› ›

Elastic Defend 集成

版本	8.17.0 (查看全部)
兼容的 Kibana 版本	8.17.0 或更高版本
支持的无服务器项目类型这是什么？	安全
订阅级别这是什么？	基本
支持级别这是什么？	Elastic

Elastic Defend 为组织提供预防、检测和响应能力，并在 Windows、macOS 和 Linux 操作系统（运行在传统端点和公共云环境中）提供 EPP、EDR、SIEM 和安全分析用例的深度可见性。使用 Elastic Defend 可以

预防复杂攻击 - 阻止恶意软件（Windows、macOS、Linux）和勒索软件（Windows）执行，并通过恶意行为（Windows、macOS、Linux）、内存威胁（Windows、macOS、Linux）和凭据强化（Windows）保护来阻止高级威胁。全部由 Elastic Labs 和我们的全球社区提供支持。
高保真度告警 - 通过集中检测威胁并通过广泛的证实来最大限度地减少误报，从而增强团队的效率。
高保真度检测威胁 - Elastic Defend 通过使用极少的数据收集开销来检测您环境中进程、文件和网络数据，从而实现深度可见性。
快速分类和响应 - 快速分析来自主机各处的详细数据。通过交互式可视化检查基于主机的活动。在分布式端点上调用远程响应操作。通过完全集成到 Elastic Security 工作流程中的 Osquery 集成，进一步扩展调查能力。
保护您的云工作负载 - 阻止以云工作负载和云原生应用程序为目标的威胁。通过由 eBPF 提供支持的轻量级用户空间代理，获得实时的可见性和控制。通过检测规则和机器学习 (ML) 自动化云威胁的识别。通过 Elastic Security Labs 磨练的与 MITRE ATT&CK 对齐的检测，实现快速的价值实现。
查看终端会话 - 为您的安全团队提供一个用于数字取证和事件响应 (DFIR) 的独特而强大的调查工具，从而缩短平均响应时间 (MTTR)。会话视图以终端 shell 的形式提供 Linux 工作负载中按时间顺序排列的进程执行序列，并提供重放终端会话的功能。

安装指南 有关帮助您开始使用 Elastic Defend 的深入的分步说明，请阅读我们的安装指南。对于 macOS 端点，我们建议查看我们关于启用完全磁盘访问的文档。

