent_process.file.created_time

文件创建的时间。

日期

ocsf.actor.process.parent_process.file.created_time_dt

文件创建的时间。

日期

ocsf.actor.process.parent_process.file.creator.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.parent_process.file.creator.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.creator.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.creator.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.parent_process.file.creator.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.file.creator.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.creator.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.parent_process.file.creator.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.parent_process.file.creator.groups.desc

组描述。

关键字

ocsf.actor.process.parent_process.file.creator.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.creator.groups.name

组名称。

关键字

ocsf.actor.process.parent_process.file.creator.groups.privileges

组权限。

关键字

ocsf.actor.process.parent_process.file.creator.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.file.creator.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.file.creator.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.parent_process.file.creator.name

城市名称。

关键字

ocsf.actor.process.parent_process.file.creator.org.*

对象

ocsf.actor.process.parent_process.file.creator.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.parent_process.file.creator.type_id

帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.creator.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.parent_process.file.creator.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.parent_process.file.desc

文件描述，由文件系统返回。例如：由 Unix file 命令或 Windows 文件类型返回的描述。

关键字

ocsf.actor.process.parent_process.file.hashes.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.hashes.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.parent_process.file.hashes.value

数字指纹值。

关键字

ocsf.actor.process.parent_process.file.is_system

指示对象是否为操作系统的一部分。

布尔值

ocsf.actor.process.parent_process.file.mime_type

如果适用，文件的多用途 Internet 邮件扩展 (MIME) 类型。

关键字

ocsf.actor.process.parent_process.file.modified_time

上次修改文件的时间。

日期

ocsf.actor.process.parent_process.file.modified_time_dt

上次修改文件的时间。

日期

ocsf.actor.process.parent_process.file.modifier.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.parent_process.file.modifier.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.modifier.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.modifier.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.parent_process.file.modifier.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.file.modifier.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.modifier.email_addr

映像名称。例如：elixir。

关键字

ocsf.actor.process.parent_process.file.modifier.full_name

用户的电子邮件地址。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.desc

组描述。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.name

组名称。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.privileges

组权限。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.file.modifier.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.file.modifier.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.parent_process.file.modifier.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.parent_process.file.modifier.org.*

对象

ocsf.actor.process.parent_process.file.modifier.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.parent_process.file.modifier.type_id

帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.modifier.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.parent_process.file.modifier.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.parent_process.file.name

文件名称。例如：svchost.exe。

关键字

ocsf.actor.process.parent_process.file.owner.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.parent_process.file.owner.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.owner.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.owner.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.parent_process.file.owner.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.file.owner.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.owner.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.parent_process.file.owner.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.parent_process.file.owner.groups.desc

组描述。

关键字

ocsf.actor.process.parent_process.file.owner.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.file.owner.groups.name

组名称。

关键字

ocsf.actor.process.parent_process.file.owner.groups.privileges

组权限。

关键字

ocsf.actor.process.parent_process.file.owner.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.file.owner.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.file.owner.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.parent_process.file.owner.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.parent_process.file.owner.org.*

对象

ocsf.actor.process.parent_process.file.owner.type

该事件发生在个人设备上。用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.parent_process.file.owner.type_id

帐户类型标识符。

关键字

ocsf.actor.process.parent_process.file.owner.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.parent_process.file.owner.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.parent_process.file.parent_folder

文件所在的父文件夹。例如：c:\windows\system32。

关键字

ocsf.actor.process.parent_process.file.path

文件的完整路径。例如：c:\windows\system32\svchost.exe。

关键字

ocsf.actor.process.parent_process.file.product.feature.*

Feature 对象提供有关生成特定事件的软件产品功能的信息。

对象

ocsf.actor.process.parent_process.file.product.lang

双字母小写语言代码，如 ISO 639-1 所定义。例如：en（英语）、de（德语）或 fr（法语）。

关键字

ocsf.actor.process.parent_process.file.product.name

功能名称。

关键字

ocsf.actor.process.parent_process.file.product.path

产品的安装路径。

关键字

ocsf.actor.process.parent_process.file.product.uid

功能的唯一标识符。

关键字

ocsf.actor.process.parent_process.file.product.url_string

指向产品的 URL。

关键字

ocsf.actor.process.parent_process.file.product.vendor_name

产品供应商的名称。

关键字

ocsf.actor.process.parent_process.file.product.version

产品版本，如事件源定义。例如：2013.1.3-beta。

关键字

ocsf.actor.process.parent_process.file.security_descriptor

对象安全描述符。

关键字

ocsf.actor.process.parent_process.file.signature.algorithm

用于创建签名的数字签名算法，已规范化为 algorithm_id 的标题。对于其他，由事件源定义。

关键字

ocsf.actor.process.parent_process.file.signature.algorithm_id

规范化数字签名算法的标识符。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.created_time

证书创建的时间。

日期

ocsf.actor.process.parent_process.file.signature.certificate.created_time_dt

证书创建的时间。

日期

ocsf.actor.process.parent_process.file.signature.certificate.expiration_time

证书的到期时间。

日期

ocsf.actor.process.parent_process.file.signature.certificate.expiration_time_dt

证书的到期时间。

日期

ocsf.actor.process.parent_process.file.signature.certificate.fingerprints.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.fingerprints.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.fingerprints.value

数字指纹值。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.issuer

证书颁发者可分辨名称。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.serial_number

用于创建数字签名的证书的序列号。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.subject

证书使用者可分辨名称。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.uid

证书的唯一标识符。

关键字

ocsf.actor.process.parent_process.file.signature.certificate.version

证书版本。

关键字

ocsf.actor.process.parent_process.file.signature.created_time

数字签名创建的时间。

日期

ocsf.actor.process.parent_process.file.signature.created_time_dt

数字签名创建的时间。

日期

ocsf.actor.process.parent_process.file.signature.developer_uid

签名文件的证书上的开发人员 ID。

关键字

ocsf.actor.process.parent_process.file.signature.digest.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.file.signature.digest.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.actor.process.parent_process.file.signature.digest.value

数字指纹值。

关键字

ocsf.actor.process.parent_process.file.size

数据的大小，以字节为单位。

长整型

ocsf.actor.process.parent_process.file.type

文件类型。

关键字

ocsf.actor.process.parent_process.file.type_id

文件类型 ID。

关键字

ocsf.actor.process.parent_process.file.uid

存储系统定义的文件的唯一标识符，例如文件系统文件 ID。

关键字

ocsf.actor.process.parent_process.file.version

文件版本。例如：8.0.7601.17514。

关键字

ocsf.actor.process.parent_process.file.xattributes

零个或多个名称/值对的无序集合，其中每对表示文件或文件夹的扩展属性。

已扁平化

ocsf.actor.process.parent_process.group.desc

组描述。

关键字

ocsf.actor.process.parent_process.group.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.group.name

组名称。

关键字

ocsf.actor.process.parent_process.group.privileges

组权限。

关键字

ocsf.actor.process.parent_process.group.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.group.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.integrity

进程完整性级别，已规范化为 direction_id 值的标题。对于其他，由事件源定义（仅限 Windows）。

关键字

ocsf.actor.process.parent_process.integrity_id

进程完整性级别的规范化标识符（仅限 Windows）。

整数

ocsf.actor.process.parent_process.lineage

进程的沿袭，由每个祖先进程的路径列表表示。例如：[/usr/sbin/sshd, /usr/bin/bash, /usr/bin/whoami]。

关键字

ocsf.actor.process.parent_process.loaded_modules

已加载模块名称的列表。

关键字

ocsf.actor.process.parent_process.name

进程的友好名称，例如：Notepad++。

关键字

ocsf.actor.process.parent_process.namespace_pid

如果在进程命名空间（例如在容器中）下运行，则该进程命名空间内的进程标识符。

长整型

ocsf.actor.process.parent_process.parent_process

此进程对象的父进程。建议仅为第一个进程对象填充此字段，以防止深度嵌套。

已扁平化

ocsf.actor.process.parent_process.parent_process_keyword

关键字

ocsf.actor.process.parent_process.pid

操作系统报告的进程标识符。进程 ID (PID) 是操作系统用来唯一标识活动进程的数字。

长整型

ocsf.actor.process.parent_process.sandbox

容器（即沙箱）的名称。例如，hardened_ps、high_security_ps、oracle_ps、netsvcs_ps 或 default_ps。

关键字

ocsf.actor.process.parent_process.session.created_time

会话创建的时间。

日期

ocsf.actor.process.parent_process.session.created_time_dt

会话创建的时间。

日期

ocsf.actor.process.parent_process.session.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.session.expiration_time