兼容性

编辑

有关兼容性信息，请查看我们的文档。

日志

编辑

文档的日志类型存储在 logs-endpoint.* 索引中。以下部分定义了端点发送的映射字段。

告警

编辑

导出字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Endpoint.policy	策略字段用于保存有关应用的策略的信息。	object
Endpoint.policy.applied	有关应用的策略的信息	object
Endpoint.policy.applied.artifacts	有关应用的保护构件的信息。	object
Endpoint.policy.applied.artifacts.global	有关应用的全局保护构件的信息。	object
Endpoint.policy.applied.artifacts.global.identifiers	应用的全局构件的标识符。	nested
Endpoint.policy.applied.artifacts.global.identifiers.name	应用的全局构件的名称。	keyword
Endpoint.policy.applied.artifacts.global.identifiers.sha256	应用的全局构件的 sha256。	keyword
Endpoint.policy.applied.artifacts.global.snapshot	应用的全局构件的快照日期或最新	keyword
Endpoint.policy.applied.artifacts.global.update_age	全局构件更新至今的天数	unsigned_long
Endpoint.policy.applied.artifacts.global.version	应用的全局构件的版本。	keyword
Endpoint.policy.applied.artifacts.user	有关应用的用户保护构件的信息。	object
Endpoint.policy.applied.artifacts.user.identifiers	应用的用户构件的标识符。	nested
Endpoint.policy.applied.artifacts.user.identifiers.name	应用的用户构件的名称。	keyword
Endpoint.policy.applied.artifacts.user.identifiers.sha256	应用的用户构件的 sha256。	keyword
Endpoint.policy.applied.artifacts.user.version	应用的用户构件的版本。	keyword
Endpoint.policy.applied.id	应用策略的 ID	keyword
Endpoint.policy.applied.name	此应用策略的名称	keyword
Endpoint.policy.applied.status	应用策略的状态	keyword
Endpoint.policy.applied.version	此应用策略的版本	keyword
事件	事件数组	object
Memory_protection.cross_session	此进程是否在操作系统会话之间注入？	boolean
Memory_protection.feature	触发告警的内存保护功能。	keyword
Memory_protection.parent_to_child	此进程是否注入到其子进程中？	boolean
Memory_protection.self_injection	此告警是否关于进程注入自身？	boolean
Memory_protection.thread_count	此告警应用的线程数。如果在短时间内发生多个告警，则可以将它们合并为一个 thread_count > 1 的告警。	long
Memory_protection.unique_key_v1	通过对该告警的几个特征进行哈希处理而创建的唯一键。	keyword
Ransomware.child_processes.executable	进程可执行文件的绝对路径。	keyword
Ransomware.child_processes.feature	触发告警的勒索软件功能。	keyword
Ransomware.child_processes.files	有关归因于勒索软件的每个文件事件的信息。预计为一个数组。	nested
Ransomware.child_processes.files.data	文件头或 MBR 字节。	keyword
Ransomware.child_processes.files.entropy	文件内容的熵。	double
Ransomware.child_processes.files.extension	文件扩展名，不包括前导点。	keyword
Ransomware.child_processes.files.metrics	与文件事件关联的可疑勒索软件行为。	keyword
Ransomware.child_processes.files.operation	应用于文件的操作。	keyword
Ransomware.child_processes.files.original.extension	文件事件之前的原始文件扩展名。	keyword
Ransomware.child_processes.files.original.path	文件事件之前的原始文件路径。	keyword
Ransomware.child_processes.files.path	文件的完整路径，包括文件名。	keyword
Ransomware.child_processes.files.score	此特定文件事件的勒索软件分数。	double
Ransomware.child_processes.pid	进程 ID。	long
Ransomware.child_processes.score	聚合文件事件的勒索软件总分。	double
Ransomware.child_processes.version	勒索软件构件版本。	keyword
Ransomware.executable	进程可执行文件的绝对路径。	keyword
Ransomware.feature	触发告警的勒索软件功能。	keyword
Ransomware.files	有关归因于勒索软件的每个文件事件的信息。预计为一个数组。	nested
Ransomware.files.data	文件头或 MBR 字节。	keyword
Ransomware.files.entropy	文件内容的熵。	double
Ransomware.files.extension	文件扩展名，不包括前导点。	keyword
Ransomware.files.metrics	与文件事件关联的可疑勒索软件行为。	keyword
Ransomware.files.operation	应用于文件的操作。	keyword
Ransomware.files.original.extension	文件事件之前的原始文件扩展名。	keyword
Ransomware.files.original.path	文件事件之前的原始文件路径。	keyword
Ransomware.files.path	文件的完整路径，包括文件名。	keyword
Ransomware.files.score	此特定文件事件的勒索软件分数。	double
Ransomware.pid	进程 ID。	long
Ransomware.score	聚合文件事件的勒索软件总分。	double
Ransomware.version	勒索软件构件版本。	keyword
Responses.@timestamp	采取操作的时间戳	date
Responses.action	表示请求的响应操作的字典	nested
Responses.action.action	响应操作名称	keyword
Responses.action.field	触发事件中用作操作输入的字段	text
Responses.action.file.attributes	目标文件属性	keyword
Responses.action.file.path	目标文件路径	keyword
Responses.action.file.reason	组合的 USN 文件修改原因	long
Responses.action.key.actions	注册表回滚为键采取的操作	keyword
Responses.action.key.path	回滚恢复的注册表项的 NT 路径	keyword
Responses.action.key.values	已修改的值	object
Responses.action.key.values.actions	注册表回滚为值采取的操作	keyword
Responses.action.key.values.name	回滚恢复的值名称	keyword
Responses.action.process.message	进程回滚的状态消息	keyword
Responses.action.process.path	进程回滚杀死的进程的路径	keyword
Responses.action.process.result	进程回滚的结果代码	long
Responses.action.source.attributes	源文件属性	keyword
Responses.action.source.path	源文件路径	keyword
Responses.action.state	事件数组中用于字段查找的事件索引	long
Responses.action.tree	指示是否对整个进程树执行了操作	boolean
Responses.message	结果消息	text
Responses.process	表示进程信息的字典	nested
Responses.process.entity_id	可操作进程的实体 ID	text
Responses.process.name	可操作进程的名称	keyword
Responses.process.pid	可操作进程的 PID	long
Responses.result	响应操作结果代码	long
Target.dll.Ext	所有自定义定义字段所在的对象的类型。	object
Target.dll.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
Target.dll.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.dll.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.dll.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
Target.dll.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.dll.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.dll.Ext.compile_time	模块编译时的时间戳。	date
Target.dll.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
Target.dll.Ext.malware_classification.score	分类模型生成的分数。	double
Target.dll.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
Target.dll.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
Target.dll.Ext.malware_classification.version	所用模型的版本。	keyword
Target.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
Target.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
Target.dll.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.dll.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
Target.dll.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.dll.code_signature.subject_name	代码签名者的主题名称	keyword
Target.dll.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
Target.dll.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.dll.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.dll.hash.md5	MD5 哈希值。	keyword
Target.dll.hash.sha1	SHA1 哈希值。	keyword
Target.dll.hash.sha256	SHA256 哈希值。	keyword
Target.dll.hash.sha512	SHA512 哈希值。	keyword
Target.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
Target.dll.path	库的完整文件路径。	keyword
Target.dll.pe.company	在编译时提供的文件的内部公司名称。	keyword
Target.dll.pe.description	在编译时提供的文件的内部描述。	keyword
Target.dll.pe.file_version	在编译时提供的文件的内部版本号。	keyword
Target.dll.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
Target.dll.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
Target.dll.pe.product	在编译时提供的文件的内部产品名称。	keyword
Target.process.Ext	所有自定义定义字段所在的对象的类型。	object
Target.process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
Target.process.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
Target.process.Ext.authentication_id	进程身份验证 ID	keyword
Target.process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
Target.process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.Ext.dll.Ext	所有自定义定义字段所在的对象的类型。	object
Target.process.Ext.dll.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
Target.process.Ext.dll.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.Ext.dll.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.Ext.dll.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.Ext.dll.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.Ext.dll.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.Ext.dll.Ext.compile_time	模块编译时的时间戳。	date
Target.process.Ext.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
Target.process.Ext.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
Target.process.Ext.dll.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.Ext.dll.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
Target.process.Ext.dll.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.Ext.dll.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.Ext.dll.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
Target.process.Ext.dll.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.Ext.dll.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.Ext.dll.hash.md5	MD5 哈希值。	keyword
Target.process.Ext.dll.hash.sha1	SHA1 哈希值。	keyword
Target.process.Ext.dll.hash.sha256	SHA256 哈希值。	keyword
Target.process.Ext.dll.hash.sha512	SHA512 哈希值。	keyword
Target.process.Ext.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
Target.process.Ext.dll.path	库的完整文件路径。	keyword
Target.process.Ext.dll.pe.company	在编译时提供的文件的内部公司名称。	keyword
Target.process.Ext.dll.pe.description	在编译时提供的文件的内部描述。	keyword
Target.process.Ext.dll.pe.file_version	在编译时提供的文件的内部版本号。	keyword
Target.process.Ext.dll.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
Target.process.Ext.dll.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
Target.process.Ext.dll.pe.product	在编译时提供的文件的内部产品名称。	keyword
Target.process.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
Target.process.Ext.malware_classification.score	分类模型生成的分数。	double
Target.process.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
Target.process.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
Target.process.Ext.malware_classification.version	所用模型的版本。	keyword
Target.process.Ext.memory_region.allocation_base	包含内存区域的内存分配的基地址。	unsigned_long
Target.process.Ext.memory_region.allocation_protection	分配内存时请求的原始内存保护。示例值包括“RWX”和“R-X”。	keyword
Target.process.Ext.memory_region.allocation_size	分配内存时请求的原始内存大小。	unsigned_long
Target.process.Ext.memory_region.allocation_type	内存分配类型。示例值包括“IMAGE”、“MAPPED”和“PRIVATE”。	keyword
Target.process.Ext.memory_region.bytes_address	bytes_compressed 开始的地址。	unsigned_long
Target.process.Ext.memory_region.bytes_allocation_offset	内存分配中 bytes_address 的偏移量。等于 bytes_address - allocation_base。	unsigned_long
Target.process.Ext.memory_region.bytes_compressed	来自内存分配的最多 4MB 的原始数据。使用 zlib 压缩。为了减少数据量，在端点上对数据进行重复数据删除，如果相同的数据多次发送，则可能在许多警报中丢失。	keyword
Target.process.Ext.memory_region.bytes_compressed_present	bytes_compressed 是否存在于此事件中。	boolean
Target.process.Ext.memory_region.malware_signature.all_names	匹配的签名名称序列。	keyword
Target.process.Ext.memory_region.malware_signature.identifier	恶意软件签名标识符	keyword
Target.process.Ext.memory_region.malware_signature.primary	第一个匹配的详细信息。	object
Target.process.Ext.memory_region.malware_signature.primary.matches	第一个匹配的详细信息。	keyword
Target.process.Ext.memory_region.malware_signature.primary.signature.hash	匹配签名的文件的哈希值。	nested
Target.process.Ext.memory_region.malware_signature.primary.signature.hash.sha256	匹配签名的文件的 SHA256 哈希值。	keyword
Target.process.Ext.memory_region.malware_signature.primary.signature.id	第一个匹配的 yara 规则的 ID。	keyword
Target.process.Ext.memory_region.malware_signature.primary.signature.name	第一个匹配的 yara 规则的名称。	keyword
Target.process.Ext.memory_region.malware_signature.version	恶意软件签名版本	keyword
Target.process.Ext.memory_region.mapped_path	如果内存对应于文件映射，则这是文件的路径。	keyword
Target.process.Ext.memory_region.mapped_pe.company	在编译时提供的文件的内部公司名称。	keyword
Target.process.Ext.memory_region.mapped_pe.description	在编译时提供的文件的内部描述。	keyword
Target.process.Ext.memory_region.mapped_pe.file_version	在编译时提供的文件的内部版本号。	keyword
Target.process.Ext.memory_region.mapped_pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
Target.process.Ext.memory_region.mapped_pe.original_file_name	在编译时提供的文件的内部名称。	keyword
Target.process.Ext.memory_region.mapped_pe.product	在编译时提供的文件的内部产品名称。	keyword
Target.process.Ext.memory_region.mapped_pe_detected	映射路径中的文件是否为可执行文件。	boolean
Target.process.Ext.memory_region.memory_pe.company	在编译时提供的文件的内部公司名称。	keyword
Target.process.Ext.memory_region.memory_pe.description	在编译时提供的文件的内部描述。	keyword
Target.process.Ext.memory_region.memory_pe.file_version	在编译时提供的文件的内部版本号。	keyword
Target.process.Ext.memory_region.memory_pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
Target.process.Ext.memory_region.memory_pe.original_file_name	在编译时提供的文件的内部名称。	keyword
Target.process.Ext.memory_region.memory_pe.product	在编译时提供的文件的内部产品名称。	keyword
Target.process.Ext.memory_region.memory_pe_detected	是否在内存中找到了可执行文件。	boolean
Target.process.Ext.memory_region.region_base	内存区域的基地址。	unsigned_long
Target.process.Ext.memory_region.region_protection	内存区域的内存保护。示例值包括“RWX”和“R-X”。	keyword
Target.process.Ext.memory_region.region_size	内存区域的大小。	unsigned_long
Target.process.Ext.memory_region.region_state	内存区域的状态。示例值包括“RESERVE”、“COMMIT”和“FREE”。	keyword
Target.process.Ext.memory_region.strings	在内存区域中找到的字符串数组。	keyword
Target.process.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
Target.process.Ext.services	在此进程中运行的服务。	keyword
Target.process.Ext.session	当前进程的会话信息	keyword
Target.process.Ext.token.domain	令牌用户的域。	keyword
Target.process.Ext.token.elevation	令牌是否已提升	boolean
Target.process.Ext.token.elevation_type	令牌具有的提升级别	keyword
Target.process.Ext.token.impersonation_level	模拟级别。仅对模拟令牌有效。	keyword
Target.process.Ext.token.integrity_level	数值完整性级别。	long
Target.process.Ext.token.integrity_level_name	人类可读的完整性级别。	keyword
Target.process.Ext.token.is_appcontainer	这是否是应用容器令牌。	boolean
Target.process.Ext.token.privileges	描述与令牌关联的特权的数组。	nested
Target.process.Ext.token.privileges.description	特权的描述。	keyword
Target.process.Ext.token.privileges.enabled	是否启用了特权。	boolean
Target.process.Ext.token.privileges.name	特权的名称。	keyword
Target.process.Ext.token.sid	令牌用户的安全标识符 (SID)。	keyword
Target.process.Ext.token.type	令牌的类型，可以是主令牌或模拟令牌。	keyword
Target.process.Ext.token.user	令牌所有者的用户名。	keyword
Target.process.Ext.user	与正在运行的进程关联的用户。	keyword
Target.process.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
Target.process.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
Target.process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
Target.process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
Target.process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
Target.process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
Target.process.executable	进程可执行文件的绝对路径。	keyword
Target.process.exit_code	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
Target.process.hash.md5	MD5 哈希值。	keyword
Target.process.hash.sha1	SHA1 哈希值。	keyword
Target.process.hash.sha256	SHA256 哈希值。	keyword
Target.process.hash.sha512	SHA512 哈希值。	keyword
Target.process.name	进程名称。有时称为程序名称或类似名称。	keyword
Target.process.parent.Ext	所有自定义定义字段所在的对象的类型。	object
Target.process.parent.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
Target.process.parent.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
Target.process.parent.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.parent.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.parent.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.parent.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.parent.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.parent.Ext.dll.Ext	所有自定义定义字段所在的对象的类型。	object
Target.process.parent.Ext.dll.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
Target.process.parent.Ext.dll.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.parent.Ext.dll.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.parent.Ext.dll.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.parent.Ext.dll.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.parent.Ext.dll.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.parent.Ext.dll.Ext.compile_time	模块编译时的时间戳。	date
Target.process.parent.Ext.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
Target.process.parent.Ext.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
Target.process.parent.Ext.dll.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
Target.process.parent.Ext.dll.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
Target.process.parent.Ext.dll.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
Target.process.parent.Ext.dll.code_signature.subject_name	代码签名者的主题名称	keyword
Target.process.parent.Ext.dll.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
Target.process.parent.Ext.dll.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
Target.process.parent.Ext.dll.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
Target.process.parent.Ext.dll.hash.md5	MD5 哈希值。	keyword
Target.process.parent.Ext.dll.hash.sha1	SHA1 哈希值。	keyword
Target.process.parent.Ext.dll.hash.sha256	SHA256 哈希值。	keyword
Target.process.parent.Ext.dll.hash.sha512	SHA512 哈希值。	keyword
Target.process.parent.Ext.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
Target.process.parent.Ext.dll.path	库的完整文件路径。	keyword
Target.process.parent.Ext.dll.pe.company	在编译时提供的文件的内部公司名称。	keyword
Target.process.parent.Ext.dll.pe.description	在编译时提供的文件的内部描述。	keyword
Target.process.parent.Ext.dll.pe.file_version	在编译时提供的文件的内部版本号。	keyword
Target.process.parent.Ext.dll.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
Target.process.parent.Ext.dll.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
Target.process.parent.Ext.dll.pe.product	在编译时提供的文件的内部产品名称。	keyword
Target.process.parent.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
Target.process.parent.Ext.real	如果存在任何 PID 欺骗，则包含进程信息的字段集。这对于 process.parent 主要有用。	object
Target.process.parent.Ext.real.pid	对于 process.parent，这将是实际生成当前进程的进程的 ppid。	long
Target.process.parent.Ext.token.domain	令牌用户的域。	keyword
Target.process.parent.Ext.token.elevation	令牌是否已提升	boolean
Target.process.parent.Ext.token.elevation_type	令牌具有的提升级别	keyword
目标.进程.父进程.扩展.令牌.模拟级别	模拟级别。仅对模拟令牌有效。	keyword
目标.进程.父进程.扩展.令牌.完整性级别	数值完整性级别。	long
目标.进程.父进程.扩展.令牌.完整性级别名称	人类可读的完整性级别。	keyword
目标.进程.父进程.扩展.令牌.是否是应用容器	这是否是应用容器令牌。	boolean
目标.进程.父进程.扩展.令牌.特权	描述与令牌关联的特权的数组。	nested
目标.进程.父进程.扩展.令牌.特权.描述	特权的描述。	keyword
目标.进程.父进程.扩展.令牌.特权.已启用	是否启用了特权。	boolean
目标.进程.父进程.扩展.令牌.特权.名称	特权的名称。	keyword
目标.进程.父进程.扩展.令牌.SID	令牌用户的安全标识符 (SID)。	keyword
目标.进程.父进程.扩展.令牌.类型	令牌的类型，可以是主令牌或模拟令牌。	keyword
目标.进程.父进程.扩展.令牌.用户	令牌所有者的用户名。	keyword
目标.进程.父进程.扩展.用户	与正在运行的进程关联的用户。	keyword
目标.进程.父进程.参数	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
目标.进程.父进程.参数计数	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
目标.进程.父进程.代码签名.是否存在	用于捕获是否存在签名的布尔值。	boolean
目标.进程.父进程.代码签名.签名ID	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
目标.进程.父进程.代码签名.状态	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
目标.进程.父进程.代码签名.主体名称	代码签名者的主题名称	keyword
目标.进程.父进程.代码签名.团队ID	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
目标.进程.父进程.代码签名.是否信任	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
目标.进程.父进程.代码签名.是否有效	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
目标.进程.父进程.命令行	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
目标.进程.父进程.实体ID	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
目标.进程.父进程.可执行文件	进程可执行文件的绝对路径。	keyword
目标.进程.父进程.退出代码	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
目标.进程.父进程.哈希.MD5	MD5 哈希值。	keyword
目标.进程.父进程.哈希.SHA1	SHA1 哈希值。	keyword
目标.进程.父进程.哈希.SHA256	SHA256 哈希值。	keyword
目标.进程.父进程.哈希.SHA512	SHA512 哈希值。	keyword
目标.进程.父进程.名称	进程名称。有时称为程序名称或类似名称。	keyword
目标.进程.父进程.PE.公司	在编译时提供的文件的内部公司名称。	keyword
目标.进程.父进程.PE.描述	在编译时提供的文件的内部描述。	keyword
目标.进程.父进程.PE.文件版本	在编译时提供的文件的内部版本号。	keyword
目标.进程.父进程.PE.导入哈希	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
目标.进程.父进程.PE.原始文件名	在编译时提供的文件的内部名称。	keyword
目标.进程.父进程.PE.产品	在编译时提供的文件的内部产品名称。	keyword
目标.进程.父进程.进程组ID	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
目标.进程.父进程.进程ID	进程 ID。	long
目标.进程.父进程.父进程ID	父进程的进程ID。	long
目标.进程.父进程.启动时间	进程启动的时间。	date
目标.进程.父进程.线程.ID	线程ID。	long
目标.进程.父进程.线程.名称	线程名称。	keyword
目标.进程.父进程.标题	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
目标.进程.父进程.运行时间	进程已运行的秒数。	long
目标.进程.父进程.工作目录	进程的工作目录。	keyword
目标.进程.PE.公司	在编译时提供的文件的内部公司名称。	keyword
目标.进程.PE.描述	在编译时提供的文件的内部描述。	keyword
目标.进程.PE.文件版本	在编译时提供的文件的内部版本号。	keyword
目标.进程.PE.导入哈希	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
目标.进程.PE.原始文件名	在编译时提供的文件的内部名称。	keyword
目标.进程.PE.产品	在编译时提供的文件的内部产品名称。	keyword
目标.进程.进程组ID	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
目标.进程.进程ID	进程 ID。	long
目标.进程.父进程ID	父进程的进程ID。	long
目标.进程.启动时间	进程启动的时间。	date
目标.进程.线程.扩展	所有自定义定义字段所在的对象的类型。	object
目标.进程.线程.扩展.是否设置硬件断点	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
目标.进程.线程.扩展.原始起始地址	当检测到跳转指令时，这表示内存中线程起始地址的原始内容。	unsigned_long
目标.进程.线程.扩展.原始起始地址分配偏移量	当检测到跳转指令时，这表示 original_start_address 与分配基址的偏移量。	unsigned_long
目标.进程.线程.扩展.原始起始地址字节	当检测到跳转指令时，这保存原始线程起始地址的十六进制编码字节。	keyword
目标.进程.线程.扩展.原始起始地址字节反汇编	当检测到跳转指令时，这保存原始线程起始地址的已反汇编代码。	keyword
目标.进程.线程.扩展.原始起始地址字节反汇编哈希	当检测到跳转指令时，这保存原始线程起始地址的字节，将立即数值上限设置为 0x100，反汇编为人类可读的汇编代码，然后进行哈希。	keyword
目标.进程.线程.扩展.原始起始地址模块	当检测到跳转指令时，这表示线程开始执行的 dll/模块的原始内容。	keyword
目标.进程.线程.扩展.参数	创建线程时，这是其参数的原始数值。	unsigned_long
目标.进程.线程.扩展.参数字节压缩	如果线程参数是有效指针，则最多可以从线程参数获取 512KB 的原始数据。这是使用 zlib 压缩的。为了减少数据量，它在端点上进行去重，如果发送多次相同的数据，则可能在许多警报中丢失。	keyword
目标.进程.线程.扩展.参数字节压缩存在	此事件中是否存在 parameter_bytes_compressed。	boolean
目标.进程.线程.扩展.服务	与线程关联的服务。	keyword
目标.进程.线程.扩展.启动时间	线程启动的时间。	date
目标.进程.线程.扩展.起始地址	线程开始执行的内存地址。	unsigned_long
目标.进程.线程.扩展.起始地址分配偏移量	起始地址到内存分配的偏移量。等于 start_address - start_address_details.allocation_base。	unsigned_long
目标.进程.线程.扩展.起始地址字节	线程起始地址处的几个（通常是 32 个）原始操作码字节，以十六进制编码。	keyword
目标.进程.线程.扩展.起始地址字节反汇编	线程起始地址处的字节，反汇编为人类可读的汇编代码。	keyword
目标.进程.线程.扩展.起始地址字节反汇编哈希	线程起始地址处的字节，将立即数值上限设置为 0x100，反汇编为人类可读的汇编代码，然后进行哈希。	keyword
目标.进程.线程.扩展.起始地址模块	线程开始执行的 dll/模块。	keyword
目标.进程.线程.扩展.令牌.域	令牌用户的域。	keyword
目标.进程.线程.扩展.令牌.提升	令牌是否已提升	boolean
目标.进程.线程.扩展.令牌.提升类型	令牌具有的提升级别	keyword
目标.进程.线程.扩展.令牌.模拟级别	模拟级别。仅对模拟令牌有效。	keyword
目标.进程.线程.扩展.令牌.完整性级别	数值完整性级别。	long
目标.进程.线程.扩展.令牌.完整性级别名称	人类可读的完整性级别。	keyword
目标.进程.线程.扩展.令牌.是否是应用容器	这是否是应用容器令牌。	boolean
目标.进程.线程.扩展.令牌.特权	描述与令牌关联的特权的数组。	nested
目标.进程.线程.扩展.令牌.特权.描述	特权的描述。	keyword
目标.进程.线程.扩展.令牌.特权.已启用	是否启用了特权。	boolean
目标.进程.线程.扩展.令牌.特权.名称	特权的名称。	keyword
目标.进程.线程.扩展.令牌.SID	令牌用户的安全标识符 (SID)。	keyword
目标.进程.线程.扩展.令牌.类型	令牌的类型，可以是主令牌或模拟令牌。	keyword
目标.进程.线程.扩展.令牌.用户	令牌所有者的用户名。	keyword
目标.进程.线程.扩展.运行时间	自线程启动以来的秒数。	long
目标.进程.线程.ID	线程ID。	long
目标.进程.线程.名称	线程名称。	keyword
目标.进程.标题	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
目标.进程.运行时间	进程已运行的秒数。	long
目标.进程.工作目录	进程的工作目录。	keyword
代理.临时ID	此代理的临时标识符（如果存在）。此 ID 通常在重新启动时更改，但 `agent.id` 不会更改。	keyword
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.名称	代理的自定义名称。这是一个可以赋予代理的名称。如果例如两个 Filebeat 实例在同一主机上运行，但需要以人工可读的方式分隔来自哪个 Filebeat 实例的数据，则这会很有帮助。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
云.帐户.ID	云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。	keyword
云.实例.名称	主机计算机的实例名称。	keyword
云.项目.ID	云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。	keyword
云.提供商	云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。	keyword
云.区域	此主机、资源或服务所在的区域。	keyword
容器.ID	唯一的容器 ID。	keyword
容器.镜像.名称	容器构建所依据的镜像的名称。	keyword
容器.镜像.标签	容器镜像标签。	keyword
容器.名称	容器名称。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
目标.IP	目标的 IP 地址（IPv4 或 IPv6）。	IP
dll.扩展	所有自定义定义字段所在的对象的类型。	object
dll.扩展.代码签名	ECS code_signature 字段集的嵌套版本。	nested
dll.扩展.代码签名.是否存在	用于捕获是否存在签名的布尔值。	boolean
dll.扩展.代码签名.状态	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
dll.扩展.代码签名.主体名称	代码签名者的主题名称	keyword
dll.扩展.代码签名.是否信任	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
dll.扩展.代码签名.是否有效	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
dll.扩展.编译时间	模块编译时的时间戳。	date
dll.扩展.恶意软件分类.标识符	模型的唯一标识符。	keyword
dll.扩展.恶意软件分类.评分	分类模型生成的分数。	double
dll.扩展.恶意软件分类.阈值	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
dll.扩展.恶意软件分类.UPX 已打包	是否检测到 UPX 打包。	boolean
dll.扩展.恶意软件分类.版本	所用模型的版本。	keyword
dll.扩展.映射地址	加载此模块的基地址。	unsigned_long
dll.扩展.映射大小	此模块内存映射的大小，以字节为单位。	unsigned_long
dll.代码签名.是否存在	用于捕获是否存在签名的布尔值。	boolean
dll.代码签名.签名ID	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
dll.代码签名.状态	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
dll.代码签名.主体名称	代码签名者的主题名称	keyword
dll.代码签名.团队ID	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
dll.代码签名.是否信任	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
dll.代码签名.是否有效	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
dll.哈希.MD5	MD5 哈希值。	keyword
dll.哈希.SHA1	SHA1 哈希值。	keyword
dll.哈希.SHA256	SHA256 哈希值。	keyword
dll.哈希.SHA512	SHA512 哈希值。	keyword
dll.名称	库的名称。这通常映射到磁盘上的文件名。	keyword
dll.路径	库的完整文件路径。	keyword
dll.PE.公司	在编译时提供的文件的内部公司名称。	keyword
dll.PE.描述	在编译时提供的文件的内部描述。	keyword
dll.PE.文件版本	在编译时提供的文件的内部版本号。	keyword
dll.PE.导入哈希	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
dll.PE.原始文件名	在编译时提供的文件的内部名称。	keyword
dll.PE.产品	在编译时提供的文件的内部产品名称。	keyword
dns.问题.名称	正在查询的名称。如果名称字段包含不可打印的字符（低于 32 或高于 126），则这些字符应表示为转义的十进制整数 (\DDD)。反斜杠和引号应转义。制表符、回车符和换行符应分别转换为 \t、\r 和 \n。	keyword
dns.问题.类型	正在查询的记录类型。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
弹性.代理	代理字段包含有关 Elastic Agent 的数据。Elastic Agent 是管理主机上其他代理或进程的管理代理。	object
弹性.代理.ID	此弹性代理的唯一标识符（如果存在）。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.risk_score	事件的风险评分或优先级（例如，安全解决方案）。在此处使用系统的原始值。	float
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
file.Ext	所有自定义定义字段所在的对象的类型。	object
file.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
file.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
file.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
file.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
file.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
file.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
file.Ext.entry_modified	上次状态更改的时间。请参阅 `struct stat` 的 `st_ctim` 成员。	double
file.Ext.macro.code_page	标识此宏使用的字符编码。 https://docs.microsoft.com/en-us/windows/win32/intl/code-page-identifiers	long
file.Ext.macro.collection	包含宏集合哈希的对象。	object
file.Ext.macro.collection.hash.md5	MD5 哈希值。	keyword
file.Ext.macro.collection.hash.sha1	SHA1 哈希值。	keyword
file.Ext.macro.collection.hash.sha256	SHA256 哈希值。	keyword
file.Ext.macro.collection.hash.sha512	SHA512 哈希值。	keyword
file.Ext.macro.errors	解析此文档文件时发生的错误。	nested
file.Ext.macro.errors.count	此错误发生的次数。	long
file.Ext.macro.errors.error_type	发生的解析错误的类型。	keyword
file.Ext.macro.file_extension	包含此宏的文件的扩展名（例如，.docm）	keyword
file.Ext.macro.project_file	有关相应的 VBA 项目文件的元数据	object
file.Ext.macro.project_file.hash.md5	MD5 哈希值。	keyword
file.Ext.macro.project_file.hash.sha1	SHA1 哈希值。	keyword
file.Ext.macro.project_file.hash.sha256	SHA256 哈希值。	keyword
file.Ext.macro.project_file.hash.sha512	SHA512 哈希值。	keyword
file.Ext.macro.stream	与文档关联的流。	nested
file.Ext.macro.stream.hash.md5	MD5 哈希值。	keyword
file.Ext.macro.stream.hash.sha1	SHA1 哈希值。	keyword
file.Ext.macro.stream.hash.sha256	SHA256 哈希值。	keyword
file.Ext.macro.stream.hash.sha512	SHA512 哈希值。	keyword
file.Ext.macro.stream.name	流的名称。	keyword
file.Ext.macro.stream.raw_code	前 100KB 的原始流二进制文件。可用于分析误报和恶意负载。	keyword
file.Ext.macro.stream.raw_code_size	原始流大小。指示是否截断了 stream.raw_code。	keyword
file.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
file.Ext.malware_classification.score	分类模型生成的分数。	double
file.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
file.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
file.Ext.malware_classification.version	所用模型的版本。	keyword
file.Ext.original	修改事件期间的原始文件信息。	object
file.Ext.original.gid	文件的主组 ID (GID)。	keyword
file.Ext.original.group	文件的主组名称。	keyword
file.Ext.original.mode	修改事件之前的原始文件模式	keyword
file.Ext.original.name	修改事件之前的原始文件名	keyword
file.Ext.original.owner	文件所有者的用户名。	keyword
file.Ext.original.path	修改事件之前的原始文件路径	keyword
file.Ext.original.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
file.Ext.quarantine_message	描述隔离结果的消息。	keyword
file.Ext.quarantine_path	隔离文件最初所在的端点上的路径。	keyword
file.Ext.quarantine_result	表示文件隔离是否成功的布尔值。	boolean
file.Ext.temp_file_path	端点上存储文件副本的路径。用于使临时文件可检索。	keyword
file.Ext.windows	特定于平台的 Windows 字段	object
file.Ext.windows.zone_identifier	文件的 Windows 区域标识符	keyword
file.accessed	上次访问文件的时间。请注意，并非所有文件系统都跟踪访问时间。	date
file.attributes	文件属性数组。属性名称将因平台而异。以下是此字段中预期的非详尽的值列表：archive、compressed、directory、encrypted、execute、hidden、read、readonly、system、write。	keyword
file.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
file.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
file.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
file.code_signature.subject_name	代码签名者的主题名称	keyword
file.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
file.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
file.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
file.created	文件创建时间。请注意，并非所有文件系统都存储创建时间。	date
file.ctime	上次更改文件属性或元数据的时间。请注意，对文件内容的更改将更新 `mtime`。这意味着 `ctime` 将同时进行调整，因为 `mtime` 是文件的属性。	date
file.device	作为文件来源的设备。	keyword
file.directory	文件所在的目录。它应包括驱动器号（如果适用）。	keyword
file.drive_letter	文件所在的驱动器号。此字段仅在 Windows 上相关。该值应为大写，并且不包括冒号。	keyword
file.extension	文件扩展名，不包括前导点。请注意，当文件名有多个扩展名（例如 example.tar.gz）时，应仅捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
file.gid	文件的主组 ID (GID)。	keyword
file.group	文件的主组名称。	keyword
file.hash.md5	MD5 哈希值。	keyword
file.hash.sha1	SHA1 哈希值。	keyword
file.hash.sha256	SHA256 哈希值。	keyword
file.hash.sha512	SHA512 哈希值。	keyword
file.inode	表示文件系统中文件的 Inode。	keyword
file.mime_type	MIME 类型应使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型（如果可能）来标识文件或字节流的格式。当有多个类型适用时，应使用最具体的类型。	keyword
file.mode	文件的八进制表示模式。	keyword
file.mtime	上次修改文件内容的时间。	date
file.name	文件名，包括扩展名，但不包括目录。	keyword
file.owner	文件所有者的用户名。	keyword
file.path	文件的完整路径，包括文件名。如果适用，应包括驱动器盘符。	keyword
file.pe.Ext.dotnet	此文件是否为 .NET PE 文件	boolean
file.pe.Ext.sections	文件的相关节（如果它是 PE 文件）	object
file.pe.Ext.sections.hash.md5	MD5 哈希值。	keyword
file.pe.Ext.sections.hash.sha256	SHA256 哈希值。	keyword
file.pe.Ext.sections.name	节的名称	keyword
file.pe.Ext.streams	文件的流（如果它是 PE 文件）	object
file.pe.Ext.streams.hash.md5	MD5 哈希值。	keyword
file.pe.Ext.streams.hash.sha256	SHA256 哈希值。	keyword
file.pe.Ext.streams.name	流的名称	keyword
file.pe.company	在编译时提供的文件的内部公司名称。	keyword
file.pe.description	在编译时提供的文件的内部描述。	keyword
file.pe.file_version	在编译时提供的文件的内部版本号。	keyword
file.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
file.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
file.pe.product	在编译时提供的文件的内部产品名称。	keyword
file.size	文件大小（以字节为单位）。仅当 `file.type` 为“file”时才相关。	long
file.target_path	符号链接的目标路径。	keyword
file.type	文件类型（文件、目录或符号链接）。	keyword
file.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.boot.id	从 /proc/sys/kernel/random/boot_id 获取的 Linux 引导 uuid。请注意，容器中 /proc 的 boot_id 值可能与主机上的值相同，也可能不同。某些容器运行时会将新的 boot_id 值绑定挂载到每个容器的 proc 文件上。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.geo.city_name	城市名称。	keyword
host.geo.continent_code	表示洲名称的两个字母代码。	keyword
host.geo.continent_name	洲的名称。	keyword
host.geo.country_iso_code	国家 ISO 代码。	keyword
host.geo.country_name	国家名称。	keyword
host.geo.location	经度和纬度。	地理点
host.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
host.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
host.geo.region_iso_code	区域 ISO 代码。	keyword
host.geo.region_name	区域名称。	keyword
host.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.pid_ns_ino	这是命名空间文件系统 (nsfs) 中命名空间的 inode 编号。include/linux/ns_common.h 中的无符号 int inum。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
host.user.Ext	所有自定义定义字段所在的对象的类型。	object
host.user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
host.user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
host.user.Ext.real.name	用户的短名称或登录名。	keyword
host.user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
host.user.email	用户电子邮件地址。	keyword
host.user.full_name	用户的全名（如果可用）。	keyword
host.user.group.Ext	所有自定义定义字段所在的对象的类型。	object
host.user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
host.user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
host.user.group.Ext.real.name	组的名称。	keyword
host.user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
host.user.group.id	系统/平台上组的唯一标识符。	keyword
host.user.group.name	组的名称。	keyword
host.user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
host.user.id	用户的唯一标识符。	keyword
host.user.name	用户的短名称或登录名。	keyword
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
orchestrator.cluster.name	集群的名称。	keyword
orchestrator.namespace	执行操作所在的命名空间。	keyword
orchestrator.resource.name	正在操作的资源的名称。	keyword
orchestrator.resource.type	正在操作的资源的类型。	keyword
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
process.Ext.authentication_id	进程身份验证 ID	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.Ext.dll.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.dll.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.dll.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.dll.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.dll.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.dll.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.dll.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.Ext.dll.Ext.compile_time	模块编译时的时间戳。	date
process.Ext.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
process.Ext.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
process.Ext.dll.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.dll.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.Ext.dll.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.dll.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.dll.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.Ext.dll.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.dll.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.Ext.dll.hash.md5	MD5 哈希值。	keyword
process.Ext.dll.hash.sha1	SHA1 哈希值。	keyword
process.Ext.dll.hash.sha256	SHA256 哈希值。	keyword
process.Ext.dll.hash.sha512	SHA512 哈希值。	keyword
process.Ext.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
process.Ext.dll.path	库的完整文件路径。	keyword
process.Ext.dll.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.Ext.dll.pe.description	在编译时提供的文件的内部描述。	keyword
process.Ext.dll.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.Ext.dll.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.Ext.dll.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.Ext.dll.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
process.Ext.malware_classification.score	分类模型生成的分数。	double
process.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
process.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
process.Ext.malware_classification.version	所用模型的版本。	keyword
process.Ext.memory_region.allocation_base	包含内存区域的内存分配的基地址。	unsigned_long
process.Ext.memory_region.allocation_protection	分配内存时请求的原始内存保护。示例值包括“RWX”和“R-X”。	keyword
process.Ext.memory_region.allocation_size	分配内存时请求的原始内存大小。	unsigned_long
process.Ext.memory_region.allocation_type	内存分配类型。示例值包括“IMAGE”、“MAPPED”和“PRIVATE”。	keyword
process.Ext.memory_region.bytes_address	bytes_compressed 开始的地址。	unsigned_long
process.Ext.memory_region.bytes_allocation_offset	内存分配中 bytes_address 的偏移量。等于 bytes_address - allocation_base。	unsigned_long
process.Ext.memory_region.bytes_compressed	来自内存分配的最多 4MB 的原始数据。使用 zlib 压缩。为了减少数据量，在端点上对数据进行重复数据删除，如果相同的数据多次发送，则可能在许多警报中丢失。	keyword
process.Ext.memory_region.bytes_compressed_present	bytes_compressed 是否存在于此事件中。	boolean
process.Ext.memory_region.malware_signature.all_names	匹配的签名名称序列。	keyword
process.Ext.memory_region.malware_signature.identifier	恶意软件签名标识符	keyword
process.Ext.memory_region.malware_signature.primary	第一个匹配的详细信息。	object
process.Ext.memory_region.malware_signature.primary.matches	第一个匹配的详细信息。	keyword
process.Ext.memory_region.malware_signature.primary.signature.hash	匹配签名的文件的哈希值。	nested
process.Ext.memory_region.malware_signature.primary.signature.hash.sha256	匹配签名的文件的 SHA256 哈希值。	keyword
process.Ext.memory_region.malware_signature.primary.signature.id	第一个匹配的 yara 规则的 ID。	keyword
process.Ext.memory_region.malware_signature.primary.signature.name	第一个匹配的 yara 规则的名称。	keyword
process.Ext.memory_region.malware_signature.version	恶意软件签名版本	keyword
process.Ext.memory_region.mapped_path	如果内存对应于文件映射，则这是文件的路径。	keyword
process.Ext.memory_region.mapped_pe.company	在编译时提供的文件的内部公司名称。	keyword
process.Ext.memory_region.mapped_pe.description	在编译时提供的文件的内部描述。	keyword
process.Ext.memory_region.mapped_pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.Ext.memory_region.mapped_pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.Ext.memory_region.mapped_pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.Ext.memory_region.mapped_pe.product	在编译时提供的文件的内部产品名称。	keyword
process.Ext.memory_region.mapped_pe_detected	映射路径中的文件是否为可执行文件。	boolean
process.Ext.memory_region.memory_pe.company	在编译时提供的文件的内部公司名称。	keyword
process.Ext.memory_region.memory_pe.description	在编译时提供的文件的内部描述。	keyword
process.Ext.memory_region.memory_pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.Ext.memory_region.memory_pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.Ext.memory_region.memory_pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.Ext.memory_region.memory_pe.product	在编译时提供的文件的内部产品名称。	keyword
process.Ext.memory_region.memory_pe_detected	是否在内存中找到了可执行文件。	boolean
process.Ext.memory_region.region_base	内存区域的基地址。	unsigned_long
process.Ext.memory_region.region_protection	内存区域的内存保护。示例值包括“RWX”和“R-X”。	keyword
process.Ext.memory_region.region_size	内存区域的大小。	unsigned_long
process.Ext.memory_region.region_state	内存区域的状态。示例值包括“RESERVE”、“COMMIT”和“FREE”。	keyword
process.Ext.memory_region.strings	在内存区域中找到的字符串数组。	keyword
process.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
process.Ext.services	在此进程中运行的服务。	keyword
process.Ext.session	当前进程的会话信息	keyword
process.Ext.token.domain	令牌用户的域。	keyword
process.Ext.token.elevation	令牌是否已提升	boolean
process.Ext.token.elevation_type	令牌具有的提升级别	keyword
process.Ext.token.impersonation_level	模拟级别。仅对模拟令牌有效。	keyword
process.Ext.token.integrity_level	数值完整性级别。	long
process.Ext.token.integrity_level_name	人类可读的完整性级别。	keyword
process.Ext.token.is_appcontainer	这是否是应用容器令牌。	boolean
process.Ext.token.privileges	描述与令牌关联的特权的数组。	nested
process.Ext.token.privileges.description	特权的描述。	keyword
process.Ext.token.privileges.enabled	是否启用了特权。	boolean
process.Ext.token.privileges.name	特权的名称。	keyword
process.Ext.token.sid	令牌用户的安全标识符 (SID)。	keyword
process.Ext.token.type	令牌的类型，可以是主令牌或模拟令牌。	keyword
process.Ext.token.user	令牌所有者的用户名。	keyword
process.Ext.user	与正在运行的进程关联的用户。	keyword
process.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.entry_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.entry_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.entry_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.entry_meta.source.ip	源的 IP 地址（IPv4 或 IPv6）。	IP
process.entry_leader.entry_meta.type	条目会话负责人的条目类型。值包括：init（例如 systemd）、sshd、ssm、kubelet、teleport、terminal、console 注意：此字段仅在 process.session_leader 上设置。	keyword
process.entry_leader.executable	进程可执行文件的绝对路径。	keyword
process.entry_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.group.name	组的名称。	keyword
process.entry_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.entry_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.entry_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.pid	进程 ID。	long
process.entry_leader.parent.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.session_leader.pid	进程 ID。	long
process.entry_leader.parent.session_leader.start	进程启动的时间。	date
process.entry_leader.parent.start	进程启动的时间。	date
process.entry_leader.pid	进程 ID。	long
process.entry_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.real_group.name	组的名称。	keyword
process.entry_leader.real_user.id	用户的唯一标识符。	keyword
process.entry_leader.real_user.name	用户的短名称或登录名。	keyword
process.entry_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.entry_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.saved_group.name	组的名称。	keyword
process.entry_leader.saved_user.id	用户的唯一标识符。	keyword
process.entry_leader.saved_user.name	用户的短名称或登录名。	keyword
process.entry_leader.start	进程启动的时间。	date
process.entry_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.supplemental_groups.name	组的名称。	keyword
process.entry_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.entry_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.entry_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.entry_leader.user.id	用户的唯一标识符。	keyword
process.entry_leader.user.name	用户的短名称或登录名。	keyword
process.entry_leader.working_directory	进程的工作目录。	keyword
process.env_vars	环境变量绑定的数组。在执行时从环境快照中捕获。可能会被过滤以保护敏感信息。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.exit_code	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
process.group_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.group_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.group_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.group_leader.executable	进程可执行文件的绝对路径。	keyword
process.group_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.group.name	组的名称。	keyword
process.group_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.group_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.group_leader.pid	进程 ID。	long
process.group_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.real_group.name	组的名称。	keyword
process.group_leader.real_user.id	用户的唯一标识符。	keyword
process.group_leader.real_user.name	用户的短名称或登录名。	keyword
process.group_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.group_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.saved_group.name	组的名称。	keyword
process.group_leader.saved_user.id	用户的唯一标识符。	keyword
process.group_leader.saved_user.name	用户的短名称或登录名。	keyword
process.group_leader.start	进程启动的时间。	date
process.group_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.supplemental_groups.name	组的名称。	keyword
process.group_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.group_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.group_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.group_leader.user.id	用户的唯一标识符。	keyword
process.group_leader.user.name	用户的短名称或登录名。	keyword
process.group_leader.working_directory	进程的工作目录。	keyword
process.hash.md5	MD5 哈希值。	keyword
process.hash.sha1	SHA1 哈希值。	keyword
process.hash.sha256	SHA256 哈希值。	keyword
process.hash.sha512	SHA512 哈希值。	keyword
process.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.Ext	所有自定义定义字段所在的对象的类型。	object
process.parent.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
process.parent.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.parent.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.Ext.dll.Ext	所有自定义定义字段所在的对象的类型。	object
process.parent.Ext.dll.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.parent.Ext.dll.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.Ext.dll.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.Ext.dll.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.Ext.dll.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.Ext.dll.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.Ext.dll.Ext.compile_time	模块编译时的时间戳。	date
process.parent.Ext.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
process.parent.Ext.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
process.parent.Ext.dll.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.Ext.dll.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.parent.Ext.dll.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.Ext.dll.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.Ext.dll.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.parent.Ext.dll.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.Ext.dll.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.Ext.dll.hash.md5	MD5 哈希值。	keyword
process.parent.Ext.dll.hash.sha1	SHA1 哈希值。	keyword
process.parent.Ext.dll.hash.sha256	SHA256 哈希值。	keyword
process.parent.Ext.dll.hash.sha512	SHA512 哈希值。	keyword
process.parent.Ext.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
process.parent.Ext.dll.path	库的完整文件路径。	keyword
process.parent.Ext.dll.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.parent.Ext.dll.pe.description	在编译时提供的文件的内部描述。	keyword
process.parent.Ext.dll.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.parent.Ext.dll.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.parent.Ext.dll.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.parent.Ext.dll.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.parent.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
process.parent.Ext.real	如果存在任何 PID 欺骗，则包含进程信息的字段集。这对于 process.parent 主要有用。	object
process.parent.Ext.real.pid	对于 process.parent，这将是实际生成当前进程的进程的 ppid。	long
process.parent.Ext.token.domain	令牌用户的域。	keyword
process.parent.Ext.token.elevation	令牌是否已提升	boolean
process.parent.Ext.token.elevation_type	令牌具有的提升级别	keyword
process.parent.Ext.token.impersonation_level	模拟级别。仅对模拟令牌有效。	keyword
process.parent.Ext.token.integrity_level	数值完整性级别。	long
process.parent.Ext.token.integrity_level_name	人类可读的完整性级别。	keyword
process.parent.Ext.token.is_appcontainer	这是否是应用容器令牌。	boolean
process.parent.Ext.token.privileges	描述与令牌关联的特权的数组。	nested
process.parent.Ext.token.privileges.description	特权的描述。	keyword
process.parent.Ext.token.privileges.enabled	是否启用了特权。	boolean
process.parent.Ext.token.privileges.name	特权的名称。	keyword
process.parent.Ext.token.sid	令牌用户的安全标识符 (SID)。	keyword
process.parent.Ext.token.type	令牌的类型，可以是主令牌或模拟令牌。	keyword
process.parent.Ext.token.user	令牌所有者的用户名。	keyword
process.parent.Ext.user	与正在运行的进程关联的用户。	keyword
process.parent.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.parent.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.parent.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.parent.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.parent.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.executable	进程可执行文件的绝对路径。	keyword