会话过期时间。

日期

ocsf.actor.process.parent_process.session.expiration_time_dt

会话过期时间。

日期

ocsf.actor.process.parent_process.session.is_remote

指示会话是否为远程会话。

布尔值

ocsf.actor.process.parent_process.session.issuer

会话颁发者的标识符。

关键字

ocsf.actor.process.parent_process.session.mfa

布尔值

ocsf.actor.process.parent_process.session.terminal

与会话关联的伪终端。例如，tty 或 pts 值。

关键字

ocsf.actor.process.parent_process.session.uid

会话的唯一标识符。

关键字

ocsf.actor.process.parent_process.session.uuid

会话的通用唯一标识符。

关键字

ocsf.actor.process.parent_process.terminated_time

进程终止的时间。

日期

ocsf.actor.process.parent_process.terminated_time_dt

进程终止的时间。

日期

ocsf.actor.process.parent_process.tid

操作系统返回的与事件关联的线程标识符。

长整型

ocsf.actor.process.parent_process.uid

生产者（工具）为此进程分配的唯一标识符。有助于将进程事件与该进程的其他事件关联起来。

关键字

ocsf.actor.process.parent_process.user.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.parent_process.user.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.parent_process.user.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.parent_process.user.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.parent_process.user.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.parent_process.user.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.user.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.parent_process.user.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.parent_process.user.groups.desc

组描述。

关键字

ocsf.actor.process.parent_process.user.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.parent_process.user.groups.name

组名称。

关键字

ocsf.actor.process.parent_process.user.groups.privileges

组权限。

关键字

ocsf.actor.process.parent_process.user.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.parent_process.user.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.parent_process.user.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.process.parent_process.user.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.parent_process.user.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.process.parent_process.user.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.parent_process.user.type_id

帐户类型标识符。

关键字

ocsf.actor.process.parent_process.user.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.parent_process.user.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.parent_process.xattributes

表示进程扩展属性的零个或多个名称/值对的无序集合。

已扁平化

ocsf.actor.process.pid

操作系统报告的进程标识符。进程 ID (PID) 是操作系统用来唯一标识活动进程的数字。

长整型

ocsf.actor.process.sandbox

容器（即沙箱）的名称。例如，hardened_ps、high_security_ps、oracle_ps、netsvcs_ps 或 default_ps。

关键字

ocsf.actor.process.session.created_time

会话创建的时间。

日期

ocsf.actor.process.session.created_time_dt

会话创建的时间。

日期

ocsf.actor.process.session.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.session.expiration_time

会话过期时间。

日期

ocsf.actor.process.session.expiration_time_dt

会话过期时间。

日期

ocsf.actor.process.session.is_remote

指示会话是否为远程会话。

布尔值

ocsf.actor.process.session.issuer

会话颁发者的标识符。

关键字

ocsf.actor.process.session.mfa

布尔值

ocsf.actor.process.session.terminal

与会话关联的伪终端。例如，tty 或 pts 值。

关键字

ocsf.actor.process.session.uid

会话的唯一标识符。

关键字

ocsf.actor.process.session.uuid

会话的通用唯一标识符。

关键字

ocsf.actor.process.terminated_time

进程终止的时间。

日期

ocsf.actor.process.terminated_time_dt

进程终止的时间。

日期

ocsf.actor.process.tid

操作系统返回的与事件关联的线程标识符。

长整型

ocsf.actor.process.uid

生产者（工具）为此进程分配的唯一标识符。有助于将进程事件与该进程的其他事件关联起来。

关键字

ocsf.actor.process.user.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.process.user.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.process.user.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.process.user.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.process.user.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.process.user.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.user.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.process.user.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.process.user.groups.desc

组描述。

关键字

ocsf.actor.process.user.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.process.user.groups.name

组名称。

关键字

ocsf.actor.process.user.groups.privileges

组权限。

关键字

ocsf.actor.process.user.groups.type

组或帐户的类型。

关键字

ocsf.actor.process.user.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.process.user.name

用户名。例如，janedoe1。

关键字

ocsf.actor.process.user.org.*

对象

ocsf.actor.process.user.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.process.user.type_id

帐户类型标识符。

关键字

ocsf.actor.process.user.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.process.user.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actor.process.xattributes

表示进程扩展属性的零个或多个名称/值对的无序集合。

已扁平化

ocsf.actor.session.count

在一段时间内，从同一源 IP、目标 IP、应用程序和内容/威胁类型中产生的相同会话数。

整数

ocsf.actor.session.created_time

会话创建的时间。

日期

ocsf.actor.session.created_time_dt

会话创建的时间。

日期

ocsf.actor.session.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.session.expiration_reason

触发会话过期的原因。

关键字

ocsf.actor.session.expiration_time

会话过期时间。

日期

ocsf.actor.session.expiration_time_dt

会话过期时间。

日期

ocsf.actor.session.is_mfa

指示身份验证期间是否使用了多因素身份验证。

布尔值

ocsf.actor.session.is_remote

指示会话是否为远程会话。

布尔值

ocsf.actor.session.is_vpn

指示会话是否为 VPN 会话。

布尔值

ocsf.actor.session.issuer

会话颁发者的标识符。

关键字

ocsf.actor.session.mfa

布尔值

ocsf.actor.session.terminal

与会话关联的伪终端。例如，tty 或 pts 值。

关键字

ocsf.actor.session.uid

会话的唯一标识符。

关键字

ocsf.actor.session.uid_alt

会话的备用唯一标识符。例如，AWS ARN - arn:aws:sts::123344444444:assumed-role/Admin/example-session。

关键字

ocsf.actor.session.uuid

会话的通用唯一标识符。

关键字

ocsf.actor.user.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.actor.user.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.actor.user.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.actor.user.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.actor.user.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.actor.user.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.actor.user.email_addr

用户的电子邮件地址。

关键字

ocsf.actor.user.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.actor.user.groups.desc

组描述。

关键字

ocsf.actor.user.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.actor.user.groups.name

组名称。

关键字

ocsf.actor.user.groups.privileges

组权限。

关键字

ocsf.actor.user.groups.type

组或帐户的类型。

关键字

ocsf.actor.user.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.actor.user.ldap_person

用户的 LDAP 属性。

已扁平化

ocsf.actor.user.name

用户名。例如，janedoe1。

关键字

ocsf.actor.user.org.*

与用户相关的组织和组织单元。

对象

ocsf.actor.user.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.actor.user.type_id

帐户类型标识符。

关键字

ocsf.actor.user.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.actor.user.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.actual_permissions

以平台原生格式授予的权限。

长整型

ocsf.analytic.category

分析类别。

关键字

ocsf.analytic.desc

生成发现结果的分析的描述。

关键字

ocsf.analytic.name

生成发现结果的分析的名称。

关键字

ocsf.analytic.related_analytics.category

分析类别。

关键字

ocsf.analytic.related_analytics.desc

生成发现结果的分析的描述。

关键字

ocsf.analytic.related_analytics.name

生成发现结果的分析的名称。

关键字

ocsf.analytic.related_analytics.related_analytics

已扁平化

ocsf.analytic.related_analytics.type

分析类型。

关键字

ocsf.analytic.related_analytics.type_id

分析类型 ID。

关键字

ocsf.analytic.related_analytics.uid

生成发现结果的分析的唯一标识符。

关键字

ocsf.analytic.related_analytics.version

分析版本。例如：1.1。

关键字

ocsf.analytic.type

分析类型。

关键字

ocsf.analytic.type_id

分析类型 ID。

关键字

ocsf.analytic.uid

生成发现结果的分析的唯一标识符。

关键字

ocsf.analytic.version

分析版本。例如：1.1。

关键字

ocsf.answers.class

此资源记录中包含的 DNS 数据类别。请参阅 RFC1035。例如：IN。

关键字

ocsf.answers.flag_ids

DNS 响应头标志 ID 的列表。

关键字

ocsf.answers.flags

DNS 响应头标志的列表。

关键字

ocsf.answers.packet_uid

生成查询的程序分配的 DNS 数据包标识符。该标识符会被复制到响应中。

关键字

ocsf.answers.rdata

描述 DNS 资源的数据。此数据的含义取决于资源记录的类型和类别。

关键字

ocsf.answers.ttl

资源记录可以被缓存的时间间隔。零值表示资源记录只能用于正在进行的事务，不应被缓存。

长整型

ocsf.answers.type

此资源记录中包含的数据类型。请参阅 RFC1035。例如：CNAME。

关键字

ocsf.api.group.desc

组描述。

文本

ocsf.api.group.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.api.group.name

组名称。

关键字

ocsf.api.group.privileges

组权限。

关键字

ocsf.api.group.type

组或帐户的类型。

关键字

ocsf.api.group.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.api.operation

与请求关联的动词/操作。

关键字

ocsf.api.request.containers.hash

为 Docker 创建的镜像的 Commit 哈希值或容器的 SHA256 哈希值。

已扁平化

ocsf.api.request.containers.image

用作运行容器模板的容器镜像。

已扁平化

ocsf.api.request.containers.name

容器名称。

关键字

ocsf.api.request.containers.network_driver

容器使用的网络驱动程序。例如，桥接、覆盖、主机、无等。

关键字

ocsf.api.request.containers.orchestrator

管理容器的编排器，例如 ECS、EKS、K8s 或 OpenShift。

关键字

ocsf.api.request.containers.pod_uuid

容器正在执行的 pod（或等效项）的唯一标识符。

关键字

ocsf.api.request.containers.runtime

运行容器的后端，例如 containerd 或 cri-o。

关键字

ocsf.api.request.containers.size

容器映像的大小。

整数

ocsf.api.request.containers.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.api.request.containers.uid

此容器实例的完整容器唯一标识符。

关键字

ocsf.api.request.data

与 API 请求关联的附加数据。

已扁平化

ocsf.api.request.flags

通信标志列表，已归一化为 flag_ids 值的标题。

关键字

ocsf.api.request.uid

唯一的请求标识符。

关键字

ocsf.api.response.code

发送给请求的数字响应。

整数

ocsf.api.response.containers.hash

为 Docker 创建的镜像的 Commit 哈希值或容器的 SHA256 哈希值。

已扁平化

ocsf.api.response.containers.image

用作运行容器模板的容器镜像。

已扁平化

ocsf.api.response.containers.name

容器名称。

关键字

ocsf.api.response.containers.network_driver

容器使用的网络驱动程序。例如，桥接、覆盖、主机、无等。

关键字

ocsf.api.response.containers.orchestrator

管理容器的编排器，例如 ECS、EKS、K8s 或 OpenShift。

关键字

ocsf.api.response.containers.pod_uuid

容器正在执行的 pod（或等效项）的唯一标识符。

关键字

ocsf.api.response.containers.runtime

运行容器的后端，例如 containerd 或 cri-o。

关键字

ocsf.api.response.containers.size

容器映像的大小。

整数

ocsf.api.response.containers.tag

容器使用的标签。它可以指示版本、格式、操作系统。

关键字

ocsf.api.response.containers.uid

此容器实例的完整容器唯一标识符。

关键字

ocsf.api.response.data

与 API 响应关联的附加数据。

已扁平化

ocsf.api.response.error

错误代码。

关键字

ocsf.api.response.error_message

错误消息。

文本

ocsf.api.response.flags

通信标志列表，已归一化为 flag_ids 值的标题。

关键字

ocsf.api.response.message

由源定义的事件/发现的描述。

文本

ocsf.api.service.labels

与服务关联的标签列表。

关键字

ocsf.api.service.name

服务的名称。

关键字

ocsf.api.service.uid

服务的唯一标识符。

关键字

ocsf.api.service.version

服务的版本。

关键字

ocsf.api.version

API 服务的版本。

关键字

ocsf.app.feature.*

Feature 对象提供有关生成特定事件的软件产品功能的信息。

对象

ocsf.app.lang

由 ISO 639-1 定义的两位小写字母语言代码。

关键字

ocsf.app.name

CIS 基准名称。

关键字

ocsf.app.path

产品的安装路径。

关键字

ocsf.app.uid

产品的唯一标识符。

关键字

ocsf.app.url_string

指向产品的 URL。

关键字

ocsf.app.vendor_name

产品供应商的名称。

关键字

ocsf.app.version

由事件源定义的产品版本。

关键字

ocsf.app_name

与事件或对象关联的应用程序的名称。

关键字

ocsf.assignee

分配给事件的用户详细信息。

已扁平化

ocsf.assignee_group

分配给事件的组详细信息。

已扁平化

ocsf.attacks.tactics.name

与攻击技术关联的战术名称，如 ATT&CK MatrixTM 定义。

关键字

ocsf.attacks.tactics.uid

与攻击技术关联的战术 ID，如 ATT&CK MatrixTM 定义。

关键字

ocsf.attacks.technique.name

攻击技术的名称，如 ATT&CK MatrixTM 定义。例如：Drive-by Compromise（路过式入侵）。

关键字

ocsf.attacks.technique.uid

攻击技术的唯一标识符，如 ATT&CK MatrixTM 定义。例如：T1189。

关键字

ocsf.attacks.version

ATT&CK Matrix 版本。

关键字

ocsf.attempt

尝试传递电子邮件的尝试次数。

长整型

ocsf.auth_protocol

身份验证协议，由 *auth_protocol_id* 的标题定义。如果为 *Other*，则由事件源定义。

关键字

ocsf.auth_protocol_id

用于创建用户会话的身份验证协议的规范化标识符。

关键字

ocsf.authorizations.decision

授权结果/结果，例如允许、拒绝。

关键字

ocsf.authorizations.policy.desc

策略的描述。

关键字

ocsf.authorizations.policy.group.desc

组描述。

关键字

ocsf.authorizations.policy.group.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.authorizations.policy.group.name

组名称。

关键字

ocsf.authorizations.policy.group.privileges

组权限。

关键字

ocsf.authorizations.policy.group.type

组或帐户的类型。

关键字

ocsf.authorizations.policy.group.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.authorizations.policy.name

策略名称。例如：IAM 策略。

关键字

ocsf.authorizations.policy.uid

策略实例的唯一标识符。

关键字

ocsf.authorizations.policy.version

策略版本号。

关键字

ocsf.banner

消息服务器连接到电子邮件服务器后收到的初始 SMTP 连接响应。

关键字

ocsf.base_address

已访问或请求的内存地址。

关键字

ocsf.capabilities

RDP 功能的列表。

关键字

ocsf.category_name

事件类别名称，由 category_uid 值定义：身份和访问管理。

关键字

ocsf.category_uid

事件的类别唯一标识符。3 身份和访问管理 身份和访问管理 (IAM) 事件与系统身份验证和访问控制模型的监督相关。此类事件的示例包括身份验证的成功或失败、授权授予、密码更改、实体更改、特权使用等。

关键字

ocsf.certificate.created_time

证书创建的时间。

日期

ocsf.certificate.created_time_dt

证书创建的时间。

日期

ocsf.certificate.expiration_time

证书的到期时间。

日期

ocsf.certificate.expiration_time_dt

证书的到期时间。

日期

ocsf.certificate.fingerprints.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.certificate.fingerprints.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.certificate.fingerprints.value