process.parent.exit_code	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
process.parent.group.id	系统/平台上组的唯一标识符。	keyword
process.parent.group.name	组的名称。	keyword
process.parent.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.group_leader.pid	进程 ID。	long
process.parent.group_leader.start	进程启动的时间。	date
process.parent.hash.md5	MD5 哈希值。	keyword
process.parent.hash.sha1	SHA1 哈希值。	keyword
process.parent.hash.sha256	SHA256 哈希值。	keyword
process.parent.hash.sha512	SHA512 哈希值。	keyword
process.parent.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.parent.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.parent.pe.description	在编译时提供的文件的内部描述。	keyword
process.parent.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.parent.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.parent.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.parent.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.parent.pgid	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
process.parent.pid	进程 ID。	long
process.parent.ppid	父进程的进程ID。	long
process.parent.real_group.id	系统/平台上组的唯一标识符。	keyword
process.parent.real_group.name	组的名称。	keyword
process.parent.real_user.id	用户的唯一标识符。	keyword
process.parent.real_user.name	用户的短名称或登录名。	keyword
process.parent.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.parent.saved_group.name	组的名称。	keyword
process.parent.saved_user.id	用户的唯一标识符。	keyword
process.parent.saved_user.name	用户的短名称或登录名。	keyword
process.parent.start	进程启动的时间。	date
process.parent.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.parent.supplemental_groups.name	组的名称。	keyword
process.parent.thread.id	线程ID。	long
process.parent.thread.name	线程名称。	keyword
process.parent.title	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
process.parent.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.parent.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.parent.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.parent.uptime	进程已运行的秒数。	long
process.parent.user.id	用户的唯一标识符。	keyword
process.parent.user.name	用户的短名称或登录名。	keyword
process.parent.working_directory	进程的工作目录。	keyword
process.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.pe.description	在编译时提供的文件的内部描述。	keyword
process.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.pgid	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
process.pid	进程 ID。	long
process.ppid	父进程的进程ID。	long
process.previous.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.previous.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.previous.executable	进程可执行文件的绝对路径。	keyword
process.real_group.id	系统/平台上组的唯一标识符。	keyword
process.real_group.name	组的名称。	keyword
process.real_user.id	用户的唯一标识符。	keyword
process.real_user.name	用户的短名称或登录名。	keyword
process.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.saved_group.name	组的名称。	keyword
process.saved_user.id	用户的唯一标识符。	keyword
process.saved_user.name	用户的短名称或登录名。	keyword
process.session_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.session_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.session_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.executable	进程可执行文件的绝对路径。	keyword
process.session_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.group.name	组的名称。	keyword
process.session_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.session_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.session_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.parent.pid	进程 ID。	long
process.session_leader.parent.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.parent.session_leader.pid	进程 ID。	long
process.session_leader.parent.session_leader.start	进程启动的时间。	date
process.session_leader.parent.start	进程启动的时间。	date
process.session_leader.pid	进程 ID。	long
process.session_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.real_group.name	组的名称。	keyword
process.session_leader.real_user.id	用户的唯一标识符。	keyword
process.session_leader.real_user.name	用户的短名称或登录名。	keyword
process.session_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.session_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.saved_group.name	组的名称。	keyword
process.session_leader.saved_user.id	用户的唯一标识符。	keyword
process.session_leader.saved_user.name	用户的短名称或登录名。	keyword
process.session_leader.start	进程启动的时间。	date
process.session_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.supplemental_groups.name	组的名称。	keyword
process.session_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.session_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.session_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.session_leader.user.id	用户的唯一标识符。	keyword
process.session_leader.user.name	用户的短名称或登录名。	keyword
process.session_leader.working_directory	进程的工作目录。	keyword
process.start	进程启动的时间。	date
process.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.supplemental_groups.name	组的名称。	keyword
process.thread.Ext	所有自定义定义字段所在的对象的类型。	object
process.thread.Ext.hardware_breakpoint_set	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
process.thread.Ext.original_start_address	当检测到跳转指令时，这表示内存中线程起始地址的原始内容。	unsigned_long
process.thread.Ext.original_start_address_allocation_offset	当检测到跳转指令时，这表示 original_start_address 与分配基址的偏移量。	unsigned_long
process.thread.Ext.original_start_address_bytes	当检测到跳转指令时，这保存原始线程起始地址的十六进制编码字节。	keyword
process.thread.Ext.original_start_address_bytes_disasm	当检测到跳转指令时，这保存原始线程起始地址的已反汇编代码。	keyword
process.thread.Ext.original_start_address_bytes_disasm_hash	当检测到跳转指令时，这保存原始线程起始地址的字节，将立即数值上限设置为 0x100，反汇编为人类可读的汇编代码，然后进行哈希。	keyword
process.thread.Ext.original_start_address_module	当检测到跳转指令时，这表示线程开始执行的 dll/模块的原始内容。	keyword
process.thread.Ext.parameter	创建线程时，这是其参数的原始数值。	unsigned_long
process.thread.Ext.parameter_bytes_compressed	如果线程参数是有效指针，则最多可以从线程参数获取 512KB 的原始数据。这是使用 zlib 压缩的。为了减少数据量，它在端点上进行去重，如果发送多次相同的数据，则可能在许多警报中丢失。	keyword
process.thread.Ext.parameter_bytes_compressed_present	此事件中是否存在 parameter_bytes_compressed。	boolean
process.thread.Ext.service	与线程关联的服务。	keyword
process.thread.Ext.start	线程启动的时间。	date
process.thread.Ext.start_address	线程开始执行的内存地址。	unsigned_long
process.thread.Ext.start_address_allocation_offset	起始地址到内存分配的偏移量。等于 start_address - start_address_details.allocation_base。	unsigned_long
process.thread.Ext.start_address_bytes	线程起始地址处的几个（通常是 32 个）原始操作码字节，以十六进制编码。	keyword
process.thread.Ext.start_address_bytes_disasm	线程起始地址处的字节，反汇编为人类可读的汇编代码。	keyword
process.thread.Ext.start_address_bytes_disasm_hash	线程起始地址处的字节，将立即数值上限设置为 0x100，反汇编为人类可读的汇编代码，然后进行哈希。	keyword
process.thread.Ext.start_address_module	线程开始执行的 dll/模块。	keyword
process.thread.Ext.token.domain	令牌用户的域。	keyword
process.thread.Ext.token.elevation	令牌是否已提升	boolean
process.thread.Ext.token.elevation_type	令牌具有的提升级别	keyword
process.thread.Ext.token.impersonation_level	模拟级别。仅对模拟令牌有效。	keyword
process.thread.Ext.token.integrity_level	数值完整性级别。	long
process.thread.Ext.token.integrity_level_name	人类可读的完整性级别。	keyword
process.thread.Ext.token.is_appcontainer	这是否是应用容器令牌。	boolean
process.thread.Ext.token.privileges	描述与令牌关联的特权的数组。	nested
process.thread.Ext.token.privileges.description	特权的描述。	keyword
process.thread.Ext.token.privileges.enabled	是否启用了特权。	boolean
process.thread.Ext.token.privileges.name	特权的名称。	keyword
process.thread.Ext.token.sid	令牌用户的安全标识符 (SID)。	keyword
process.thread.Ext.token.type	令牌的类型，可以是主令牌或模拟令牌。	keyword
process.thread.Ext.token.user	令牌所有者的用户名。	keyword
process.thread.Ext.uptime	自线程启动以来的秒数。	long
process.thread.id	线程ID。	long
process.thread.name	线程名称。	keyword
process.title	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
process.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.uptime	进程已运行的秒数。	long
process.user.id	用户的唯一标识符。	keyword
process.user.name	用户的短名称或登录名。	keyword
process.working_directory	进程的工作目录。	keyword
registry.data.strings	写入字符串类型时的内容。当将字符串数据写入注册表时，会填充为数组。对于单个字符串注册表类型（REG_SZ、REG_EXPAND_SZ），这应该是一个包含一个字符串的数组。对于带有 REG_MULTI_SZ 的字符串序列，此数组的长度将是可变的。对于数值数据，例如 REG_DWORD 和 REG_QWORD，这应该填充十进制表示（例如 `"1"`）。	通配符
registry.path	完整路径，包括配置单元、键和值	keyword
registry.value	写入的值的名称。	keyword
rule.author	创建此事件的规则的作者或多个作者的姓名、组织或笔名。	keyword
rule.category	实体使用该规则来检测此事件时使用的分类值关键字。	keyword
rule.description	生成该事件的规则的描述。	keyword
rule.id	在代理、观察者或其他实体使用该规则来检测此事件的范围内唯一的规则 ID。	keyword
rule.license	用于生成此事件的规则的许可名称。	keyword
rule.name	生成此事件的规则或签名的名称。	keyword
rule.reference	指向有关用于生成此事件的规则的附加信息的参考 URL。该 URL 可以指向供应商有关该规则的文档。如果该文档不可用，则也可以是指向描述此类警报的更通用页面的链接。	keyword
rule.ruleset	用于生成此事件的规则所属的规则集、策略、组或父类别的名称。	keyword
rule.uuid	在代理、观察者或其他实体使用该规则来检测此事件的集合或组的范围内唯一的规则 ID。	keyword
rule.version	用于分析的规则的版本/修订版。	keyword
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
source.ip	源的 IP 地址（IPv4 或 IPv6）。	IP
threat.enrichments	一个关联的指示器对象列表，用于丰富事件以及该关联/丰富操作的上下文。	nested
threat.enrichments.indicator	包含用于丰富事件的关联指示器的对象。	object
threat.enrichments.indicator.file.Ext	所有自定义定义字段所在的对象的类型。	object
threat.enrichments.indicator.file.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
threat.enrichments.indicator.file.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
threat.enrichments.indicator.file.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
threat.enrichments.indicator.file.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
threat.enrichments.indicator.file.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
threat.enrichments.indicator.file.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
threat.enrichments.indicator.file.Ext.device.bus_type	设备的总线类型，例如 Nvme、Usb、FileBackedVirtual 等。	keyword
threat.enrichments.indicator.file.Ext.device.dos_name	设备的 DOS 名称。DOS 设备名称的格式为驱动器盘符，例如 C:、D: 等。	keyword
threat.enrichments.indicator.file.Ext.device.file_system_type	卷设备文件系统类型。以下是常见的卷设备文件系统类型的示例：NTFS UDF	keyword
threat.enrichments.indicator.file.Ext.device.nt_name	设备的 NT 名称。NT 设备名称的格式为：\Device\HarddiskVolume2	keyword
threat.enrichments.indicator.file.Ext.device.product_id	设备的 ProductID。如果有，则由设备的供应商提供。	keyword
threat.enrichments.indicator.file.Ext.device.serial_number	设备的序列号。如果有，则由设备的供应商提供。	keyword
threat.enrichments.indicator.file.Ext.device.vendor_id	设备的 VendorID。由设备的供应商提供。	keyword
threat.enrichments.indicator.file.Ext.device.volume_device_type	卷设备类型。以下是常见的卷设备类型的示例：磁盘文件系统 CD-ROM 文件系统	keyword
threat.enrichments.indicator.file.Ext.entropy	用于检查文件完整性的文件头和文件尾的熵计算。	double
threat.enrichments.indicator.file.Ext.entry_modified	上次状态更改的时间。请参阅 `struct stat` 的 `st_ctim` 成员。	double
threat.enrichments.indicator.file.Ext.header_bytes	用于检查文件完整性的文件的前 16 个字节。	keyword
threat.enrichments.indicator.file.Ext.header_data	用于检查文件完整性的文件的前 16 个字节。	text
threat.enrichments.indicator.file.Ext.malware_classification.features.data.buffer	从此文件中提取并由模型评估的功能。通常是浮点数数组。很可能使用 zlib 编码。	keyword
threat.enrichments.indicator.file.Ext.malware_classification.features.data.decompressed_size	缓冲区的解压大小。	整数
threat.enrichments.indicator.file.Ext.malware_classification.features.data.encoding	缓冲区的编码方式（例如，zlib）。	keyword
threat.enrichments.indicator.file.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
threat.enrichments.indicator.file.Ext.malware_classification.score	分类模型生成的分数。	double
threat.enrichments.indicator.file.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
threat.enrichments.indicator.file.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
threat.enrichments.indicator.file.Ext.malware_classification.version	所用模型的版本。	keyword
threat.enrichments.indicator.file.Ext.malware_signature	malware_signature 字段集的嵌套版本。	nested
threat.enrichments.indicator.file.Ext.malware_signature.all_names	所有 yara 签名的串联名称。	text
threat.enrichments.indicator.file.Ext.malware_signature.identifier	恶意软件工件标识符。	text
threat.enrichments.indicator.file.Ext.malware_signature.primary	主要恶意软件签名匹配。	nested
threat.enrichments.indicator.file.Ext.malware_signature.primary.matches	表示 yara 签名匹配的字节数组。	nested
threat.enrichments.indicator.file.Ext.malware_signature.primary.signature	主要恶意软件签名匹配。	nested
threat.enrichments.indicator.file.Ext.malware_signature.primary.signature.hash	主要恶意软件签名哈希。	nested
threat.enrichments.indicator.file.Ext.malware_signature.primary.signature.hash.sha256	主要恶意软件签名 sha256。	keyword
threat.enrichments.indicator.file.Ext.malware_signature.primary.signature.id	主要恶意软件签名 ID。	keyword
threat.enrichments.indicator.file.Ext.malware_signature.primary.signature.name	主要恶意软件签名名称。	keyword
threat.enrichments.indicator.file.Ext.malware_signature.secondary	一个恶意软件签名匹配数组。	nested
threat.enrichments.indicator.file.Ext.malware_signature.version	主要恶意软件签名版本。	keyword
threat.enrichments.indicator.file.Ext.monotonic_id	文件事件单调 ID。	unsigned_long
threat.enrichments.indicator.file.Ext.original	修改事件期间的原始文件信息。	object
threat.enrichments.indicator.file.Ext.original.gid	文件的主组 ID (GID)。	keyword
threat.enrichments.indicator.file.Ext.original.group	文件的主组名称。	keyword
threat.enrichments.indicator.file.Ext.original.mode	修改事件之前的原始文件模式	keyword
threat.enrichments.indicator.file.Ext.original.name	修改事件之前的原始文件名	keyword
threat.enrichments.indicator.file.Ext.original.owner	文件所有者的用户名。	keyword
threat.enrichments.indicator.file.Ext.original.path	修改事件之前的原始文件路径	keyword
threat.enrichments.indicator.file.Ext.original.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
threat.enrichments.indicator.file.Ext.quarantine_message	描述隔离结果的消息。	keyword
threat.enrichments.indicator.file.Ext.quarantine_path	隔离文件最初所在的端点上的路径。	keyword
threat.enrichments.indicator.file.Ext.quarantine_result	表示文件隔离是否成功的布尔值。	boolean
threat.enrichments.indicator.file.Ext.temp_file_path	端点上存储文件副本的路径。用于使临时文件可检索。	keyword
threat.enrichments.indicator.file.Ext.windows	特定于平台的 Windows 字段	object
threat.enrichments.indicator.file.Ext.windows.zone_identifier	文件的 Windows 区域标识符	keyword
threat.enrichments.indicator.file.accessed	上次访问文件的时间。请注意，并非所有文件系统都跟踪访问时间。	date
threat.enrichments.indicator.file.attributes	文件属性数组。属性名称将因平台而异。以下是此字段中预期的非详尽的值列表：archive、compressed、directory、encrypted、execute、hidden、read、readonly、system、write。	keyword
threat.enrichments.indicator.file.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
threat.enrichments.indicator.file.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
threat.enrichments.indicator.file.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
threat.enrichments.indicator.file.code_signature.subject_name	代码签名者的主题名称	keyword
threat.enrichments.indicator.file.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
threat.enrichments.indicator.file.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
threat.enrichments.indicator.file.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
threat.enrichments.indicator.file.created	文件创建时间。请注意，并非所有文件系统都存储创建时间。	date
threat.enrichments.indicator.file.ctime	上次更改文件属性或元数据的时间。请注意，对文件内容的更改将更新 `mtime`。这意味着 `ctime` 将同时进行调整，因为 `mtime` 是文件的属性。	date
threat.enrichments.indicator.file.device	作为文件来源的设备。	keyword
threat.enrichments.indicator.file.directory	文件所在的目录。它应包括驱动器号（如果适用）。	keyword
threat.enrichments.indicator.file.drive_letter	文件所在的驱动器号。此字段仅在 Windows 上相关。该值应为大写，并且不包括冒号。	keyword
threat.enrichments.indicator.file.elf.architecture	ELF 文件的机器架构。	keyword
threat.enrichments.indicator.file.elf.byte_order	ELF 文件的字节序列。	keyword
threat.enrichments.indicator.file.elf.cpu_type	ELF 文件的 CPU 类型。	keyword
threat.enrichments.indicator.file.elf.creation_date	尽可能从文件的元数据中提取。指示其构建或编译时间。恶意软件创建者也可以伪造此信息。	date
threat.enrichments.indicator.file.elf.exports	导出的元素名称和类型列表。	已展平
threat.enrichments.indicator.file.elf.go_import_hash	ELF 文件中 Go 语言导入的哈希，不包括标准库导入。即使在重新编译或其他代码级转换发生后，导入哈希也可用于对二进制文件进行指纹识别，这会更改更传统的哈希值。用于计算 Go 符号哈希的算法和参考实现可在此处找到：此处。	keyword
threat.enrichments.indicator.file.elf.go_imports	导入的 Go 语言元素名称和类型列表。	已展平
threat.enrichments.indicator.file.elf.go_imports_names_entropy	从 Go 导入列表计算的香农熵。	long
threat.enrichments.indicator.file.elf.go_imports_names_var_entropy	从 Go 导入列表计算的香农熵的方差。	long
threat.enrichments.indicator.file.elf.go_stripped	如果文件是已剥离或混淆其符号的 Go 可执行文件，则设置为 true；如果是未混淆的 Go 可执行文件，则设置为 false。	boolean
threat.enrichments.indicator.file.elf.header.abi_version	ELF 应用程序二进制接口 (ABI) 的版本。	keyword
threat.enrichments.indicator.file.elf.header.class	ELF 文件的标头类。	keyword
threat.enrichments.indicator.file.elf.header.data	ELF 标头的数据表。	keyword
threat.enrichments.indicator.file.elf.header.entrypoint	ELF 文件的标头入口点。	long
threat.enrichments.indicator.file.elf.header.object_version	原始 ELF 文件的“0x1”。	keyword
threat.enrichments.indicator.file.elf.header.os_abi	Linux OS 的应用程序二进制接口 (ABI)。	keyword
threat.enrichments.indicator.file.elf.header.type	ELF 文件的标头类型。	keyword
threat.enrichments.indicator.file.elf.header.version	ELF 标头的版本。	keyword
threat.enrichments.indicator.file.elf.import_hash	ELF 文件中导入的哈希。即使在重新编译或其他代码级转换发生后，导入哈希也可用于对二进制文件进行指纹识别，这会更改更传统的哈希值。这是 Windows PE imphash 的 ELF 实现。	keyword
threat.enrichments.indicator.file.elf.imports	导入的元素名称和类型列表。	已展平
threat.enrichments.indicator.file.elf.imports_names_entropy	从导入的元素名称和类型列表计算的香农熵。	long
threat.enrichments.indicator.file.elf.imports_names_var_entropy	从导入的元素名称和类型列表计算的香农熵的方差。	long
threat.enrichments.indicator.file.elf.sections	一个数组，其中包含 ELF 文件的每个节的对象。这些对象中应存在的键由 `elf.sections.*` 下的子字段定义。	nested
threat.enrichments.indicator.file.elf.sections.chi2	该节的卡方概率分布。	long
threat.enrichments.indicator.file.elf.sections.entropy	从该节计算的香农熵。	long
threat.enrichments.indicator.file.elf.sections.flags	ELF 节列表标志。	keyword
threat.enrichments.indicator.file.elf.sections.name	ELF 节列表名称。	keyword
threat.enrichments.indicator.file.elf.sections.physical_offset	ELF 节列表偏移量。	keyword
threat.enrichments.indicator.file.elf.sections.physical_size	ELF 节列表物理大小。	long
threat.enrichments.indicator.file.elf.sections.type	ELF 节列表类型。	keyword
threat.enrichments.indicator.file.elf.sections.var_entropy	从该节计算的香农熵的方差。	long
threat.enrichments.indicator.file.elf.sections.virtual_address	ELF 节列表虚拟地址。	long
threat.enrichments.indicator.file.elf.sections.virtual_size	ELF 节列表虚拟大小。	long
threat.enrichments.indicator.file.elf.segments	一个数组，其中包含 ELF 文件的每个段的对象。这些对象中应存在的键由 `elf.segments.*` 下的子字段定义。	nested
threat.enrichments.indicator.file.elf.segments.sections	ELF 对象段节。	keyword
threat.enrichments.indicator.file.elf.segments.type	ELF 对象段类型。	keyword
threat.enrichments.indicator.file.elf.shared_libraries	此 ELF 对象使用的共享库列表。	keyword
threat.enrichments.indicator.file.elf.telfhash	ELF 文件的 telfhash 符号哈希。	keyword
threat.enrichments.indicator.file.extension	文件扩展名，不包括前导点。请注意，当文件名有多个扩展名（例如 example.tar.gz）时，应仅捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
threat.enrichments.indicator.file.gid	文件的主组 ID (GID)。	keyword
threat.enrichments.indicator.file.group	文件的主组名称。	keyword
threat.enrichments.indicator.file.hash.md5	MD5 哈希值。	keyword
threat.enrichments.indicator.file.hash.sha1	SHA1 哈希值。	keyword
threat.enrichments.indicator.file.hash.sha256	SHA256 哈希值。	keyword
threat.enrichments.indicator.file.hash.sha512	SHA512 哈希值。	keyword
threat.enrichments.indicator.file.hash.ssdeep	SSDEEP 哈希。	keyword
threat.enrichments.indicator.file.inode	表示文件系统中文件的 Inode。	keyword
threat.enrichments.indicator.file.mime_type	MIME 类型应使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型（如果可能）来标识文件或字节流的格式。当有多个类型适用时，应使用最具体的类型。	keyword
threat.enrichments.indicator.file.mode	文件的八进制表示模式。	keyword
threat.enrichments.indicator.file.mtime	上次修改文件内容的时间。	date
threat.enrichments.indicator.file.name	文件名，包括扩展名，但不包括目录。	keyword
threat.enrichments.indicator.file.owner	文件所有者的用户名。	keyword
threat.enrichments.indicator.file.path	文件的完整路径，包括文件名。如果适用，应包括驱动器盘符。	keyword
threat.enrichments.indicator.file.pe.architecture	文件的 CPU 架构目标。	keyword
threat.enrichments.indicator.file.pe.company	在编译时提供的文件的内部公司名称。	keyword
threat.enrichments.indicator.file.pe.description	在编译时提供的文件的内部描述。	keyword
threat.enrichments.indicator.file.pe.file_version	在编译时提供的文件的内部版本号。	keyword
threat.enrichments.indicator.file.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
threat.enrichments.indicator.file.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
threat.enrichments.indicator.file.pe.product	在编译时提供的文件的内部产品名称。	keyword
threat.enrichments.indicator.file.size	文件大小（以字节为单位）。仅当 `file.type` 为“file”时才相关。	long
threat.enrichments.indicator.file.target_path	符号链接的目标路径。	keyword
threat.enrichments.indicator.file.type	文件类型（文件、目录或符号链接）。	keyword
threat.enrichments.indicator.file.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
threat.enrichments.indicator.first_seen	情报源首次报告发现此指示器时的日期和时间。	date
threat.enrichments.indicator.geo.city_name	城市名称。	keyword
threat.enrichments.indicator.geo.continent_code	表示洲名称的两个字母代码。	keyword
threat.enrichments.indicator.geo.continent_name	洲的名称。	keyword
threat.enrichments.indicator.geo.country_iso_code	国家 ISO 代码。	keyword
threat.enrichments.indicator.geo.country_name	国家名称。	keyword
threat.enrichments.indicator.geo.location	经度和纬度。	地理点
threat.enrichments.indicator.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
threat.enrichments.indicator.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
threat.enrichments.indicator.geo.region_iso_code	区域 ISO 代码。	keyword
threat.enrichments.indicator.geo.region_name	区域名称。	keyword
threat.enrichments.indicator.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
threat.enrichments.indicator.ip	将威胁指示器识别为 IP 地址（与方向无关）。	IP
threat.enrichments.indicator.last_seen	情报源上次报告发现此指示器的日期和时间。	date
threat.enrichments.indicator.marking.tlp	流量灯协议共享标记。	keyword
threat.enrichments.indicator.modified_at	情报源上次修改此指示器信息的日期和时间。	date
threat.enrichments.indicator.port	将威胁指示器识别为端口号（与方向无关）。	long
threat.enrichments.indicator.provider	指示器提供者的名称。	keyword
threat.enrichments.indicator.reference	指向有关此指示器的其他信息的参考 URL。	keyword
threat.enrichments.indicator.registry.data.bytes	以 base64 编码写入的原始字节。对于 Windows 注册表操作，例如 SetValueEx 和 RegQueryValueEx，这对应于 `lp_data` 指向的数据。这是可选的，但可以提供更好的可恢复性，并且应该为 REG_BINARY 编码的值填充。	keyword
threat.enrichments.indicator.registry.data.strings	写入字符串类型时的内容。当将字符串数据写入注册表时，会填充为数组。对于单个字符串注册表类型（REG_SZ、REG_EXPAND_SZ），这应该是一个包含一个字符串的数组。对于带有 REG_MULTI_SZ 的字符串序列，此数组的长度将是可变的。对于数值数据，例如 REG_DWORD 和 REG_QWORD，这应该填充十进制表示（例如 `"1"`）。	通配符
threat.enrichments.indicator.registry.data.type	用于编码内容的标准注册表类型	keyword
threat.enrichments.indicator.registry.hive	注册表配置单元的缩写名称。	keyword
threat.enrichments.indicator.registry.key	键的相对于配置单元的路径。	keyword
threat.enrichments.indicator.registry.path	完整路径，包括配置单元、键和值	keyword
threat.enrichments.indicator.registry.value	写入的值的名称。	keyword
threat.enrichments.indicator.scanner_stats	成功检测到恶意文件或 URL 的 AV/EDR 供应商的计数。	long
threat.enrichments.indicator.sightings	此指示器被观察到进行威胁活动的次数。	long
threat.enrichments.indicator.type	由 STIX 2.0 中的网络可观测对象表示的指示器类型。	keyword
threat.enrichments.indicator.url.domain	URL 的域，例如“https://elastic.ac.cn[www.elastic.co]”。在某些情况下，URL 可能直接引用 IP 和/或端口，而没有域名。在这种情况下，IP 地址将转到 `domain` 字段。如果 URL 包含用 `[` 和 `]` (IETF RFC 2732) 括起来的文字 IPv6 地址，则 `[` 和 `]` 字符也应捕获在 `domain` 字段中。	keyword
threat.enrichments.indicator.url.extension	该字段包含来自原始请求 URL 的文件扩展名，不包括前导点。仅当文件扩展名存在时才设置文件扩展名，因为并非每个 URL 都有文件扩展名。不得包含前导句点。例如，该值必须是“png”，而不是“.png”。请注意，当文件名具有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
threat.enrichments.indicator.url.fragment	URL 中 `#` 之后的部分，例如“top”。 `#` 不是片段的一部分。	keyword
threat.enrichments.indicator.url.full	如果完整 URL 对您的用例很重要，则应将其存储在 `url.full` 中，无论此字段是重建的还是在事件源中存在的。	通配符
threat.enrichments.indicator.url.original	在事件源中看到的未经修改的原始 URL。请注意，在网络监控中，观察到的 URL 可能是完整 URL，而在访问日志中，URL 通常仅表示为路径。此字段旨在表示观察到的 URL，无论是否完整。	通配符
threat.enrichments.indicator.url.password	请求的密码。	keyword
threat.enrichments.indicator.url.path	请求的路径，例如“/search”。	通配符
threat.enrichments.indicator.url.port	请求的端口，例如 443。	long
threat.enrichments.indicator.url.query	query 字段描述请求的查询字符串，例如“q=elasticsearch”。 `?` 从查询字符串中排除。如果 URL 不包含 `?`，则不存在 query 字段。如果存在 `?` 但没有查询，则 query 字段存在，并且为空字符串。 `exists` 查询可用于区分这两种情况。	keyword
threat.enrichments.indicator.url.registered_domain	最高的已注册 URL 域，已剥离子域。例如，“foo.example.com”的已注册域是“example.com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后两个标签来近似此值对于诸如“co.uk”之类的 TLD 将无法很好地工作。	keyword
threat.enrichments.indicator.url.scheme	请求的方案，例如“https”。注意：`:` 不是方案的一部分。	keyword
threat.enrichments.indicator.url.subdomain	完全限定域名中的子域部分包括已注册域下除主机名之外的所有名称。在部分限定域中，或者如果无法确定完整名称的限定级别，则子域包含已注册域下的所有名称。例如，“http://www.east.mydomain.co.uk[www.east.mydomain.co.uk]”的子域部分是“east”。如果域具有多个级别的子域，例如“sub2.sub1.example.com”，则子域字段应包含“sub2.sub1”，并且不包含尾随句点。	keyword
threat.enrichments.indicator.url.top_level_domain	有效的顶级域 (eTLD)，也称为域后缀，是域名中的最后一部分。例如，example.com 的顶级域是“com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后一个标签来近似此值对于诸如“co.uk”之类的有效 TLD 将无法很好地工作。	keyword
threat.enrichments.indicator.url.username	请求的用户名。	keyword
threat.enrichments.indicator.x509.alternative_names	主体备用名称 (SAN) 的列表。名称类型因证书颁发机构和证书类型而异，但通常包含 IP 地址、DNS 名称（和通配符）和电子邮件地址。	keyword
threat.enrichments.indicator.x509.issuer.common_name	颁发证书机构的通用名称 (CN) 列表。	keyword
threat.enrichments.indicator.x509.issuer.country	国家/地区 (C) 代码列表	keyword
threat.enrichments.indicator.x509.issuer.distinguished_name	颁发证书机构的专有名称 (DN)。	keyword
threat.enrichments.indicator.x509.issuer.locality	地名 (L) 的列表	keyword
threat.enrichments.indicator.x509.issuer.organization	颁发证书机构的组织 (O) 列表。	keyword
threat.enrichments.indicator.x509.issuer.organizational_unit	颁发证书机构的组织单位 (OU) 列表。	keyword
threat.enrichments.indicator.x509.issuer.state_or_province	州或省名称 (ST、S 或 P) 的列表	keyword
threat.enrichments.indicator.x509.not_after	证书不再被视为有效的时间。	date
threat.enrichments.indicator.x509.not_before	首次将证书视为有效的时间。	date
threat.enrichments.indicator.x509.public_key_algorithm	用于生成公钥的算法。	keyword
threat.enrichments.indicator.x509.public_key_curve	椭圆曲线公钥算法使用的曲线。这是特定于算法的。	keyword
threat.enrichments.indicator.x509.public_key_exponent	用于推导公钥的指数。这是特定于算法的。	long
threat.enrichments.indicator.x509.public_key_size	公钥空间的大小（以位为单位）。	long
threat.enrichments.indicator.x509.serial_number	证书颁发机构颁发的唯一序列号。为了保持一致性，如果此值为字母数字，则应以不带冒号且大写字符的格式进行格式化。	keyword
threat.enrichments.indicator.x509.signature_algorithm	证书签名算法的标识符。我们建议使用在 Go Lang 加密库中找到的名称。请参阅 https://github.com/golang/go/blob/go1.14/src/crypto/x509/x509.go#L337-L353。	keyword
threat.enrichments.indicator.x509.subject.common_name	主体的通用名称 (CN) 列表。	keyword
threat.enrichments.indicator.x509.subject.country	国家/地区 (C) 代码列表	keyword
threat.enrichments.indicator.x509.subject.distinguished_name	证书主体实体的专有名称 (DN)。	keyword
threat.enrichments.indicator.x509.subject.locality	地名 (L) 的列表	keyword
threat.enrichments.indicator.x509.subject.organization	主体的组织 (O) 列表。	keyword
threat.enrichments.indicator.x509.subject.organizational_unit	主体的组织单位 (OU) 列表。	keyword
threat.enrichments.indicator.x509.subject.state_or_province	州或省名称 (ST、S 或 P) 的列表	keyword
threat.enrichments.indicator.x509.version_number	x509 格式的版本。	keyword
threat.enrichments.matched.atomic	标识与本地环境端点或网络事件匹配的原子指示器值。	keyword
threat.enrichments.matched.field	标识与本地环境端点或网络事件匹配的原子指示器的字段。	keyword
threat.enrichments.matched.id	标识用于丰富事件的指示器文档的 _id。	keyword
threat.enrichments.matched.index	标识用于丰富事件的指示器文档的 _index。	keyword
threat.enrichments.matched.type	标识导致事件使用给定指示器进行丰富的匹配类型	keyword
threat.framework	用于进一步分类和归类报告的威胁的策略和技术的威胁框架的名称。框架分类可以由检测系统提供，在摄取时进行评估，或追溯标记到事件。	keyword
threat.group.alias	安全社区中以通用名称跟踪的一组相关入侵活动的组的别名。虽然不是必需的，但您可以使用 MITRE ATT&CK® 组别名。	keyword
threat.group.id	安全社区中以通用名称跟踪的一组相关入侵活动的组的 ID。虽然不是必需的，但您可以使用 MITRE ATT&CK® 组 ID。	keyword
threat.group.name	安全社区中以通用名称跟踪的一组相关入侵活动的组的名称。虽然不是必需的，但您可以使用 MITRE ATT&CK® 组名称。	keyword
threat.group.reference	安全社区中以通用名称跟踪的一组相关入侵活动的组的参考 URL。虽然不是必需的，但您可以使用 MITRE ATT&CK® 组参考 URL。	keyword
threat.indicator.as.number	分配给自治系统的唯一编号。自治系统号 (ASN) 唯一标识 Internet 上的每个网络。	long
threat.indicator.as.organization.name	组织名称。	keyword
threat.indicator.confidence	使用 STIX 2.1 框架附录 A 中定义的无/低/中/高比例来标识供应商中立的置信度评级。供应商特定的置信度比例可以添加为自定义字段。	keyword
threat.indicator.description	描述威胁执行的操作类型。	keyword
threat.indicator.email.address	将威胁指示器识别为电子邮件地址（与方向无关）。	keyword
threat.indicator.file.Ext	所有自定义定义字段所在的对象的类型。	object
threat.indicator.file.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
threat.indicator.file.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
threat.indicator.file.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
threat.indicator.file.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
threat.indicator.file.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
threat.indicator.file.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
threat.indicator.file.Ext.device.bus_type	设备的总线类型，例如 Nvme、Usb、FileBackedVirtual 等。	keyword
threat.indicator.file.Ext.device.dos_name	设备的 DOS 名称。DOS 设备名称的格式为驱动器盘符，例如 C:、D: 等。	keyword
threat.indicator.file.Ext.device.file_system_type	卷设备文件系统类型。以下是常见的卷设备文件系统类型的示例：NTFS UDF	keyword
threat.indicator.file.Ext.device.nt_name	设备的 NT 名称。NT 设备名称的格式为：\Device\HarddiskVolume2	keyword
threat.indicator.file.Ext.device.product_id	设备的 ProductID。如果有，则由设备的供应商提供。	keyword
threat.indicator.file.Ext.device.serial_number	设备的序列号。如果有，则由设备的供应商提供。	keyword
threat.indicator.file.Ext.device.vendor_id	设备的 VendorID。由设备的供应商提供。	keyword
threat.indicator.file.Ext.device.volume_device_type	卷设备类型。以下是常见的卷设备类型的示例：磁盘文件系统 CD-ROM 文件系统	keyword
threat.indicator.file.Ext.entropy	用于检查文件完整性的文件头和文件尾的熵计算。	double
threat.indicator.file.Ext.entry_modified	上次状态更改的时间。请参阅 `struct stat` 的 `st_ctim` 成员。	double
threat.indicator.file.Ext.header_bytes	用于检查文件完整性的文件的前 16 个字节。	keyword
threat.indicator.file.Ext.header_data	用于检查文件完整性的文件的前 16 个字节。	text
threat.indicator.file.Ext.malware_classification.features.data.buffer	从此文件中提取并由模型评估的功能。通常是浮点数数组。很可能使用 zlib 编码。	keyword
threat.indicator.file.Ext.malware_classification.features.data.decompressed_size	缓冲区的解压大小。	整数
threat.indicator.file.Ext.malware_classification.features.data.encoding	缓冲区的编码方式（例如，zlib）。	keyword
threat.indicator.file.Ext.malware_classification.identifier	模型的唯一标识符。	keyword
threat.indicator.file.Ext.malware_classification.score	分类模型生成的分数。	double
threat.indicator.file.Ext.malware_classification.threshold	模型的分数阈值。分数高于此阈值的文件被认为是恶意的。	double
threat.indicator.file.Ext.malware_classification.upx_packed	是否检测到 UPX 打包。	boolean
threat.indicator.file.Ext.malware_classification.version	所用模型的版本。	keyword
threat.indicator.file.Ext.malware_signature	malware_signature 字段集的嵌套版本。	nested
threat.indicator.file.Ext.malware_signature.all_names	所有 yara 签名的串联名称。	text
threat.indicator.file.Ext.malware_signature.identifier	恶意软件工件标识符。	text
threat.indicator.file.Ext.malware_signature.primary	主要恶意软件签名匹配。	nested
threat.indicator.file.Ext.malware_signature.primary.matches	表示 yara 签名匹配的字节数组。	nested
threat.indicator.file.Ext.malware_signature.primary.signature	主要恶意软件签名匹配。	nested
threat.indicator.file.Ext.malware_signature.primary.signature.hash	主要恶意软件签名哈希。	nested
threat.indicator.file.Ext.malware_signature.primary.signature.hash.sha256	主要恶意软件签名 sha256。	keyword
threat.indicator.file.Ext.malware_signature.primary.signature.id	主要恶意软件签名 ID。	keyword
threat.indicator.file.Ext.malware_signature.primary.signature.name	主要恶意软件签名名称。	keyword
threat.indicator.file.Ext.malware_signature.secondary	一个恶意软件签名匹配数组。	nested
threat.indicator.file.Ext.malware_signature.version	主要恶意软件签名版本。	keyword
threat.indicator.file.Ext.monotonic_id	文件事件单调 ID。	unsigned_long
threat.indicator.file.Ext.original	修改事件期间的原始文件信息。	object
threat.indicator.file.Ext.original.gid	文件的主组 ID (GID)。	keyword
threat.indicator.file.Ext.original.group	文件的主组名称。	keyword
threat.indicator.file.Ext.original.mode	修改事件之前的原始文件模式	keyword
threat.indicator.file.Ext.original.name	修改事件之前的原始文件名	keyword
threat.indicator.file.Ext.original.owner	文件所有者的用户名。	keyword
threat.indicator.file.Ext.original.path	修改事件之前的原始文件路径	keyword
threat.indicator.file.Ext.original.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
threat.indicator.file.Ext.quarantine_message	描述隔离结果的消息。	keyword
threat.indicator.file.Ext.quarantine_path	隔离文件最初所在的端点上的路径。	keyword
threat.indicator.file.Ext.quarantine_result	表示文件隔离是否成功的布尔值。	boolean
threat.indicator.file.Ext.temp_file_path	端点上存储文件副本的路径。用于使临时文件可检索。	keyword
threat.indicator.file.Ext.windows	特定于平台的 Windows 字段	object
threat.indicator.file.Ext.windows.zone_identifier	文件的 Windows 区域标识符	keyword
threat.indicator.file.accessed	上次访问文件的时间。请注意，并非所有文件系统都跟踪访问时间。	date
threat.indicator.file.attributes	文件属性数组。属性名称将因平台而异。以下是此字段中预期的非详尽的值列表：archive、compressed、directory、encrypted、execute、hidden、read、readonly、system、write。	keyword
threat.indicator.file.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
threat.indicator.file.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
threat.indicator.file.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
threat.indicator.file.code_signature.subject_name	代码签名者的主题名称	keyword
threat.indicator.file.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
threat.indicator.file.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
threat.indicator.file.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
threat.indicator.file.created	文件创建时间。请注意，并非所有文件系统都存储创建时间。	date
threat.indicator.file.ctime	上次更改文件属性或元数据的时间。请注意，对文件内容的更改将更新 `mtime`。这意味着 `ctime` 将同时进行调整，因为 `mtime` 是文件的属性。	date
threat.indicator.file.device	作为文件来源的设备。	keyword
threat.indicator.file.directory	文件所在的目录。它应包括驱动器号（如果适用）。	keyword
threat.indicator.file.drive_letter	文件所在的驱动器号。此字段仅在 Windows 上相关。该值应为大写，并且不包括冒号。	keyword
threat.indicator.file.elf.architecture	ELF 文件的机器架构。	keyword
threat.indicator.file.elf.byte_order	ELF 文件的字节序列。	keyword
threat.indicator.file.elf.cpu_type	ELF 文件的 CPU 类型。	keyword
threat.indicator.file.elf.creation_date	尽可能从文件的元数据中提取。指示其构建或编译时间。恶意软件创建者也可以伪造此信息。	date
threat.indicator.file.elf.exports	导出的元素名称和类型列表。	已展平
threat.indicator.file.elf.go_import_hash	ELF 文件中 Go 语言导入的哈希，不包括标准库导入。即使在重新编译或其他代码级转换发生后，导入哈希也可用于对二进制文件进行指纹识别，这会更改更传统的哈希值。用于计算 Go 符号哈希的算法和参考实现可在此处找到：此处。	keyword
threat.indicator.file.elf.go_imports	导入的 Go 语言元素名称和类型列表。	已展平
threat.indicator.file.elf.go_imports_names_entropy	从 Go 导入列表计算的香农熵。	long
threat.indicator.file.elf.go_imports_names_var_entropy	从 Go 导入列表计算的香农熵的方差。	long
threat.indicator.file.elf.go_stripped	如果文件是已剥离或混淆其符号的 Go 可执行文件，则设置为 true；如果是未混淆的 Go 可执行文件，则设置为 false。	boolean
threat.indicator.file.elf.header.abi_version	ELF 应用程序二进制接口 (ABI) 的版本。	keyword
threat.indicator.file.elf.header.class	ELF 文件的标头类。	keyword
threat.indicator.file.elf.header.data	ELF 标头的数据表。	keyword
threat.indicator.file.elf.header.entrypoint	ELF 文件的标头入口点。	long
threat.indicator.file.elf.header.object_version	原始 ELF 文件的“0x1”。	keyword
threat.indicator.file.elf.header.os_abi	Linux OS 的应用程序二进制接口 (ABI)。	keyword
threat.indicator.file.elf.header.type	ELF 文件的标头类型。	keyword
threat.indicator.file.elf.header.version	ELF 标头的版本。	keyword
threat.indicator.file.elf.import_hash	ELF 文件中导入的哈希。即使在重新编译或其他代码级转换发生后，导入哈希也可用于对二进制文件进行指纹识别，这会更改更传统的哈希值。这是 Windows PE imphash 的 ELF 实现。	keyword
threat.indicator.file.elf.imports	导入的元素名称和类型列表。	已展平
threat.indicator.file.elf.imports_names_entropy	从导入的元素名称和类型列表计算的香农熵。	long
threat.indicator.file.elf.imports_names_var_entropy	从导入的元素名称和类型列表计算的香农熵的方差。	long
threat.indicator.file.elf.sections	一个数组，其中包含 ELF 文件的每个节的对象。这些对象中应存在的键由 `elf.sections.*` 下的子字段定义。	nested
threat.indicator.file.elf.sections.chi2	该节的卡方概率分布。	long
threat.indicator.file.elf.sections.entropy	从该节计算的香农熵。	long
threat.indicator.file.elf.sections.flags	ELF 节列表标志。	keyword
threat.indicator.file.elf.sections.name	ELF 节列表名称。	keyword
threat.indicator.file.elf.sections.physical_offset	ELF 节列表偏移量。	keyword
threat.indicator.file.elf.sections.physical_size	ELF 节列表物理大小。	long
threat.indicator.file.elf.sections.type	ELF 节列表类型。	keyword
threat.indicator.file.elf.sections.var_entropy	从该节计算的香农熵的方差。	long
threat.indicator.file.elf.sections.virtual_address	ELF 节列表虚拟地址。	long
threat.indicator.file.elf.sections.virtual_size	ELF 节列表虚拟大小。	long
threat.indicator.file.elf.segments	一个数组，其中包含 ELF 文件的每个段的对象。这些对象中应存在的键由 `elf.segments.*` 下的子字段定义。	nested
threat.indicator.file.elf.segments.sections	ELF 对象段节。	keyword
threat.indicator.file.elf.segments.type	ELF 对象段类型。	keyword
threat.indicator.file.elf.shared_libraries	此 ELF 对象使用的共享库列表。	keyword
threat.indicator.file.elf.telfhash	ELF 文件的 telfhash 符号哈希。	keyword
threat.indicator.file.extension	文件扩展名，不包括前导点。请注意，当文件名有多个扩展名（例如 example.tar.gz）时，应仅捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
threat.indicator.file.gid	文件的主组 ID (GID)。	keyword
threat.indicator.file.group	文件的主组名称。	keyword
threat.indicator.file.hash.md5	MD5 哈希值。	keyword
threat.indicator.file.hash.sha1	SHA1 哈希值。	keyword
threat.indicator.file.hash.sha256	SHA256 哈希值。	keyword
threat.indicator.file.hash.sha512	SHA512 哈希值。	keyword
threat.indicator.file.hash.ssdeep	SSDEEP 哈希。	keyword
threat.indicator.file.inode	表示文件系统中文件的 Inode。	keyword
threat.indicator.file.mime_type	MIME 类型应使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型（如果可能）来标识文件或字节流的格式。当有多个类型适用时，应使用最具体的类型。	keyword
threat.indicator.file.mode	文件的八进制表示模式。	keyword
threat.indicator.file.mtime	上次修改文件内容的时间。	date
threat.indicator.file.name	文件名，包括扩展名，但不包括目录。	keyword
threat.indicator.file.owner	文件所有者的用户名。	keyword
threat.indicator.file.path	文件的完整路径，包括文件名。如果适用，应包括驱动器盘符。	keyword
threat.indicator.file.pe.architecture	文件的 CPU 架构目标。	keyword
threat.indicator.file.pe.company	在编译时提供的文件的内部公司名称。	keyword
threat.indicator.file.pe.description	在编译时提供的文件的内部描述。	keyword
threat.indicator.file.pe.file_version	在编译时提供的文件的内部版本号。	keyword
threat.indicator.file.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
threat.indicator.file.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
threat.indicator.file.pe.product	在编译时提供的文件的内部产品名称。	keyword
threat.indicator.file.size	文件大小（以字节为单位）。仅当 `file.type` 为“file”时才相关。	long
threat.indicator.file.target_path	符号链接的目标路径。	keyword
threat.indicator.file.type	文件类型（文件、目录或符号链接）。	keyword
threat.indicator.file.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
threat.indicator.first_seen	情报源首次报告发现此指示器时的日期和时间。	date
threat.indicator.geo.city_name	城市名称。	keyword
threat.indicator.geo.continent_code	表示洲名称的两个字母代码。	keyword
threat.indicator.geo.continent_name	洲的名称。	keyword
threat.indicator.geo.country_iso_code	国家 ISO 代码。	keyword
threat.indicator.geo.country_name	国家名称。	keyword
threat.indicator.geo.location	经度和纬度。	地理点
threat.indicator.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
threat.indicator.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
threat.indicator.geo.region_iso_code	区域 ISO 代码。	keyword
threat.indicator.geo.region_name	区域名称。	keyword
threat.indicator.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
threat.indicator.ip	将威胁指示器识别为 IP 地址（与方向无关）。	IP
threat.indicator.last_seen	情报源上次报告发现此指示器的日期和时间。	date
threat.indicator.marking.tlp	流量灯协议共享标记。	keyword
threat.indicator.modified_at	情报源上次修改此指示器信息的日期和时间。	date
threat.indicator.port	将威胁指示器识别为端口号（与方向无关）。	long
threat.indicator.provider	指示器提供者的名称。	keyword
threat.indicator.reference	指向有关此指示器的其他信息的参考 URL。	keyword
threat.indicator.registry.data.bytes	以 base64 编码写入的原始字节。对于 Windows 注册表操作，例如 SetValueEx 和 RegQueryValueEx，这对应于 `lp_data` 指向的数据。这是可选的，但可以提供更好的可恢复性，并且应该为 REG_BINARY 编码的值填充。	keyword
threat.indicator.registry.data.strings	写入字符串类型时的内容。当将字符串数据写入注册表时，会填充为数组。对于单个字符串注册表类型（REG_SZ、REG_EXPAND_SZ），这应该是一个包含一个字符串的数组。对于带有 REG_MULTI_SZ 的字符串序列，此数组的长度将是可变的。对于数值数据，例如 REG_DWORD 和 REG_QWORD，这应该填充十进制表示（例如 `"1"`）。	通配符
threat.indicator.registry.data.type	用于编码内容的标准注册表类型	keyword
threat.indicator.registry.hive	注册表配置单元的缩写名称。	keyword
threat.indicator.registry.key	键的相对于配置单元的路径。	keyword
threat.indicator.registry.path	完整路径，包括配置单元、键和值	keyword
threat.indicator.registry.value	写入的值的名称。	keyword
threat.indicator.scanner_stats	成功检测到恶意文件或 URL 的 AV/EDR 供应商的计数。	long
threat.indicator.sightings	此指示器被观察到进行威胁活动的次数。	long
threat.indicator.type	由 STIX 2.0 中的网络可观测对象表示的指示器类型。	keyword
threat.indicator.url.domain	URL 的域，例如“https://elastic.ac.cn[www.elastic.co]”。在某些情况下，URL 可能直接引用 IP 和/或端口，而没有域名。在这种情况下，IP 地址将转到 `domain` 字段。如果 URL 包含用 `[` 和 `]` (IETF RFC 2732) 括起来的文字 IPv6 地址，则 `[` 和 `]` 字符也应捕获在 `domain` 字段中。	keyword
threat.indicator.url.extension	该字段包含来自原始请求 URL 的文件扩展名，不包括前导点。仅当文件扩展名存在时才设置文件扩展名，因为并非每个 URL 都有文件扩展名。不得包含前导句点。例如，该值必须是“png”，而不是“.png”。请注意，当文件名具有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
threat.indicator.url.fragment	URL 中 `#` 之后的部分，例如“top”。 `#` 不是片段的一部分。	keyword
threat.indicator.url.full	如果完整 URL 对您的用例很重要，则应将其存储在 `url.full` 中，无论此字段是重建的还是在事件源中存在的。	通配符
threat.indicator.url.original	在事件源中看到的未经修改的原始 URL。请注意，在网络监控中，观察到的 URL 可能是完整 URL，而在访问日志中，URL 通常仅表示为路径。此字段旨在表示观察到的 URL，无论是否完整。	通配符
threat.indicator.url.password	请求的密码。	keyword
threat.indicator.url.path	请求的路径，例如“/search”。	通配符
threat.indicator.url.port	请求的端口，例如 443。	long
threat.indicator.url.query	query 字段描述请求的查询字符串，例如“q=elasticsearch”。 `?` 从查询字符串中排除。如果 URL 不包含 `?`，则不存在 query 字段。如果存在 `?` 但没有查询，则 query 字段存在，并且为空字符串。 `exists` 查询可用于区分这两种情况。	keyword
threat.indicator.url.registered_domain	最高的已注册 URL 域，已剥离子域。例如，“foo.example.com”的已注册域是“example.com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后两个标签来近似此值对于诸如“co.uk”之类的 TLD 将无法很好地工作。	keyword
threat.indicator.url.scheme	请求的方案，例如“https”。注意：`:` 不是方案的一部分。	keyword
threat.indicator.url.subdomain	完全限定域名中的子域部分包括已注册域下除主机名之外的所有名称。在部分限定域中，或者如果无法确定完整名称的限定级别，则子域包含已注册域下的所有名称。例如，“http://www.east.mydomain.co.uk[www.east.mydomain.co.uk]”的子域部分是“east”。如果域具有多个级别的子域，例如“sub2.sub1.example.com”，则子域字段应包含“sub2.sub1”，并且不包含尾随句点。	keyword
threat.indicator.url.top_level_domain	有效的顶级域 (eTLD)，也称为域后缀，是域名中的最后一部分。例如，example.com 的顶级域是“com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后一个标签来近似此值对于诸如“co.uk”之类的有效 TLD 将无法很好地工作。	keyword
threat.indicator.url.username	请求的用户名。	keyword
threat.indicator.x509.alternative_names	主体备用名称 (SAN) 的列表。名称类型因证书颁发机构和证书类型而异，但通常包含 IP 地址、DNS 名称（和通配符）和电子邮件地址。	keyword
threat.indicator.x509.issuer.common_name	颁发证书机构的通用名称 (CN) 列表。	keyword
threat.indicator.x509.issuer.country	国家/地区 (C) 代码列表	keyword
threat.indicator.x509.issuer.distinguished_name	颁发证书机构的专有名称 (DN)。	keyword
threat.indicator.x509.issuer.locality	地名 (L) 的列表	keyword
threat.indicator.x509.issuer.organization	颁发证书机构的组织 (O) 列表。	keyword
threat.indicator.x509.issuer.organizational_unit	颁发证书机构的组织单位 (OU) 列表。	keyword
threat.indicator.x509.issuer.state_or_province	州或省名称 (ST、S 或 P) 的列表	keyword
threat.indicator.x509.not_after	证书不再被视为有效的时间。	date
threat.indicator.x509.not_before	首次将证书视为有效的时间。	date
threat.indicator.x509.public_key_algorithm	用于生成公钥的算法。	keyword
threat.indicator.x509.public_key_curve	椭圆曲线公钥算法使用的曲线。这是特定于算法的。	keyword
threat.indicator.x509.public_key_exponent	用于推导公钥的指数。这是特定于算法的。	long
threat.indicator.x509.public_key_size	公钥空间的大小（以位为单位）。	long
threat.indicator.x509.serial_number	证书颁发机构颁发的唯一序列号。为了保持一致性，如果此值为字母数字，则应以不带冒号且大写字符的格式进行格式化。	keyword
threat.indicator.x509.signature_algorithm	证书签名算法的标识符。我们建议使用在 Go Lang 加密库中找到的名称。请参阅 https://github.com/golang/go/blob/go1.14/src/crypto/x509/x509.go#L337-L353。	keyword
threat.indicator.x509.subject.common_name	主体的通用名称 (CN) 列表。	keyword
threat.indicator.x509.subject.country	国家/地区 (C) 代码列表	keyword
threat.indicator.x509.subject.distinguished_name	证书主体实体的专有名称 (DN)。	keyword
threat.indicator.x509.subject.locality	地名 (L) 的列表	keyword
threat.indicator.x509.subject.organization	主体的组织 (O) 列表。	keyword
threat.indicator.x509.subject.organizational_unit	主体的组织单位 (OU) 列表。	keyword
threat.indicator.x509.subject.state_or_province	州或省名称 (ST、S 或 P) 的列表	keyword
threat.indicator.x509.version_number	x509 格式的版本。	keyword
threat.software.id	此威胁用于执行行为的软件 ID，通常使用 MITRE ATT&CK®建模。虽然不是必需的，但可以使用 MITRE ATT&CK®软件 ID。	keyword
threat.software.name	此威胁用于执行行为的软件名称，通常使用 MITRE ATT&CK®建模。虽然不是必需的，但可以使用 MITRE ATT&CK®软件名称。	keyword
threat.software.platforms	此威胁用于执行行为的软件平台，通常使用 MITRE ATT&CK®建模。虽然不是必需的，但可以使用 MITRE ATT&CK®软件平台值。	keyword
threat.software.reference	此威胁用于执行行为的软件的参考 URL，通常使用 MITRE ATT&CK®建模。虽然不是必需的，但可以使用 MITRE ATT&CK®软件参考 URL。	keyword
threat.software.type	此威胁用于执行行为的软件类型，通常使用 MITRE ATT&CK®建模。虽然不是必需的，但可以使用 MITRE ATT&CK®软件类型。	keyword
threat.tactic.id	此威胁使用的策略 ID。例如，可以使用 MITRE ATT&CK®策略。(例如，https://attack.mitre.org/tactics/TA0002/)	keyword
threat.tactic.name	此威胁使用的策略类型名称。例如，可以使用 MITRE ATT&CK®策略。(例如，https://attack.mitre.org/tactics/TA0002/)	keyword
threat.tactic.reference	此威胁使用的策略的参考 URL。例如，可以使用 MITRE ATT&CK®策略。(例如，https://attack.mitre.org/tactics/TA0002/)	keyword
threat.technique.id	此威胁使用的技术 ID。例如，可以使用 MITRE ATT&CK®技术。(例如，https://attack.mitre.org/techniques/T1059/)	keyword
threat.technique.name	此威胁使用的技术名称。例如，可以使用 MITRE ATT&CK®技术。(例如，https://attack.mitre.org/techniques/T1059/)	keyword
threat.technique.reference	此威胁使用的技术的参考 URL。例如，可以使用 MITRE ATT&CK®技术。(例如，https://attack.mitre.org/techniques/T1059/)	keyword
threat.technique.subtechnique.id	此威胁使用的子技术的完整 ID。例如，可以使用 MITRE ATT&CK®子技术。(例如，https://attack.mitre.org/techniques/T1059/001/)	keyword
threat.technique.subtechnique.name	此威胁使用的子技术的名称。例如，可以使用 MITRE ATT&CK®子技术。(例如，https://attack.mitre.org/techniques/T1059/001/)	keyword
threat.technique.subtechnique.reference	此威胁使用的子技术的参考 URL。例如，可以使用 MITRE ATT&CK®子技术。(例如，https://attack.mitre.org/techniques/T1059/001/)	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