数字指纹值。

关键字

ocsf.certificate.issuer

证书颁发者可分辨名称。

关键字

ocsf.certificate.serial_number

用于创建数字签名的证书的序列号。

关键字

ocsf.certificate.subject

证书使用者可分辨名称。

关键字

ocsf.certificate.version

证书版本。

关键字

ocsf.certificate_chain

RDP TLS 连接中观察到的证书列表。

关键字

ocsf.cis_benchmark_result.desc

CIS 基准描述。

关键字

ocsf.cis_benchmark_result.name

CIS 基准名称。

关键字

ocsf.cis_benchmark_result.remediation.desc

补救策略的描述。

关键字

ocsf.cis_benchmark_result.remediation.kb_article_list

与端点相关的知识库文章或补丁列表。

已扁平化

ocsf.cis_benchmark_result.remediation.kb_articles

与实体相关的知识库文章。

关键字

ocsf.cis_benchmark_result.remediation.references

支持补救策略描述的 URL/参考列表。

关键字

ocsf.cis_benchmark_result.rule.category

规则类别。

关键字

ocsf.cis_benchmark_result.rule.desc

生成事件的规则的描述。

关键字

ocsf.cis_benchmark_result.rule.name

生成事件的规则的名称。

关键字

ocsf.cis_benchmark_result.rule.type

规则类型。

关键字

ocsf.cis_benchmark_result.rule.uid

生成事件的规则的唯一标识符。

关键字

ocsf.cis_benchmark_result.rule.version

规则版本。

关键字

ocsf.cis_csc.control

CIS 关键安全控制。

关键字

ocsf.cis_csc.version

CIS 关键安全控制版本。

关键字

ocsf.class_name

事件类名称，由 class_uid 值定义：安全发现。

关键字

ocsf.class_uid

类的唯一标识符。类描述事件中可用的属性。2001 安全发现 安全发现事件描述安全产品执行的发现、检测、异常、警报和/或操作。

关键字

ocsf.client_dialects

客户端所使用的 SMB 协议版本列表。

关键字

ocsf.client_hassh.algorithm

密钥交换、加密、身份验证和压缩算法的串联（以 *;* 分隔）。注意：这不是哈希实现的基础算法。

关键字

ocsf.client_hassh.fingerprint.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.client_hassh.fingerprint.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.client_hassh.fingerprint.value

数字指纹值。

关键字

ocsf.cloud.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.cloud.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.cloud.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.cloud.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.cloud.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.cloud.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.cloud.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.cloud.org.uid

组织的唯一标识符。例如，其 Active Directory 或 AWS 组织 ID。

关键字

ocsf.cloud.project_uid

云项目的唯一标识符。

关键字

ocsf.cloud.provider

云服务提供商的唯一名称，例如 AWS、MS Azure、GCP 等。

关键字

ocsf.cloud.region

云区域的名称，由云提供商定义。

关键字

ocsf.cloud.zone

云区域中的可用区，由云提供商定义。

关键字

ocsf.codes

FTP 命令的返回代码列表。

长整型

ocsf.command

命令名称。

关键字

ocsf.command_responses

FTP 命令的响应列表。

关键字

ocsf.command_uid

与此扫描事件关联的命令标识符。此 ID 唯一标识主动扫描命令，例如，如果远程启动。

关键字

ocsf.comment

用户提供的关于实体为何更改的评论。

关键字

ocsf.compliance.control

控制是一组规范的、优先的、简化的最佳实践，可用于加强其网络安全态势。例如，AWS SecurityHub 控制、CIS 控制。

关键字

ocsf.compliance.requirements

与行业或监管框架中的特定控制相关的要求列表。例如，NIST.800-53.r5 AU-10。

关键字

ocsf.compliance.standards

安全标准是组织可以遵循的一组标准，用于保护敏感和机密信息。例如，NIST SP 800-53、CIS AWS Foundations Benchmark v1.4.0、ISO/IEC 27001。

关键字

ocsf.compliance.status

合规性检查的结果状态，已归一化为 status_id 值的标题。如果为 *Other*，则由事件源定义。

关键字

ocsf.compliance.status_code

合规性检查的结果状态代码。

关键字

ocsf.compliance.status_detail

状态、status_code 值的上下文描述。

文本

ocsf.compliance.status_id

合规性检查的规范化状态标识符。

整数

ocsf.component

数据对象的子组件的名称或相对路径名（如果适用）。

关键字

ocsf.confidence

置信度，已归一化为 confidence_id 值的标题。如果为 *Other*，则由事件源定义。

关键字

ocsf.confidence_id

归一化置信度指的是创建该发现的规则的准确性。置信度较低的规则意味着发现范围较广，可能会创建本质上并非恶意的发现报告。

关键字

ocsf.confidence_score

事件源报告的置信度评分。

长整型

ocsf.connection_info.boundary

连接的边界，已归一化为boundary_id的标题。在其他的情况下，由事件源定义。对于云连接，这转化为流量边界（同一 VPC、通过 IGW 等）。对于传统网络，这被描述为本地、内部或外部。

关键字

ocsf.connection_info.boundary_id

连接边界的归一化标识符。对于云连接，这转化为流量边界（同一 VPC、通过 IGW 等）。对于传统网络，这被描述为本地、内部或外部。

关键字

ocsf.connection_info.direction

发起连接、流量或电子邮件的方向，已归一化为 direction_id 值的标题。在其他的情况下，由事件源定义。

关键字

ocsf.connection_info.direction_id

发起连接、流量或电子邮件的方向的归一化标识符。

关键字

ocsf.connection_info.protocol_name

小写的 TCP/IP 协议名称，由互联网号码分配机构 (IANA) 定义。请参阅协议号。例如：tcp 或 udp。

关键字

ocsf.connection_info.protocol_num

TCP/IP 协议号，由互联网号码分配机构 (IANA) 定义。如果协议未由 IANA 定义，请使用 -1。请参阅协议号。例如：TCP 为 6，UDP 为 17。

关键字

ocsf.connection_info.protocol_ver

互联网协议版本。

关键字

ocsf.connection_info.protocol_ver_id

互联网协议版本标识符。

关键字

ocsf.connection_info.tcp_flags

网络连接 TCP 标头标志（即，控制位）。

长整型

ocsf.connection_info.uid

连接的唯一标识符。

关键字

ocsf.connection_uid

网络连接标识符。

关键字

ocsf.count

在事件开始时间到结束时间期间，同一逻辑组中发生事件的次数。

长整型

ocsf.create_mask

创建对象所需的原始 Windows 掩码。

关键字

ocsf.data_sources

发现的数据源。

关键字

ocsf.database

数据库对象用于数据库，数据库通常是包含结构化和非结构化数据或数据类型的有组织集合的数据存储服务。

已扁平化

ocsf.databucket

数据存储桶对象是一个基本容器，用于保存数据，通常通过使用数据分区进行组织。

已扁平化

ocsf.dce_rpc.command

请求命令（例如，REQUEST、BIND）。

关键字

ocsf.dce_rpc.command_response

对请求命令的回复（例如，RESPONSE、BINDACK 或 FAULT）。

关键字

ocsf.dce_rpc.flags

接口标志列表。

关键字

ocsf.dce_rpc.opnum

用于标识特定远程过程调用 (RPC) 方法或接口中方法的运算编号。

长整型

ocsf.dce_rpc.rpc_interface.ack_reason

一个整数，提供有关确认结果的原因代码或其他信息。

长整型

ocsf.dce_rpc.rpc_interface.ack_result

一个整数，表示 DCE/RPC 调用的确认结果。

长整型

ocsf.dce_rpc.rpc_interface.uuid

特定远程过程或服务的唯一标识符。

关键字

ocsf.dce_rpc.rpc_interface.version

会话中使用的 DCE/RPC 协议的版本。

关键字

ocsf.desc

事件的简短描述。

关键字

ocsf.device.autoscale_uid

云自动缩放配置的唯一标识符。

关键字

ocsf.device.container

描述容器实例的信息。

已扁平化

ocsf.device.created_time

已知创建设备的时间。

日期

ocsf.device.created_time_dt

已知创建设备的时间。

日期

ocsf.device.desc

设备的描述，通常由操作系统报告。

关键字

ocsf.device.domain

设备所在的网络域。例如：work.example.com。

关键字

ocsf.device.first_seen_time

设备的初始发现时间。

日期

ocsf.device.first_seen_time_dt

设备的初始发现时间。

日期

ocsf.device.groups.desc

组描述。

关键字

ocsf.device.groups.domain

定义组的域。例如，LDAP 或 Active Directory 域。

关键字

ocsf.device.groups.name

组名称。

关键字

ocsf.device.groups.privileges

组权限。

关键字

ocsf.device.groups.type

组或帐户的类型。

关键字

ocsf.device.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.device.hostname