文件

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Effective_process.entity_id	有效进程的唯一标识符。	keyword
Effective_process.executable	有效进程的可执行文件名。	keyword
Effective_process.name	有效进程的进程名称。	keyword
Effective_process.pid	进程 ID。	long
Persistence.args	用于执行持久性项的参数	keyword
Persistence.executable	持久性项的可执行文件	keyword
Persistence.keepalive	保持活动选项布尔值	boolean
Persistence.name	持久性项的名称	keyword
Persistence.path	文件的路径	keyword
Persistence.runatload	在加载时运行选项布尔值	boolean
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
event.Ext	所有自定义定义字段所在的对象的类型。	object
event.Ext.correlation	有关应与之关联的事件的信息。	object
event.Ext.correlation.id	此事件关联的事件 ID，例如，与取消隔离事件关联的隔离事件	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
file.Ext	所有自定义定义字段所在的对象的类型。	object
file.Ext.device.bus_type	设备的总线类型，例如 Nvme、Usb、FileBackedVirtual 等。	keyword
file.Ext.device.dos_name	设备的 DOS 名称。DOS 设备名称的格式为驱动器盘符，例如 C:、D: 等。	keyword
file.Ext.device.file_system_type	卷设备文件系统类型。以下是常见的卷设备文件系统类型的示例：NTFS UDF	keyword
file.Ext.device.nt_name	设备的 NT 名称。NT 设备名称的格式为：\Device\HarddiskVolume2	keyword
file.Ext.device.product_id	设备的 ProductID。如果有，则由设备的供应商提供。	keyword
file.Ext.device.serial_number	设备的序列号。如果有，则由设备的供应商提供。	keyword
file.Ext.device.vendor_id	设备的 VendorID。由设备的供应商提供。	keyword
file.Ext.device.volume_device_type	卷设备类型。以下是常见的卷设备类型的示例：磁盘文件系统 CD-ROM 文件系统	keyword
file.Ext.entropy	用于检查文件完整性的文件头和文件尾的熵计算。	double
file.Ext.header_bytes	用于检查文件完整性的文件的前 16 个字节。	keyword
file.Ext.header_data	用于检查文件完整性的文件的前 16 个字节。	text
file.Ext.malware_signature	malware_signature 字段集的嵌套版本。	nested
file.Ext.malware_signature.all_names	所有 yara 签名的串联名称。	text
file.Ext.malware_signature.identifier	恶意软件工件标识符。	text
file.Ext.malware_signature.primary	主要恶意软件签名匹配。	nested
file.Ext.malware_signature.primary.matches	表示 yara 签名匹配的字节数组。	nested
file.Ext.malware_signature.primary.signature	主要恶意软件签名匹配。	nested
file.Ext.malware_signature.primary.signature.hash	主要恶意软件签名哈希。	nested
file.Ext.malware_signature.primary.signature.hash.sha256	主要恶意软件签名 sha256。	keyword
file.Ext.malware_signature.primary.signature.id	主要恶意软件签名 ID。	keyword
file.Ext.malware_signature.primary.signature.name	主要恶意软件签名名称。	keyword
file.Ext.malware_signature.secondary	一个恶意软件签名匹配数组。	nested
file.Ext.malware_signature.version	主要恶意软件签名版本。	keyword
file.Ext.monotonic_id	文件事件单调 ID。	unsigned_long
file.Ext.original	修改事件期间的原始文件信息。	object
file.Ext.original.extension	修改事件之前的原始文件扩展名	keyword
file.Ext.original.gid	文件的主组 ID (GID)。	keyword
file.Ext.original.group	文件的主组名称。	keyword
file.Ext.original.mode	修改事件之前的原始文件模式	keyword
file.Ext.original.name	修改事件之前的原始文件名	keyword
file.Ext.original.owner	文件所有者的用户名。	keyword
file.Ext.original.path	修改事件之前的原始文件路径	keyword
file.Ext.original.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
file.Ext.windows	特定于平台的 Windows 字段	object
file.Ext.windows.zone_identifier	文件的 Windows 区域标识符	keyword
file.accessed	上次访问文件的时间。请注意，并非所有文件系统都跟踪访问时间。	date
file.attributes	文件属性数组。属性名称将因平台而异。以下是此字段中预期的非详尽的值列表：archive、compressed、directory、encrypted、execute、hidden、read、readonly、system、write。	keyword
file.created	文件创建时间。请注意，并非所有文件系统都存储创建时间。	date
file.ctime	上次更改文件属性或元数据的时间。请注意，对文件内容的更改将更新 `mtime`。这意味着 `ctime` 将同时进行调整，因为 `mtime` 是文件的属性。	date
file.device	作为文件来源的设备。	keyword
file.directory	文件所在的目录。它应包括驱动器号（如果适用）。	keyword
file.drive_letter	文件所在的驱动器号。此字段仅在 Windows 上相关。该值应为大写，并且不包括冒号。	keyword
file.extension	文件扩展名，不包括前导点。请注意，当文件名有多个扩展名（例如 example.tar.gz）时，应仅捕获最后一个扩展名（“gz”，而不是“tar.gz”）。	keyword
file.gid	文件的主组 ID (GID)。	keyword
file.group	文件的主组名称。	keyword
file.hash.md5	MD5 哈希值。	keyword
file.hash.sha1	SHA1 哈希值。	keyword
file.hash.sha256	SHA256 哈希值。	keyword
file.hash.sha512	SHA512 哈希值。	keyword
file.inode	表示文件系统中文件的 Inode。	keyword
file.mime_type	MIME 类型应使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型（如果可能）来标识文件或字节流的格式。当有多个类型适用时，应使用最具体的类型。	keyword
file.mode	文件的八进制表示模式。	keyword
file.mtime	上次修改文件内容的时间。	date
file.name	文件名，包括扩展名，但不包括目录。	keyword
file.origin_referrer_url	链接到该文件的网页的 URL。	keyword
file.origin_url	托管该文件的 URL。	keyword
file.owner	文件所有者的用户名。	keyword
file.path	文件的完整路径，包括文件名。如果适用，应包括驱动器盘符。	keyword
file.pe.company	在编译时提供的文件的内部公司名称。	keyword
file.pe.description	在编译时提供的文件的内部描述。	keyword
file.pe.file_version	在编译时提供的文件的内部版本号。	keyword
file.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
file.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
file.pe.product	在编译时提供的文件的内部产品名称。	keyword
file.size	文件大小（以字节为单位）。仅当 `file.type` 为“file”时才相关。	long
file.target_path	符号链接的目标路径。	keyword
file.type	文件类型（文件、目录或符号链接）。	keyword
file.uid	文件所有者的用户 ID (UID) 或安全标识符 (SID)。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.pid	进程 ID。	long
process.pid	进程 ID。	long
process.ppid	父进程的进程ID。	long
process.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.thread.Ext	所有自定义定义字段所在的对象的类型。	object
process.thread.Ext.call_stack	描述堆栈帧的字段。 call_stack 预计是一个数组，其中每个数组元素代表一个堆栈帧。	object
process.thread.Ext.call_stack.allocation_private_bytes	此内存分配/映像中既具有 +X 又不可共享的字节数。非零值可能表示代码挂钩、修补或挖空。	unsigned_long
process.thread.Ext.call_stack.callsite_leading_bytes	调用站点之前的十六进制操作码字节	keyword
process.thread.Ext.call_stack.callsite_trailing_bytes	调用站点之后的十六进制操作码字节（控制将返回到此处）	keyword
process.thread.Ext.call_stack.protection	包含此指令的页面的保护。如果省略，则默认为“R-X”。	keyword
process.thread.Ext.call_stack.symbol_info	`instruction_pointer` 的最近符号。	keyword
process.thread.Ext.call_stack_summary	调用堆栈中未重复模块的连接。	keyword
process.thread.Ext.hardware_breakpoint_set	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
process.thread.id	线程ID。	long
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

库

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Effective_process.entity_id	有效进程的唯一标识符。	keyword
Effective_process.executable	有效进程的可执行文件名。	keyword
Effective_process.name	有效进程的进程名称。	keyword
Effective_process.pid	进程 ID。	long
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
dll.扩展	所有自定义定义字段所在的对象的类型。	object
dll.扩展.代码签名	ECS code_signature 字段集的嵌套版本。	nested
dll.扩展.代码签名.是否存在	用于捕获是否存在签名的布尔值。	boolean
dll.扩展.代码签名.状态	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
dll.扩展.代码签名.主体名称	代码签名者的主题名称	keyword
dll.扩展.代码签名.是否信任	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
dll.扩展.代码签名.是否有效	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
dll.Ext.defense_evasions	为此 DLL 找到的防御规避列表。这些防御规避可能会使检查进程变得更加困难和/或导致异常的 OS 行为。可能导致防御规避的工具示例包括 KnownDlls 劫持和 PPLDump。	keyword
dll.Ext.device.bus_type	设备的总线类型，例如 Nvme、Usb、FileBackedVirtual 等。	keyword
dll.Ext.device.dos_name	设备的 DOS 名称。DOS 设备名称的格式为驱动器盘符，例如 C:、D: 等。	keyword
dll.Ext.device.file_system_type	卷设备文件系统类型。以下是常见的卷设备文件系统类型的示例：NTFS UDF	keyword
dll.Ext.device.nt_name	设备的 NT 名称。NT 设备名称的格式为：\Device\HarddiskVolume2	keyword
dll.Ext.device.product_id	设备的 ProductID。如果有，则由设备的供应商提供。	keyword
dll.Ext.device.serial_number	设备的序列号。如果有，则由设备的供应商提供。	keyword
dll.Ext.device.vendor_id	设备的 VendorID。由设备的供应商提供。	keyword
dll.Ext.device.volume_device_type	卷设备类型。以下是常见的卷设备类型的示例：磁盘文件系统 CD-ROM 文件系统	keyword
dll.Ext.load_index	DLL 可以多次加载到进程中。此字段指示此 DLL 已加载的第 N 次。第一个加载索引为 1。	unsigned_long
dll.Ext.relative_file_creation_time	自创建 DLL 文件以来的秒数。如果文件的的时间戳在未来，则此数字可能为负数。	double
dll.Ext.relative_file_name_modify_time	自 DLL 名称修改以来的秒数。此信息可能来自 NTFS MFT。如果文件的的时间戳在未来，则此数字可能为负数。	double
dll.Ext.size	DLL 的大小	unsigned_long
dll.代码签名.是否存在	用于捕获是否存在签名的布尔值。	boolean
dll.代码签名.签名ID	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
dll.代码签名.状态	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
dll.代码签名.主体名称	代码签名者的主题名称	keyword
dll.代码签名.团队ID	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
dll.代码签名.是否信任	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
dll.代码签名.是否有效	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
dll.哈希.MD5	MD5 哈希值。	keyword
dll.哈希.SHA1	SHA1 哈希值。	keyword
dll.哈希.SHA256	SHA256 哈希值。	keyword
dll.哈希.SHA512	SHA512 哈希值。	keyword
dll.名称	库的名称。这通常映射到磁盘上的文件名。	keyword
dll.路径	库的完整文件路径。	keyword
dll.PE.公司	在编译时提供的文件的内部公司名称。	keyword
dll.PE.描述	在编译时提供的文件的内部描述。	keyword
dll.PE.文件版本	在编译时提供的文件的内部版本号。	keyword
dll.PE.导入哈希	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
dll.PE.原始文件名	在编译时提供的文件的内部名称。	keyword
dll.PE.产品	在编译时提供的文件的内部产品名称。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
file.Ext	所有自定义定义字段所在的对象的类型。	object
file.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
file.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
file.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
file.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
file.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
file.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
file.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
file.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
file.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
file.code_signature.subject_name	代码签名者的主题名称	keyword
file.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
file.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
file.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
file.hash.md5	MD5 哈希值。	keyword
file.hash.sha1	SHA1 哈希值。	keyword
file.hash.sha256	SHA256 哈希值。	keyword
file.hash.sha512	SHA512 哈希值。	keyword
file.name	文件名，包括扩展名，但不包括目录。	keyword
file.path	文件的完整路径，包括文件名。如果适用，应包括驱动器盘符。	keyword
file.pe.company	在编译时提供的文件的内部公司名称。	keyword
file.pe.description	在编译时提供的文件的内部描述。	keyword
file.pe.file_version	在编译时提供的文件的内部版本号。	keyword
file.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
file.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
file.pe.product	在编译时提供的文件的内部产品名称。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.pid	进程 ID。	long
process.thread.Ext	所有自定义定义字段所在的对象的类型。	object
process.thread.Ext.call_stack	描述堆栈帧的字段。 call_stack 预计是一个数组，其中每个数组元素代表一个堆栈帧。	object
process.thread.Ext.call_stack.allocation_private_bytes	此内存分配/映像中既具有 +X 又不可共享的字节数。非零值可能表示代码挂钩、修补或挖空。	unsigned_long
process.thread.Ext.call_stack.callsite_leading_bytes	调用站点之前的十六进制操作码字节	keyword
process.thread.Ext.call_stack.callsite_trailing_bytes	调用站点之后的十六进制操作码字节（控制将返回到此处）	keyword
process.thread.Ext.call_stack.protection	包含此指令的页面的保护。如果省略，则默认为“R-X”。	keyword
process.thread.Ext.call_stack.symbol_info	`instruction_pointer` 的最近符号。	keyword
process.thread.Ext.call_stack_summary	调用堆栈中未重复模块的连接。	keyword
process.thread.Ext.hardware_breakpoint_set	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
process.thread.id	线程ID。	long
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

网络

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
destination.address	某些事件目标地址的定义不明确。事件有时会列出 IP、域名或 unix 套接字。应始终将原始地址存储在 `.address` 字段中。然后，应将其复制到 `.ip` 或 `.domain`，具体取决于它是哪一个。	keyword
destination.as.number	分配给自治系统的唯一编号。自治系统号 (ASN) 唯一标识 Internet 上的每个网络。	long
destination.as.organization.name	组织名称。	keyword
destination.bytes	从目标发送到源的字节。	long
destination.domain	目标系统的域名。此值可以是主机名、完全限定域名或其他主机命名格式。该值可能源自原始事件，也可能通过富化添加。	keyword
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
目标.IP	目标的 IP 地址（IPv4 或 IPv6）。	IP
destination.packets	从目标发送到源的数据包。	long
destination.port	目标的端口。	long
destination.registered_domain	最高级别的已注册目标域，已剥离子域。例如，“foo.example.com”的已注册域是“example.com”。此值可以通过公共后缀列表之类的列表精确确定（http://publicsuffix.org）。尝试仅取最后两个标签来近似此值对于诸如“co.uk”之类的顶级域名将效果不佳。	keyword
destination.top_level_domain	有效的顶级域 (eTLD)，也称为域后缀，是域名中的最后一部分。例如，example.com 的顶级域是“com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后一个标签来近似此值对于诸如“co.uk”之类的有效 TLD 将无法很好地工作。	keyword
dns.Ext	所有自定义定义字段所在的对象的类型。	object
dns.Ext.options	DNS选项字段，uint64，表示为关键字以避免ES中的溢出	keyword
dns.Ext.status	DNS状态字段，uint32	long
dns.问题.名称	正在查询的名称。如果名称字段包含不可打印的字符（低于 32 或高于 126），则这些字符应表示为转义的十进制整数 (\DDD)。反斜杠和引号应转义。制表符、回车符和换行符应分别转换为 \t、\r 和 \n。	keyword
dns.question.registered_domain	最高级别的已注册域，已剥离子域。例如，“foo.example.com”的已注册域是“example.com”。此值可以通过公共后缀列表之类的列表精确确定（http://publicsuffix.org）。尝试仅取最后两个标签来近似此值对于诸如“co.uk”之类的顶级域名将效果不佳。	keyword
dns.question.subdomain	子域是registered_domain下的所有标签。如果域具有多个级别的子域，例如“sub2.sub1.example.com”，则子域字段应包含“sub2.sub1”，不带尾随句点。	keyword
dns.question.top_level_domain	有效的顶级域 (eTLD)，也称为域后缀，是域名中的最后一部分。例如，example.com 的顶级域是“com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后一个标签来近似此值对于诸如“co.uk”之类的有效 TLD 将无法很好地工作。	keyword
dns.问题.类型	正在查询的记录类型。	keyword
dns.resolved_ip	包含在`answers.data`中看到的所有IP的数组。`answers`数组可能难以使用，因为它可能包含各种数据格式。将其中看到的所有IP地址提取到`dns.resolved_ip`使其可以将其索引为IP地址，并且使它们更容易可视化和查询。	IP
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
http.request.body.bytes	请求正文的大小（以字节为单位）。	long
http.request.body.content	完整的HTTP请求正文。	通配符
http.request.bytes	请求的总大小（以字节为单位）（正文和标头）。	long
http.response.Ext	所有自定义定义字段所在的对象的类型。	object
http.response.Ext.version	HTTP版本	keyword
http.response.body.bytes	响应正文的大小（以字节为单位）。	long
http.response.body.content	完整的HTTP响应正文。	通配符
http.response.bytes	响应的总大小（以字节为单位）（正文和标头）。	long
http.response.status_code	HTTP响应状态代码。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
network.bytes	双向传输的总字节数。如果已知`source.bytes`和`destination.bytes`，则`network.bytes`是它们的总和。	long
network.community_id	源和目标IP和端口以及通信中使用的协议的哈希值。这是一个与工具无关的用于标识流的标准。在https://github.com/corelight/community-id-spec了解更多信息。	keyword
network.direction	网络流量的方向。当从基于主机的监视上下文映射事件时，请从主机的角度使用值“ingress”或“egress”填充此字段。当从基于网络或边界的监视上下文映射事件时，请从网络边界的角度使用值“inbound”，“outbound”，“internal”或“external”填充此字段。请注意，“internal”不会跨越边界，而是用于描述边界内两台主机之间的通信。另请注意，“external”用于描述两个外部主机的流量。例如，这对于ISP或VPN服务提供商可能很有用。	keyword
network.iana_number	IANA协议号（https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml）。标准化的协议列表。这与使用IANA协议号的NetFlow和sFlow相关日志非常一致。	keyword
network.packets	双向传输的总数据包数。如果已知`source.packets`和`destination.packets`，则`network.packets`是它们的总和。	long
network.protocol	在OSI模型中，这将是应用层协议。例如，`http`，`dns`或`ssh`。为了查询，必须将字段值规范化为小写。	keyword
network.transport	与network.iana_number相同，但使用传输层的关键字名称（udp，tcp，ipv6-icmp等）。为了查询，必须将字段值规范化为小写。	keyword
network.type	在OSI模型中，这将是网络层。ipv4，ipv6，ipsec，pim等。为了查询，必须将字段值规范化为小写。	keyword
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.pid	进程 ID。	long
process.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.thread.id	线程ID。	long
source.address	某些事件源地址的定义是模糊的。事件有时会列出IP，域或unix套接字。您应始终将原始地址存储在`.address`字段中。然后，应将其复制到`.ip`或`.domain`，具体取决于它是哪个。	keyword
source.as.number	分配给自治系统的唯一编号。自治系统号 (ASN) 唯一标识 Internet 上的每个网络。	long
source.as.organization.name	组织名称。	keyword
source.bytes	从源发送到目标的字节数。	long
source.domain	源系统的域名。此值可以是主机名，完全限定域名或其他主机命名格式。该值可能源自原始事件，也可能通过富化添加。	keyword
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
source.ip	源的 IP 地址（IPv4 或 IPv6）。	IP
source.packets	从源发送到目标的数据包。	long
source.port	源的端口。	long
source.registered_domain	最高级别的已注册源域，已剥离子域。例如，“foo.example.com”的已注册域是“example.com”。此值可以通过公共后缀列表之类的列表精确确定（http://publicsuffix.org）。尝试仅取最后两个标签来近似此值对于诸如“co.uk”之类的顶级域名将效果不佳。	keyword
source.top_level_domain	有效的顶级域 (eTLD)，也称为域后缀，是域名中的最后一部分。例如，example.com 的顶级域是“com”。可以使用诸如公共后缀列表之类的列表精确地确定此值（http://publicsuffix.org）。尝试通过简单地获取最后一个标签来近似此值对于诸如“co.uk”之类的有效 TLD 将无法很好地工作。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