设备名称。

关键字

ocsf.device.hw_info.bios_date

BIOS 日期。例如：03/31/16。

关键字

ocsf.device.hw_info.bios_manufacturer

BIOS 制造商。例如：LENOVO。

关键字

ocsf.device.hw_info.bios_ver

BIOS 版本。例如：LENOVO G5ETA2WW (2.62)。

关键字

ocsf.device.hw_info.chassis

机箱类型描述系统外壳或物理外形。例如，以下 Windows 机箱类型示例。

关键字

ocsf.device.hw_info.cpu_bits

CPU 架构，用于在内存中寻址的位数。例如：32 或 64。

长整型

ocsf.device.hw_info.cpu_cores

所有已安装处理器中的处理器内核数。例如：42。

长整型

ocsf.device.hw_info.cpu_count

系统上的物理处理器数量。例如：1。

长整型

ocsf.device.hw_info.cpu_speed

处理器的速度，以 MHz 为单位。例如：4200。

长整型

ocsf.device.hw_info.cpu_type

处理器类型。例如：x86 Family 6 Model 37 Stepping 5。

关键字

ocsf.device.hw_info.desktop_display.color_depth

数字颜色深度。

长整型

ocsf.device.hw_info.desktop_display.physical_height

显示器的数字物理高度。

长整型

ocsf.device.hw_info.desktop_display.physical_orientation

显示器的数字物理方向。

长整型

ocsf.device.hw_info.desktop_display.physical_width

显示器的数字物理宽度。

长整型

ocsf.device.hw_info.desktop_display.scale_factor

显示器的数字比例因子。

长整型

ocsf.device.hw_info.keyboard_info.function_keys

客户端键盘上的功能键数量。

长整型

ocsf.device.hw_info.keyboard_info.ime

输入法编辑器 (IME) 文件名。

关键字

ocsf.device.hw_info.keyboard_info.keyboard_layout

键盘区域设置标识符名称（例如，en-US）。

关键字

ocsf.device.hw_info.keyboard_info.keyboard_subtype

键盘数字代码。

长整型

ocsf.device.hw_info.keyboard_info.keyboard_type

键盘类型（例如，xt、ico）。

关键字

ocsf.device.hw_info.ram_size

已安装 RAM 的总量，以兆字节为单位。例如：2048。

长整型

ocsf.device.hw_info.serial_number

设备制造商序列号。

关键字

ocsf.device.hypervisor

设备上运行的虚拟机监控程序的名称。例如，Xen、VMware、Hyper-V、VirtualBox 等。

关键字

ocsf.device.image.labels

映像标签。

关键字

ocsf.device.image.name

映像名称。例如：elixir。

关键字

ocsf.device.image.path

映像文件的完整路径。

关键字

ocsf.device.image.tag

镜像标签。例如：1.11-alpine。

关键字

ocsf.device.image.uid

唯一镜像 ID。例如：77af4d6b9913。

关键字

ocsf.device.imei

与设备关联的国际移动设备识别码。

关键字

ocsf.device.instance_uid

VM 实例的唯一标识符。

关键字

ocsf.device.interface_name

网络接口的名称（例如，eth2）。

关键字

ocsf.device.interface_uid

网络接口的唯一标识符。

关键字

ocsf.device.ip

设备的 IP 地址，采用 IPv4 或 IPv6 格式。

ip

ocsf.device.is_compliant

事件发生在合规设备上。

布尔值

ocsf.device.is_managed

事件发生在托管设备上。

布尔值

ocsf.device.is_personal

事件发生在个人设备上。

布尔值

ocsf.device.is_trusted

事件发生在受信任的设备上。

布尔值

ocsf.device.last_seen_time

设备最近的发现时间。

日期

ocsf.device.last_seen_time_dt

设备最近的发现时间。

日期

ocsf.device.location.city

城市名称。

关键字

ocsf.device.location.continent

大洲的名称。

关键字

ocsf.device.location.coordinates

一个包含经度/纬度对的二元素数组。格式符合 GeoJSON。

geo_point

ocsf.device.location.country

ISO 3166-1 Alpha-2 国家/地区代码。有关国家/地区代码的完整列表，请参阅 ISO 3166-1 alpha-2 代码。两个字母的国家/地区代码应大写。

关键字

ocsf.device.location.desc

地理位置的描述。

关键字

ocsf.device.location.is_on_premises

指示位置是否在本地。

布尔值

ocsf.device.location.isp

互联网服务提供商 (ISP) 的名称。

关键字

ocsf.device.location.postal_code

位置的邮政编码。

关键字

ocsf.device.location.provider

地理位置数据的提供商。

关键字

ocsf.device.location.region

用于标识国家/地区主要分部（例如，省或州）的字母数字代码。区域代码在 ISO 3166-2 中定义，并且限制为三个字符。例如，请参阅美国的区域代码。

关键字

ocsf.device.mac

设备的媒体访问控制 (MAC) 地址。

关键字

ocsf.device.modified_time

已知上次修改设备的时间。

日期

ocsf.device.modified_time_dt

已知上次修改设备的时间。

日期

ocsf.device.name

备用设备名称，通常由管理员分配。名称可以是任何其他有助于标识设备的字符串，例如电话号码；例如 310-555-1234。

关键字

ocsf.device.namespace_pid

如果在进程命名空间（例如在容器中）下运行，则该进程命名空间内的进程标识符。

整数

ocsf.device.network_interfaces.hostname

与网络接口关联的主机名。

关键字

ocsf.device.network_interfaces.ip

与网络接口关联的 IP 地址。

ip

ocsf.device.network_interfaces.mac

网络接口的 MAC 地址。

关键字

ocsf.device.network_interfaces.name

网络接口的名称。

关键字

ocsf.device.network_interfaces.namespace

命名空间在合并或收购情况下很有用。例如，当存在需要分开的类似实体时。

关键字

ocsf.device.network_interfaces.subnet_prefix

子网前缀长度确定用于表示 IP 地址网络部分的位数。剩余的位保留用于标识该子网内的各个主机。

长整型

ocsf.device.network_interfaces.type

网络接口的类型。

关键字

ocsf.device.network_interfaces.type_id

网络接口类型标识符。

关键字

ocsf.device.network_interfaces.uid

网络接口的唯一标识符。

关键字

ocsf.device.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.device.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.device.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.device.org.uid

组织的唯一标识符。例如，其 Active Directory 或 AWS 组织 ID。

关键字

ocsf.device.os.build

操作系统版本号。

关键字

ocsf.device.os.country

操作系统国家/地区代码，由 ISO 3166-1 标准（Alpha-2 代码）定义。有关国家/地区代码的完整列表，请参阅 ISO 3166-1 alpha-2 代码。

关键字

ocsf.device.os.cpu_bits

CPU 架构，用于在内存中寻址的位数。例如，32 或 64。

长整型

ocsf.device.os.edition

操作系统版本。例如，Professional。

关键字

ocsf.device.os.lang

由 ISO 639-1 定义的两位小写字母语言代码。

关键字

ocsf.device.os.name

操作系统名称。

关键字

ocsf.device.os.sp_name

最新服务包的名称。

关键字

ocsf.device.os.sp_ver

最新服务包的版本号。

关键字

ocsf.device.os.type

操作系统的类型。

关键字

ocsf.device.os.type_id

操作系统的类型标识符。

关键字

ocsf.device.os.version

在事件发起的设备上运行的操作系统版本。例如，“Windows 10”、“OS X 10.7”或“iOS 9”。

关键字

ocsf.device.region

虚拟机所在的区域。例如，AWS 区域。

关键字

ocsf.device.risk_level

风险级别，已规范化为 risk_level_id 值的标题。对于其他情况，由事件源定义。

关键字

ocsf.device.risk_level_id

规范化的风险级别 ID。

关键字

ocsf.device.risk_score

事件源报告的风险评分。

长整型

ocsf.device.subnet

子网掩码。

ip_range

ocsf.device.subnet_uid

虚拟子网的唯一标识符。

关键字

ocsf.device.type

设备类型。例如，未知、服务器、台式机、笔记本电脑、平板电脑、移动设备、虚拟设备、浏览器或其他。

关键字

ocsf.device.type_id

设备类型 ID。

关键字

ocsf.device.uid

设备的唯一标识符。例如，Windows TargetSID 或 AWS EC2 ARN。

关键字

ocsf.device.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.device.vlan_uid

虚拟 LAN 标识符。

关键字

ocsf.device.vpc_uid

虚拟私有云 (VPC) 的唯一标识符。

关键字

ocsf.device.zone

网络区域或 LAN 网段。

关键字

ocsf.dialect

协商的协议方言。

关键字

ocsf.direction

电子邮件的方向，由 direction_id 值定义。

关键字

ocsf.direction_id

电子邮件相对于扫描主机或组织的方向。

关键字

ocsf.disposition

事件处置名称，已规范化为 disposition_id 值的标题。对于其他情况，由事件源定义。

关键字

ocsf.disposition_id

当检测到安全问题（如恶意软件或策略违规）并可能已纠正时，disposition_id 描述安全产品采取的操作。

关键字

ocsf.driver.file.accessed_time

上次访问文件的时间。

日期

ocsf.driver.file.accessed_time_dt

上次访问文件的时间。

日期

ocsf.driver.file.accessor.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.driver.file.accessor.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.accessor.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.driver.file.accessor.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.driver.file.accessor.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.driver.file.accessor.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.driver.file.accessor.email_addr

用户的电子邮件地址。

关键字

ocsf.driver.file.accessor.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.driver.file.accessor.groups.desc

组描述。

关键字

ocsf.driver.file.accessor.groups.name

组名称。

关键字

ocsf.driver.file.accessor.groups.privileges

组权限。

关键字

ocsf.driver.file.accessor.groups.type

组或帐户的类型。

关键字

ocsf.driver.file.accessor.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.driver.file.accessor.name

用户名。例如，janedoe1。

关键字

ocsf.driver.file.accessor.org.*

对象

ocsf.driver.file.accessor.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.driver.file.accessor.type_id

帐户类型标识符。

关键字

ocsf.driver.file.accessor.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.driver.file.accessor.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.driver.file.attributes

表示文件属性的位掩码值。

长整型

ocsf.driver.file.company_name

发布文件的公司名称。例如：Microsoft Corporation。

关键字

ocsf.driver.file.confidentiality

文件内容机密性，已规范化为 confidentiality_id 值。对于其他，由事件源定义。

关键字

ocsf.driver.file.confidentiality_id

文件内容机密性指示符的规范化标识符。

关键字

ocsf.driver.file.created_time

文件创建的时间。

日期

ocsf.driver.file.created_time_dt

文件创建的时间。

日期

ocsf.driver.file.creator.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.driver.file.creator.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.creator.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.driver.file.creator.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.driver.file.creator.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.driver.file.creator.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.driver.file.creator.email_addr

用户的电子邮件地址。

关键字

ocsf.driver.file.creator.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.driver.file.creator.groups.desc

组描述。

关键字

ocsf.driver.file.creator.groups.name

组名称。

关键字

ocsf.driver.file.creator.groups.privileges

组权限。

关键字

ocsf.driver.file.creator.groups.type

组或帐户的类型。

关键字

ocsf.driver.file.creator.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.driver.file.creator.name

用户名。例如，janedoe1。

关键字

ocsf.driver.file.creator.org.*

对象

ocsf.driver.file.creator.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.driver.file.creator.type_id

帐户类型标识符。

关键字

ocsf.driver.file.creator.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.driver.file.creator.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.driver.file.desc

文件描述，由文件系统返回。例如：由 Unix file 命令或 Windows 文件类型返回的描述。

关键字

ocsf.driver.file.hashes.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.hashes.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.driver.file.hashes.value

数字指纹值。

关键字

ocsf.driver.file.is_system

指示对象是否为操作系统的一部分。

布尔值

ocsf.driver.file.mime_type

如果适用，文件的多用途 Internet 邮件扩展 (MIME) 类型。

关键字

ocsf.driver.file.modified_time

上次修改文件的时间。

日期

ocsf.driver.file.modified_time_dt

上次修改文件的时间。

日期

ocsf.driver.file.modifier.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.driver.file.modifier.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.modifier.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.driver.file.modifier.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.driver.file.modifier.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.driver.file.modifier.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.driver.file.modifier.email_addr

用户的电子邮件地址。

关键字

ocsf.driver.file.modifier.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.driver.file.modifier.groups.desc

组描述。

关键字

ocsf.driver.file.modifier.groups.name

组名称。

关键字

ocsf.driver.file.modifier.groups.privileges

组权限。

关键字

ocsf.driver.file.modifier.groups.type

组或帐户的类型。

关键字

ocsf.driver.file.modifier.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.driver.file.modifier.name

用户名。例如，janedoe1。

关键字

ocsf.driver.file.modifier.org.*

对象

ocsf.driver.file.modifier.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.driver.file.modifier.type_id

帐户类型标识符。

关键字

ocsf.driver.file.modifier.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.driver.file.modifier.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.driver.file.name

文件名称。例如：svchost.exe。

关键字

ocsf.driver.file.owner.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.driver.file.owner.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.owner.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.driver.file.owner.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.driver.file.owner.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.driver.file.owner.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.driver.file.owner.email_addr

用户的电子邮件地址。

关键字

ocsf.driver.file.owner.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.driver.file.owner.groups.desc

组描述。

关键字

ocsf.driver.file.owner.groups.name

组名称。

关键字

ocsf.driver.file.owner.groups.privileges

组权限。

关键字

ocsf.driver.file.owner.groups.type

组或帐户的类型。

关键字

ocsf.driver.file.owner.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.driver.file.owner.name

用户名。例如，janedoe1。

关键字

ocsf.driver.file.owner.org.*

对象

ocsf.driver.file.owner.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.driver.file.owner.type_id

帐户类型标识符。

关键字

ocsf.driver.file.owner.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.driver.file.owner.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.driver.file.parent_folder

文件所在的父文件夹。例如：c:\windows\system32。

关键字

ocsf.driver.file.path

文件的完整路径。例如：c:\windows\system32\svchost.exe。

关键字

ocsf.driver.file.product.feature.*

Feature 对象提供有关生成特定事件的软件产品功能的信息。

对象

ocsf.driver.file.product.lang

双字母小写语言代码，如 ISO 639-1 所定义。例如：en（英语）、de（德语）或 fr（法语）。

关键字

ocsf.driver.file.product.name

产品的名称。

关键字

ocsf.driver.file.product.path

产品的安装路径。

关键字

ocsf.driver.file.product.uid

产品的唯一标识符。

关键字

ocsf.driver.file.product.vendor_name

产品供应商的名称。

关键字

ocsf.driver.file.product.version

产品版本，如事件源定义。例如：2013.1.3-beta。

关键字

ocsf.driver.file.security_descriptor

对象安全描述符。

关键字

ocsf.driver.file.signature.algorithm

用于创建签名的数字签名算法，已规范化为 algorithm_id 的标题。对于其他，由事件源定义。

关键字

ocsf.driver.file.signature.algorithm_id

规范化数字签名算法的标识符。

关键字

ocsf.driver.file.signature.certificate.created_time

证书创建的时间。

日期

ocsf.driver.file.signature.certificate.created_time_dt

证书创建的时间。

日期

ocsf.driver.file.signature.certificate.expiration_time

证书的到期时间。

日期

ocsf.driver.file.signature.certificate.expiration_time_dt

证书的到期时间。

日期

ocsf.driver.file.signature.certificate.fingerprints.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.signature.certificate.fingerprints.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.driver.file.signature.certificate.fingerprints.value

数字指纹值。

关键字

ocsf.driver.file.signature.certificate.issuer

证书颁发者可分辨名称。

关键字

ocsf.driver.file.signature.certificate.serial_number

用于创建数字签名的证书的序列号。

关键字

ocsf.driver.file.signature.certificate.subject

证书使用者可分辨名称。

关键字

ocsf.driver.file.signature.certificate.version

证书版本。

关键字

ocsf.driver.file.signature.created_time

数字签名创建的时间。

日期

ocsf.driver.file.signature.created_time_dt

数字签名创建的时间。

日期

ocsf.driver.file.signature.developer_uid

签名文件的证书上的开发人员 ID。

关键字

ocsf.driver.file.signature.digest.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.driver.file.signature.digest.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.driver.file.signature.digest.value

数字指纹值。

关键字

ocsf.driver.file.size

数据的大小，以字节为单位。

长整型

ocsf.driver.file.type

文件类型。

关键字

ocsf.driver.file.type_id

文件类型 ID。

关键字

ocsf.driver.file.uid

存储系统定义的文件的唯一标识符，例如文件系统文件 ID。

关键字

ocsf.driver.file.version

文件版本。例如：8.0.7601.17514。

关键字

ocsf.driver.file.xattributes

零个或多个名称/值对的无序集合，其中每对表示文件或文件夹的扩展属性。

已扁平化

ocsf.dst_endpoint.container

描述容器实例的信息。

已扁平化

ocsf.dst_endpoint.domain

域的名称。

关键字

ocsf.dst_endpoint.hostname

端点的完全限定名称。

关键字

ocsf.dst_endpoint.hw_info

端点硬件信息。

已扁平化

ocsf.dst_endpoint.instance_uid

VM 实例的唯一标识符。

关键字

ocsf.dst_endpoint.interface_name

网络接口的名称（例如，eth2）。

关键字

ocsf.dst_endpoint.interface_uid

网络接口的唯一标识符。

关键字

ocsf.dst_endpoint.intermediate_ips

中间 IP 地址。例如，HTTP X-Forwarded-For 标头中的 IP 地址。

ip

ocsf.dst_endpoint.ip

端点的 IP 地址，可以是 IPv4 或 IPv6 格式。

ip

ocsf.dst_endpoint.location.city

城市名称。

关键字

ocsf.dst_endpoint.location.continent

大洲的名称。

关键字

ocsf.dst_endpoint.location.coordinates

一个包含经度/纬度对的二元素数组。格式符合 GeoJSON。

geo_point

ocsf.dst_endpoint.location.country

ISO 3166-1 Alpha-2 国家/地区代码。有关国家/地区代码的完整列表，请参阅 ISO 3166-1 alpha-2 代码。两个字母的国家/地区代码应大写。

关键字

ocsf.dst_endpoint.location.desc

地理位置的描述。

关键字

ocsf.dst_endpoint.location.is_on_premises

指示位置是否在本地。

布尔值

ocsf.dst_endpoint.location.isp

互联网服务提供商 (ISP) 的名称。

关键字

ocsf.dst_endpoint.location.postal_code

位置的邮政编码。

关键字

ocsf.dst_endpoint.location.provider

地理位置数据的提供商。

关键字

ocsf.dst_endpoint.location.region

用于标识国家/地区主要分部（例如，省或州）的字母数字代码。区域代码在 ISO 3166-2 中定义，并且限制为三个字符。例如，请参阅美国的区域代码。

关键字

ocsf.dst_endpoint.mac

端点的媒体访问控制 (MAC) 地址。

关键字

ocsf.dst_endpoint.name

端点的简称。

关键字

ocsf.dst_endpoint.namespace_pid

如果在进程命名空间（例如在容器中）下运行，则该进程命名空间内的进程标识符。

整数

ocsf.dst_endpoint.os

端点操作系统。

已扁平化

ocsf.dst_endpoint.port

网络连接中用于通信的端口。

长整型

ocsf.dst_endpoint.proxy_endpoint

与特定端点相关的网络代理信息。这可用于描述与网络地址转换 (NAT) 相关的信息。

已扁平化

ocsf.dst_endpoint.subnet_uid

虚拟子网的唯一标识符。

关键字

ocsf.dst_endpoint.svc_name

服务到服务连接中的服务名称。例如，AWS VPC 会记录 pkt-src-aws-service 和 pkt-dst-aws-service 字段，以识别连接来自或去往 AWS 服务。

关键字

ocsf.dst_endpoint.type

网络端点类型。例如，未知、服务器、台式机、笔记本电脑、平板电脑、移动设备、虚拟设备、浏览器或其他。

关键字

ocsf.dst_endpoint.type_id

网络端点类型 ID。

关键字

ocsf.dst_endpoint.uid

端点的唯一标识符。

关键字

ocsf.dst_endpoint.vlan_uid

虚拟 LAN 标识符。

关键字

ocsf.dst_endpoint.vpc_uid

虚拟私有云 (VPC) 的唯一标识符。

关键字

ocsf.dst_endpoint.zone

网络区域或 LAN 网段。

关键字

ocsf.duration

事件持续时间或聚合时间，事件从 start_time 到 end_time 涵盖的时间量，以毫秒为单位。

长整型

ocsf.email.cc

电子邮件标头抄送值，如 RFC 5322 定义。

关键字

ocsf.email.delivered_to

Delivered-To 电子邮件标头字段。

关键字

ocsf.email.from

电子邮件标头发件人值，如 RFC 5322 定义。

关键字

ocsf.email.message_uid

电子邮件标头 Message-Id 值，如 RFC 5322 定义。

关键字

ocsf.email.raw_header

电子邮件身份验证标头。

关键字

ocsf.email.reply_to

电子邮件标头回复至值，如 RFC 5322 定义。

关键字

ocsf.email.size

电子邮件的大小（以字节为单位），包括附件。

长整型

ocsf.email.smtp_from

SMTP MAIL FROM 命令的值。

关键字

ocsf.email.smtp_to

SMTP 信封 RCPT TO 命令的值。

关键字

ocsf.email.subject

电子邮件标头主题值，如 RFC 5322 定义。

关键字

ocsf.email.to

电子邮件标头收件人值，如 RFC 5322 定义。

关键字

ocsf.email.uid

电子邮件唯一标识符。

关键字

ocsf.email.x_originating_ip

X-Originating-IP 标头，用于标识电子邮件的原始 IP 地址。

ip

ocsf.email_auth.dkim

电子邮件的 DomainKeys Identified Mail (DKIM) 状态。

关键字

ocsf.email_auth.dkim_domain

电子邮件的 DomainKeys Identified Mail (DKIM) 签名域。

关键字

ocsf.email_auth.dkim_signature

发送/接收系统使用的 DomainKeys Identified Mail (DKIM) 签名。

关键字

ocsf.email_auth.dmarc

电子邮件的基于域的消息身份验证、报告和一致性 (DMARC) 状态。

关键字

ocsf.email_auth.dmarc_override

基于域的消息身份验证、报告和一致性 (DMARC) 覆盖操作。

关键字

ocsf.email_auth.dmarc_policy

基于域的消息身份验证、报告和一致性 (DMARC) 策略状态。

关键字

ocsf.email_auth.spf

电子邮件的 Sender Policy Framework (SPF) 状态。

关键字

ocsf.email_uid

电子邮件的唯一标识符，用于关联相关的电子邮件警报和活动事件。

关键字

ocsf.end_time

时间段的结束时间，或聚合事件中包含的最近事件的时间。

日期

ocsf.end_time_dt

时间段的结束时间，或聚合事件中包含的最近事件的时间。

日期

ocsf.enrichments.data

与属性和值关联的富化数据。此数据的含义取决于富化记录的类型。

已扁平化

ocsf.enrichments.name

富化数据所属的属性的名称。

关键字

ocsf.enrichments.provider

富化数据提供程序名称。

关键字

ocsf.enrichments.type

富化类型。例如，位置。

关键字

ocsf.enrichments.value

富化数据所属的属性的值。

关键字

ocsf.entity.data

作为 JSON 对象的托管实体内容。

已扁平化

ocsf.entity.name

托管实体的名称。

关键字

ocsf.entity.type

托管实体类型。

关键字

ocsf.entity.uid

被管理实体的标识符。

关键字

ocsf.entity.version

被管理实体的版本。

关键字

ocsf.entity_result.data

作为 JSON 对象的托管实体内容。

已扁平化

ocsf.entity_result.name

托管实体的名称。

关键字

ocsf.entity_result.type

托管实体类型。

关键字

ocsf.entity_result.uid

被管理实体的标识符。

关键字

ocsf.entity_result.version

被管理实体的版本。

关键字

ocsf.evidence

分析师看到的发现暴露的数据。

已扁平化

ocsf.evidences

描述与触发安全检测的活动相关联的各种证据工件。

已扁平化

ocsf.exit_code

进程终止时报告的退出代码。约定是零表示成功，任何非零退出代码表示发生了一些错误。

关键字

ocsf.expiration_time

共享过期时间。

日期

ocsf.expiration_time_dt

共享过期时间。

日期

ocsf.file.accessed_time

上次访问文件的时间。

日期

ocsf.file.accessed_time_dt

上次访问文件的时间。

日期

ocsf.file.accessor.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.file.accessor.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.file.accessor.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.file.accessor.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.file.accessor.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.file.accessor.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.file.accessor.email_addr

用户的电子邮件地址。

关键字

ocsf.file.accessor.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.file.accessor.groups.desc

组描述。

关键字

ocsf.file.accessor.groups.name

组名称。

关键字

ocsf.file.accessor.groups.privileges

组权限。

关键字

ocsf.file.accessor.groups.type

组或帐户的类型。

关键字

ocsf.file.accessor.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.file.accessor.ldap_person

LDAP 人员对象。

已扁平化

ocsf.file.accessor.name

用户名。例如，janedoe1。

关键字

ocsf.file.accessor.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.file.accessor.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.file.accessor.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.file.accessor.org.uid

组织的唯一标识符。例如，其 Active Directory 或 AWS 组织 ID。

关键字

ocsf.file.accessor.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.file.accessor.type_id

帐户类型标识符。

关键字

ocsf.file.accessor.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.file.accessor.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.file.attributes

表示文件属性的位掩码值。

长整型

ocsf.file.company_name

发布文件的公司名称。例如：Microsoft Corporation。

关键字

ocsf.file.confidentiality

文件内容机密性，已规范化为 confidentiality_id 值。对于其他，由事件源定义。

关键字

ocsf.file.confidentiality_id

文件内容机密性指示符的规范化标识符。

关键字

ocsf.file.created_time

文件创建的时间。

日期

ocsf.file.created_time_dt

文件创建的时间。

日期

ocsf.file.creator.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.file.creator.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.file.creator.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.file.creator.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.file.creator.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.file.creator.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.file.creator.email_addr

用户的电子邮件地址。

关键字

ocsf.file.creator.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.file.creator.groups.desc

组描述。

关键字

ocsf.file.creator.groups.name

组名称。

关键字

ocsf.file.creator.groups.privileges

组权限。

关键字

ocsf.file.creator.groups.type

组或帐户的类型。

关键字

ocsf.file.creator.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.file.creator.ldap_person

LDAP 人员对象。

已扁平化

ocsf.file.creator.name

用户名。例如，janedoe1。

关键字

ocsf.file.creator.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.file.creator.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.file.creator.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.file.creator.org.uid

组织的唯一标识符。例如，其 Active Directory 或 AWS 组织 ID。

关键字

ocsf.file.creator.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.file.creator.type_id

帐户类型标识符。

关键字

ocsf.file.creator.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.file.creator.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.file.desc

文件描述，由文件系统返回。例如：由 Unix file 命令或 Windows 文件类型返回的描述。

关键字

ocsf.file.hashes.algorithm

用于创建数字指纹的哈希算法，已标准化为 algorithm_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.file.hashes.algorithm_id

用于创建数字指纹的标准化哈希算法的标识符。

关键字

ocsf.file.hashes.value

数字指纹值。

关键字

ocsf.file.is_system

指示对象是否为操作系统的一部分。

布尔值

ocsf.file.mime_type

如果适用，文件的多用途 Internet 邮件扩展 (MIME) 类型。

关键字

ocsf.file.modified_time

上次修改文件的时间。

日期

ocsf.file.modified_time_dt

上次修改文件的时间。

日期

ocsf.file.modifier.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.file.modifier.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.file.modifier.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.file.modifier.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.file.modifier.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.file.modifier.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.file.modifier.email_addr

用户的电子邮件地址。

关键字

ocsf.file.modifier.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.file.modifier.groups.desc

组描述。

关键字

ocsf.file.modifier.groups.name

组名称。

关键字

ocsf.file.modifier.groups.privileges

组权限。

关键字

ocsf.file.modifier.groups.type

组或帐户的类型。

关键字

ocsf.file.modifier.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.file.modifier.ldap_person

LDAP 人员对象。

已扁平化

ocsf.file.modifier.name

用户名。例如，janedoe1。

关键字

ocsf.file.modifier.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.file.modifier.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.file.modifier.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.file.modifier.org.uid

组织的唯一标识符。例如，其 Active Directory 或 AWS 组织 ID。

关键字

ocsf.file.modifier.type

用户的类型。例如，系统、AWS IAM 用户等。

关键字

ocsf.file.modifier.type_id

帐户类型标识符。

关键字

ocsf.file.modifier.uid

唯一用户标识符。例如，Windows 用户 SID、ActiveDirectory DN 或 AWS 用户 ARN。

关键字

ocsf.file.modifier.uid_alt

备用用户标识符。例如，Active Directory 用户 GUID 或 AWS 用户主体 ID。

关键字

ocsf.file.name

文件名称。例如：svchost.exe。

关键字

ocsf.file.owner.account.name

帐户的名称（例如，GCP 帐户名称）。

关键字

ocsf.file.owner.account.type

帐户类型，已标准化为 account_type_id 的标题。如果是其他，则由事件源定义。

关键字

ocsf.file.owner.account.type_id

标准化的帐户类型标识符。

关键字

ocsf.file.owner.account.uid

帐户的唯一标识符（例如，AWS 帐户 ID）。

关键字

ocsf.file.owner.credential_uid

用户凭据的唯一标识符。例如，AWS 访问密钥 ID。

关键字

ocsf.file.owner.domain

定义用户的域。例如：LDAP 或 Active Directory 域。

关键字

ocsf.file.owner.email_addr

用户的电子邮件地址。

关键字

ocsf.file.owner.full_name

根据 LDAP 通用名称属性 (cn) 显示的个人全名。

关键字

ocsf.file.owner.groups.desc

组描述。

关键字

ocsf.file.owner.groups.name

组名称。

关键字

ocsf.file.owner.groups.privileges

组权限。

关键字

ocsf.file.owner.groups.type

组或帐户的类型。

关键字

ocsf.file.owner.groups.uid

组的唯一标识符。例如，对于 Windows 事件，这是组的安全标识符 (SID)。

关键字

ocsf.file.owner.ldap_person

LDAP 人员对象。

已扁平化

ocsf.file.owner.name

用户名。例如，janedoe1。

关键字

ocsf.file.owner.org.name

组织的名称。例如，Widget, Inc.

关键字

ocsf.file.owner.org.ou_name

组织内组织单元的名称。例如，财务部、IT 部、研发部。

关键字

ocsf.file.owner.org.ou_uid

实体唯一标识符的替代标识符。例如，其 Active Directory OU DN 或 AWS OU ID。

关键字

ocsf.file.owner.org.uid