进程

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
代理.临时ID	此代理的临时标识符（如果存在）。此 ID 通常在重新启动时更改，但 `agent.id` 不会更改。	keyword
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.名称	代理的自定义名称。这是一个可以赋予代理的名称。如果例如两个 Filebeat 实例在同一主机上运行，但需要以人工可读的方式分隔来自哪个 Filebeat 实例的数据，则这会很有帮助。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
云.帐户.ID	云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。	keyword
云.实例.名称	主机计算机的实例名称。	keyword
云.项目.ID	云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。	keyword
云.提供商	云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。	keyword
云.区域	此主机、资源或服务所在的区域。	keyword
容器.ID	唯一的容器 ID。	keyword
container.image.hash.all	构建容器所基于的映像的摘要数组。每个摘要都包含以下格式的哈希算法和值：`algorithm:value`。算法名称应与ECS哈希字段集中的字段名称对齐。	keyword
容器.镜像.名称	容器构建所依据的镜像的名称。	keyword
容器.镜像.标签	容器镜像标签。	keyword
容器.名称	容器名称。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.boot.id	从 /proc/sys/kernel/random/boot_id 获取的 Linux 引导 uuid。请注意，容器中 /proc 的 boot_id 值可能与主机上的值相同，也可能不同。某些容器运行时会将新的 boot_id 值绑定挂载到每个容器的 proc 文件上。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.pid_ns_ino	这是命名空间文件系统 (nsfs) 中命名空间的 inode 编号。include/linux/ns_common.h 中的无符号 int inum。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
orchestrator.cluster.id	群集的唯一ID。	keyword
orchestrator.cluster.name	集群的名称。	keyword
orchestrator.namespace	执行操作所在的命名空间。	keyword
orchestrator.resource.ip	分配给与正在观察的事件关联的资源的IP地址。对于Kubernetes Pod，此数组将仅包含一个元素：Pod的IP（而不是Pod在其上运行的节点）。	IP
orchestrator.resource.name	正在操作的资源的名称。	keyword
orchestrator.resource.parent.type	与正在观察的事件关联的父资源的类型或种类。在Kubernetes中，这将是内置工作负载资源的名称（例如，Deployment，StatefulSet，DaemonSet）。	keyword
orchestrator.resource.type	正在操作的资源的类型。	keyword
package.name	软件包名称	keyword
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
process.Ext.authentication_id	进程身份验证 ID	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.Ext.created_suspended	一个启发式指标，指示CREATE_SUSPENDED标志是否已传递给Win32 CreateProcess API。对于直接的系统调用无效。	boolean
process.Ext.defense_evasions	在此过程中发现的防御规避列表。这些防御规避会使检查进程变得更加困难和/或导致异常的OS行为。可能导致防御规避的工具示例包括Process Doppelganging和Process Herpaderping。	keyword
process.Ext.device.bus_type	设备的总线类型，例如 Nvme、Usb、FileBackedVirtual 等。	keyword
process.Ext.device.dos_name	设备的 DOS 名称。DOS 设备名称的格式为驱动器盘符，例如 C:、D: 等。	keyword
process.Ext.device.file_system_type	卷设备文件系统类型。以下是常见的卷设备文件系统类型的示例：NTFS UDF	keyword
process.Ext.device.nt_name	设备的 NT 名称。NT 设备名称的格式为：\Device\HarddiskVolume2	keyword
process.Ext.device.product_id	设备的 ProductID。如果有，则由设备的供应商提供。	keyword
process.Ext.device.serial_number	设备的序列号。如果有，则由设备的供应商提供。	keyword
process.Ext.device.vendor_id	设备的 VendorID。由设备的供应商提供。	keyword
process.Ext.device.volume_device_type	卷设备类型。以下是常见的卷设备类型的示例：磁盘文件系统 CD-ROM 文件系统	keyword
process.Ext.dll.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.dll.Ext.mapped_address	加载此模块的基地址。	unsigned_long
process.Ext.dll.Ext.mapped_size	此模块内存映射的大小，以字节为单位。	unsigned_long
process.Ext.dll.name	库的名称。这通常映射到磁盘上的文件名。	keyword
process.Ext.dll.path	库的完整文件路径。	keyword
process.Ext.effective_parent.entity_id	有效进程的唯一标识符。	keyword
process.Ext.effective_parent.executable	有效进程的可执行文件名。	keyword
process.Ext.effective_parent.name	有效进程的进程名称。	keyword
process.Ext.effective_parent.pid	进程 ID。	long
process.Ext.mitigation_policies	进程缓解策略包括SignaturePolicy，DynamicCodePolicy，UserShadowStackPolicy，ControlFlowGuardPolicy等。示例包括仅Microsoft，CF Guard，启用用户影子堆栈	keyword
process.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
process.Ext.relative_file_creation_time	自进程文件创建以来经过的秒数。如果文件的的时间戳位于将来，则此数字可能为负数。	double
process.Ext.relative_file_name_modify_time	自进程名称被修改以来经过的秒数。此信息可以来自NTFS MFT。如果文件的的时间戳位于将来，则此数字可能为负数。	double
process.Ext.session	当前进程的会话信息	keyword
process.Ext.session_info.authentication_package	用于登录的身份验证包的名称，例如NTLM，Kerberos或CloudAP	keyword
process.Ext.session_info.client_address	如果可用，客户端的IPv4或IPv6地址作为字符串。	keyword
process.Ext.session_info.id	会话ID	unsigned_long
process.Ext.session_info.logon_type	会话登录类型。示例包括交互式，网络和服务。	keyword
process.Ext.session_info.relative_logon_time	进程创建时间，相对于登录时间，以秒为单位。	double
process.Ext.session_info.relative_password_age	进程创建时间，相对于上次更改密码的时间，以秒为单位。	double
process.Ext.session_info.user_flags	与此登录会话关联的用户标志列表。示例包括LOGON_NTLMV2_ENABLED和LOGON_WINLOGON。	keyword
process.Ext.token.elevation	令牌是否已提升	boolean
process.Ext.token.elevation_level	令牌具有的提升级别	keyword
process.Ext.token.elevation_type	令牌具有的提升级别	keyword
process.Ext.token.integrity_level_name	人类可读的完整性级别。	keyword
process.Ext.token.security_attributes	通过TokenSecurityAttributes类检索的令牌的安全属性数组。	keyword
process.Ext.trusted	该进程是否为受信任的应用程序	boolean
process.Ext.trusted_descendant	该进程是否为受信任应用程序的后代	boolean
process.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.end	进程结束的时间。	date
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.entry_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.entry_leader.attested_groups.name	组的名称。	keyword
process.entry_leader.attested_user.id	用户的唯一标识符。	keyword
process.entry_leader.attested_user.name	用户的短名称或登录名。	keyword
process.entry_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.entry_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.entry_meta.source.ip	源的 IP 地址（IPv4 或 IPv6）。	IP
process.entry_leader.entry_meta.type	条目会话负责人的条目类型。值包括：init（例如 systemd）、sshd、ssm、kubelet、teleport、terminal、console 注意：此字段仅在 process.session_leader 上设置。	keyword
process.entry_leader.executable	进程可执行文件的绝对路径。	keyword
process.entry_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.group.name	组的名称。	keyword
process.entry_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.entry_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.entry_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.pid	进程 ID。	long
process.entry_leader.parent.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.entry_leader.parent.session_leader.pid	进程 ID。	long
process.entry_leader.parent.session_leader.start	进程启动的时间。	date
process.entry_leader.parent.start	进程启动的时间。	date
process.entry_leader.pid	进程 ID。	long
process.entry_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.real_group.name	组的名称。	keyword
process.entry_leader.real_user.id	用户的唯一标识符。	keyword
process.entry_leader.real_user.name	用户的短名称或登录名。	keyword
process.entry_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.entry_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.saved_group.name	组的名称。	keyword
process.entry_leader.saved_user.id	用户的唯一标识符。	keyword
process.entry_leader.saved_user.name	用户的短名称或登录名。	keyword
process.entry_leader.start	进程启动的时间。	date
process.entry_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.entry_leader.supplemental_groups.name	组的名称。	keyword
process.entry_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.entry_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.entry_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.entry_leader.user.id	用户的唯一标识符。	keyword
process.entry_leader.user.name	用户的短名称或登录名。	keyword
process.entry_leader.working_directory	进程的工作目录。	keyword
process.env_vars	环境变量绑定的数组。在执行时从环境快照中捕获。可能会被过滤以保护敏感信息。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.exit_code	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
process.group.id	系统/平台上组的唯一标识符。	keyword
process.group.name	组的名称。	keyword
process.group_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.group_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.group_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.group_leader.executable	进程可执行文件的绝对路径。	keyword
process.group_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.group.name	组的名称。	keyword
process.group_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.group_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.group_leader.pid	进程 ID。	long
process.group_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.real_group.name	组的名称。	keyword
process.group_leader.real_user.id	用户的唯一标识符。	keyword
process.group_leader.real_user.name	用户的短名称或登录名。	keyword
process.group_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.group_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.saved_group.name	组的名称。	keyword
process.group_leader.saved_user.id	用户的唯一标识符。	keyword
process.group_leader.saved_user.name	用户的短名称或登录名。	keyword
process.group_leader.start	进程启动的时间。	date
process.group_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.group_leader.supplemental_groups.name	组的名称。	keyword
process.group_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.group_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.group_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.group_leader.user.id	用户的唯一标识符。	keyword
process.group_leader.user.name	用户的短名称或登录名。	keyword
process.group_leader.working_directory	进程的工作目录。	keyword
process.hash.md5	MD5 哈希值。	keyword
process.hash.sha1	SHA1 哈希值。	keyword
process.hash.sha256	SHA256 哈希值。	keyword
process.hash.sha512	SHA512 哈希值。	keyword
process.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.io	来自单个进程的一段输入或输出（IO）。此字段仅显示在顶级进程对象上，该对象是写入输出或读取输入的进程。	object
process.io.max_bytes_per_process_exceeded	如果为true，则生成输出的进程已超过max_kilobytes_per_process配置设置。	boolean
process.io.text	一段经过UTF-8清理的输出或输入。已尽力确保在这些事件中捕获完整的行。不应假设多行将出现在同一事件中。TTY输出可能包含诸如光标移动之类的终端控制代码，因此某些字符串查询可能由于在单词字符之间插入的终端代码而不匹配。	通配符
process.io.total_bytes_captured	在此事件中捕获的总字节数。	long
process.io.total_bytes_skipped	由于实现限制（例如缓冲区大小限制）而未捕获的总字节数。实施者应努力确保此值始终为零	long
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.Ext	所有自定义定义字段所在的对象的类型。	object
process.parent.Ext.architecture	进程架构。它可能与主机架构不同。	keyword
process.parent.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.parent.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.Ext.protection	指示此进程的保护级别。使用与 Process Explorer 相同的语法。示例包括 PsProtectedSignerWinTcb、PsProtectedSignerWinTcb-Light 和 PsProtectedSignerWindows-Light。	keyword
process.parent.Ext.real	如果存在任何 PID 欺骗，则包含进程信息的字段集。这对于 process.parent 主要有用。	object
process.parent.Ext.real.pid	对于 process.parent，这将是实际生成当前进程的进程的 ppid。	long
process.parent.Ext.user	与正在运行的进程关联的用户。	keyword
process.parent.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.parent.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.parent.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.parent.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.parent.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.parent.code_signature.subject_name	代码签名者的主题名称	keyword
process.parent.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.parent.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.parent.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.parent.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.executable	进程可执行文件的绝对路径。	keyword
process.parent.exit_code	如果这是一个终止事件，则为进程的退出代码。如果事件没有退出代码（例如，进程启动），则此字段应不存在。	long
process.parent.group.id	系统/平台上组的唯一标识符。	keyword
process.parent.group.name	组的名称。	keyword
process.parent.group_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.parent.group_leader.pid	进程 ID。	long
process.parent.group_leader.start	进程启动的时间。	date
process.parent.hash.md5	MD5 哈希值。	keyword
process.parent.hash.sha1	SHA1 哈希值。	keyword
process.parent.hash.sha256	SHA256 哈希值。	keyword
process.parent.hash.sha512	SHA512 哈希值。	keyword
process.parent.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.parent.name	进程名称。有时称为程序名称或类似名称。	keyword
process.parent.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.parent.pe.description	在编译时提供的文件的内部描述。	keyword
process.parent.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.parent.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.parent.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.parent.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.parent.pgid	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
process.parent.pid	进程 ID。	long
process.parent.ppid	父进程的进程ID。	long
process.parent.real_group.id	系统/平台上组的唯一标识符。	keyword
process.parent.real_group.name	组的名称。	keyword
process.parent.real_user.id	用户的唯一标识符。	keyword
process.parent.real_user.name	用户的短名称或登录名。	keyword
process.parent.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.parent.saved_group.name	组的名称。	keyword
process.parent.saved_user.id	用户的唯一标识符。	keyword
process.parent.saved_user.name	用户的短名称或登录名。	keyword
process.parent.start	进程启动的时间。	date
process.parent.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.parent.supplemental_groups.name	组的名称。	keyword
process.parent.thread.Ext	所有自定义定义字段所在的对象的类型。	object
process.parent.thread.Ext.call_stack	描述堆栈帧的字段。 call_stack 预计是一个数组，其中每个数组元素代表一个堆栈帧。	object
process.parent.thread.Ext.call_stack.allocation_private_bytes	此内存分配/映像中既具有 +X 又不可共享的字节数。非零值可能表示代码挂钩、修补或挖空。	unsigned_long
process.parent.thread.Ext.call_stack.callsite_leading_bytes	调用站点之前的十六进制操作码字节	keyword
process.parent.thread.Ext.call_stack.callsite_trailing_bytes	调用站点之后的十六进制操作码字节（控制将返回到此处）	keyword
process.parent.thread.Ext.call_stack.protection	包含此指令的页面的保护。如果省略，则默认为“R-X”。	keyword
process.parent.thread.Ext.call_stack.symbol_info	`instruction_pointer` 的最近符号。	keyword
process.parent.thread.Ext.call_stack_contains_unbacked	指示创建线程的堆栈是否包含指向任何已知可执行映像之外的帧。	boolean
process.parent.thread.Ext.call_stack_summary	调用堆栈中未重复模块的连接。	keyword
process.parent.thread.Ext.hardware_breakpoint_set	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
process.parent.thread.id	线程ID。	long
process.parent.thread.name	线程名称。	keyword
process.parent.title	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
process.parent.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.parent.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.parent.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.parent.uptime	进程已运行的秒数。	long
process.parent.user.id	用户的唯一标识符。	keyword
process.parent.user.name	用户的短名称或登录名。	keyword
process.parent.working_directory	进程的工作目录。	keyword
process.pe.company	在编译时提供的文件的内部公司名称。	keyword
process.pe.description	在编译时提供的文件的内部描述。	keyword
process.pe.file_version	在编译时提供的文件的内部版本号。	keyword
process.pe.imphash	PE 文件中导入的哈希值。即使在重新编译或其他代码级转换发生后，导入哈希值（imphash）仍可用于对二进制文件进行指纹识别，这将更改更传统的哈希值。要了解更多信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。	keyword
process.pe.original_file_name	在编译时提供的文件的内部名称。	keyword
process.pe.product	在编译时提供的文件的内部产品名称。	keyword
process.pgid	在下一个主要版本发布中已弃用并移除。此字段已由 `process.group_leader.pid` 取代。进程所属进程组的标识符。	long
process.pid	进程 ID。	long
process.ppid	父进程的进程ID。	long
process.previous.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.previous.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.previous.executable	进程可执行文件的绝对路径。	keyword
process.real_group.id	系统/平台上组的唯一标识符。	keyword
process.real_group.name	组的名称。	keyword
process.real_user.id	用户的唯一标识符。	keyword
process.real_user.name	用户的短名称或登录名。	keyword
process.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.saved_group.name	组的名称。	keyword
process.saved_user.id	用户的唯一标识符。	keyword
process.saved_user.name	用户的短名称或登录名。	keyword
process.session_leader.args	进程参数数组，从可执行文件的绝对路径开始。可能会进行过滤以保护敏感信息。	keyword
process.session_leader.args_count	process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析很有用。更多参数可能表示可疑活动。	long
process.session_leader.command_line	启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。某些参数可能会被过滤以保护敏感信息。	通配符
process.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.executable	进程可执行文件的绝对路径。	keyword
process.session_leader.group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.group.name	组的名称。	keyword
process.session_leader.interactive	进程是否连接到交互式 shell。进程的交互性是从进程的文件描述符推断出来的。如果控制 tty 的字符设备与进程的标准输入和标准错误相同，则认为该进程是交互式的。注意：非交互式进程可以属于交互式会话，它只是在文件描述符 0（标准输入）上没有打开读取控制 TTY 或在文件描述符 2（标准错误）上没有写入控制 TTY 的进程。如果标准输入和标准错误连接到控制 TTY，后台进程仍被认为是交互式的。	boolean
process.session_leader.name	进程名称。有时称为程序名称或类似名称。	keyword
process.session_leader.parent.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.parent.pid	进程 ID。	long
process.session_leader.parent.session_leader.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.session_leader.parent.session_leader.pid	进程 ID。	long
process.session_leader.parent.session_leader.start	进程启动的时间。	date
process.session_leader.parent.start	进程启动的时间。	date
process.session_leader.pid	进程 ID。	long
process.session_leader.real_group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.real_group.name	组的名称。	keyword
process.session_leader.real_user.id	用户的唯一标识符。	keyword
process.session_leader.real_user.name	用户的短名称或登录名。	keyword
process.session_leader.same_as_process	此布尔值用于标识领导者进程是否与顶层进程相同。例如，如果 `process.group_leader.same_as_process = true`，则表示有问题的进程事件是其进程组的领导者。诸如 `pid` 之类的 `process.` 下的详细信息在 `process.group_leader.` 下是相同的。这同样适用于 `process.session_leader` 和 `process.entry_leader`。此字段的存在是为了方便 EQL 和其他规则引擎，因为无法在单个文档中比较两个字段之间的相等性。例如，`process.entity_id` = `process.group_leader.entity_id`（顶层进程是进程组领导者）或 `process.entity_id` = `process.entry_leader.entity_id`（顶层进程是入口会话领导者）。相反，这些规则可以写成：`process.group_leader.same_as_process: true` 或 `process.entry_leader.same_as_process: true` 注意：此字段仅在 `process.entry_leader`、`process.session_leader` 和 `process.group_leader` 上设置。	boolean
process.session_leader.saved_group.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.saved_group.name	组的名称。	keyword
process.session_leader.saved_user.id	用户的唯一标识符。	keyword
process.session_leader.saved_user.name	用户的短名称或登录名。	keyword
process.session_leader.start	进程启动的时间。	date
process.session_leader.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.session_leader.supplemental_groups.name	组的名称。	keyword
process.session_leader.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.session_leader.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.session_leader.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.session_leader.user.id	用户的唯一标识符。	keyword
process.session_leader.user.name	用户的短名称或登录名。	keyword
process.session_leader.working_directory	进程的工作目录。	keyword
process.start	进程启动的时间。	date
process.supplemental_groups.id	系统/平台上组的唯一标识符。	keyword
process.supplemental_groups.name	组的名称。	keyword
process.thread.capabilities.effective	这是内核用于执行线程权限检查的功能集。	keyword
process.thread.capabilities.permitted	这是线程可以承担的有效功能的限制超集。	keyword
process.thread.id	线程ID。	long
process.thread.name	线程名称。	keyword
process.title	进程标题。进程标题，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。	keyword
process.tty	有关控制 TTY 设备的信息。如果设置，则该进程属于交互式会话。	object
process.tty.char_device.major	主编号标识与设备关联的驱动程序。字符设备的主编号和次编号可以通过算法组合来生成更熟悉的终端标识符，例如“ttyS0”和“pts/0”。有关更多详细信息，请参阅 Linux 内核文档。	long
process.tty.char_device.minor	次编号仅由主编号指定的驱动程序使用；内核的其他部分不使用它，而只是将其传递给驱动程序。驱动程序控制多个设备是很常见的；次编号为驱动程序提供了一种区分它们的方法。	long
process.tty.columns	每行字符列数。例如，终端宽度。终端大小可能会更改，因此此值反映给定IO事件的最大值。即，其中event.action = text_output	long
process.tty.rows	终端中的字符行数。例如，终端高度。终端大小可能会变化，因此此值反映给定 IO 事件的最大值。即，当 event.action = text_output 时。	long
process.uptime	进程已运行的秒数。	long
process.user.id	用户的唯一标识符。	keyword
process.user.name	用户的短名称或登录名。	keyword
process.working_directory	进程的工作目录。	keyword
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

注册表

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Effective_process.entity_id	有效进程的唯一标识符。	keyword
Effective_process.executable	有效进程的可执行文件名。	keyword
Effective_process.name	有效进程的进程名称。	keyword
Effective_process.pid	进程 ID。	long
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.pid	进程 ID。	long
process.thread.Ext	所有自定义定义字段所在的对象的类型。	object
process.thread.Ext.call_stack	描述堆栈帧的字段。 call_stack 预计是一个数组，其中每个数组元素代表一个堆栈帧。	object
process.thread.Ext.call_stack.allocation_private_bytes	此内存分配/映像中既具有 +X 又不可共享的字节数。非零值可能表示代码挂钩、修补或挖空。	unsigned_long
process.thread.Ext.call_stack.callsite_leading_bytes	调用站点之前的十六进制操作码字节	keyword
process.thread.Ext.call_stack.callsite_trailing_bytes	调用站点之后的十六进制操作码字节（控制将返回到此处）	keyword
process.thread.Ext.call_stack.protection	包含此指令的页面的保护。如果省略，则默认为“R-X”。	keyword
process.thread.Ext.call_stack.symbol_info	`instruction_pointer` 的最近符号。	keyword
process.thread.Ext.call_stack_summary	调用堆栈中未重复模块的连接。	keyword
process.thread.Ext.hardware_breakpoint_set	是否为线程设置了硬件断点。如果为 false，则省略此字段。	boolean
process.thread.id	线程ID。	long
registry.data.bytes	以 base64 编码写入的原始字节。对于 Windows 注册表操作，例如 SetValueEx 和 RegQueryValueEx，这对应于 `lp_data` 指向的数据。这是可选的，但可以提供更好的可恢复性，并且应该为 REG_BINARY 编码的值填充。	keyword
registry.data.strings	写入字符串类型时的内容。当将字符串数据写入注册表时，会填充为数组。对于单个字符串注册表类型（REG_SZ、REG_EXPAND_SZ），这应该是一个包含一个字符串的数组。对于带有 REG_MULTI_SZ 的字符串序列，此数组的长度将是可变的。对于数值数据，例如 REG_DWORD 和 REG_QWORD，这应该填充十进制表示（例如 `"1"`）。	通配符
registry.data.type	用于编码内容的标准注册表类型	keyword
registry.hive	注册表配置单元的缩写名称。	keyword
registry.key	键的相对于配置单元的路径。	keyword
registry.path	完整路径，包括配置单元、键和值	keyword
registry.value	写入的值的名称。	keyword
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword

安全性

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Target.process.Ext	所有自定义定义字段所在的对象的类型。	object
Target.process.Ext.authentication_id	进程身份验证 ID	keyword
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
目标.地理.城市名称	城市名称。	keyword
目标.地理.洲代码	表示洲名称的两个字母代码。	keyword
目标.地理.洲名称	洲的名称。	keyword
目标.地理.国家ISO代码	国家 ISO 代码。	keyword
目标.地理.国家名称	国家名称。	keyword
目标.地理.位置	经度和纬度。	地理点
目标.地理.名称	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
目标.地理.邮政编码	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
目标.地理.区域ISO代码	区域 ISO 代码。	keyword
目标.地理.区域名称	区域名称。	keyword
目标.地理.时区	位置的时区，例如 IANA 时区名称。	keyword
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
group.Ext	所有自定义定义字段所在的对象的类型。	object
group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
group.Ext.real.name	组的名称。	keyword
group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
group.id	系统/平台上组的唯一标识符。	keyword
group.name	组的名称。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text
process.Ext	所有自定义定义字段所在的对象的类型。	object
process.Ext.ancestry	一个 entity_ids 数组，指示此事件的祖先	keyword
process.Ext.authentication_id	进程身份验证 ID	keyword
process.Ext.code_signature	ECS code_signature 字段集的嵌套版本。	nested
process.Ext.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.Ext.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.Ext.code_signature.subject_name	代码签名者的主题名称	keyword
process.Ext.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.Ext.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.code_signature.exists	用于捕获是否存在签名的布尔值。	boolean
process.code_signature.signing_id	用于签署进程的标识符。此标识符用于识别软件供应商制造的应用程序。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.status	有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误非常有用。如果未选中证书的有效性或信任，则将其留空。	keyword
process.code_signature.subject_name	代码签名者的主题名称	keyword
process.code_signature.team_id	用于签署进程的团队标识符。此标识符用于识别软件产品的团队或供应商。此字段仅与 Apple *OS 相关。	keyword
process.code_signature.trusted	存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。	boolean
process.code_signature.valid	用于捕获数字签名是否针对二进制内容进行验证的布尔值。如果未选中证书，则将其留空。	boolean
process.entity_id	进程的唯一标识符。此标识符的实现由数据源指定，但此处可能使用的一些示例包括进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构造全局唯一标识符是一种常见的做法，可以缓解 PID 重用，并随着时间的推移跨多个受监控的主机识别特定进程。	keyword
process.executable	进程可执行文件的绝对路径。	keyword
process.name	进程名称。有时称为程序名称或类似名称。	keyword
process.pid	进程 ID。	long
process.thread.id	线程ID。	long
source.geo.city_name	城市名称。	keyword
source.geo.continent_code	表示洲名称的两个字母代码。	keyword
source.geo.continent_name	洲的名称。	keyword
source.geo.country_iso_code	国家 ISO 代码。	keyword
source.geo.country_name	国家名称。	keyword
source.geo.location	经度和纬度。	地理点
source.geo.name	用户定义的位置描述，粒度级别由他们关心。可以是他们的数据中心的名称、楼层号（如果这描述的是本地物理实体）、城市名称。通常不用于自动地理位置。	keyword
source.geo.postal_code	与位置关联的邮政编码。此字段的适当值也可能被称为邮政编码或 ZIP 代码，并且因国家/地区而异。	keyword
source.geo.region_iso_code	区域 ISO 代码。	keyword
source.geo.region_name	区域名称。	keyword
source.geo.timezone	位置的时区，例如 IANA 时区名称。	keyword
user.Ext	所有自定义定义字段所在的对象的类型。	object
user.Ext.real	在执行任何 setuid 操作之前的用户信息。	object
user.Ext.real.id	用户的一个或多个唯一标识符。	keyword
user.Ext.real.name	用户的短名称或登录名。	keyword
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.effective.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.effective.email	用户电子邮件地址。	keyword
user.effective.full_name	用户的全名（如果可用）。	keyword
user.effective.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.effective.id	用户的唯一标识符。	keyword
user.effective.name	用户的短名称或登录名。	keyword
user.email	用户电子邮件地址。	keyword
user.full_name	用户的全名（如果可用）。	keyword
user.group.Ext	所有自定义定义字段所在的对象的类型。	object
user.group.Ext.real	在执行任何 setgid 操作之前的组信息。	object
user.group.Ext.real.id	系统/平台上组的唯一标识符。	keyword
user.group.Ext.real.name	组的名称。	keyword
user.group.domain	组所属目录的名称。例如，LDAP 或 Active Directory 域名。	keyword
user.group.id	系统/平台上组的唯一标识符。	keyword
user.group.name	组的名称。	keyword
user.hash	唯一的 user 哈希，用于以匿名形式关联用户的信息。如果 `user.id` 或 `user.name` 包含机密信息且无法使用，则此功能很有用。	keyword
user.id	用户的唯一标识符。	keyword
user.name	用户的短名称或登录名。	keyword
winlog.event_data	特定于事件的数据。这是 Windows 事件中使用的参数的非详尽列表。	object
winlog.event_data.PrivilegeList	分配给新登录的敏感权限数组。	keyword

指标

编辑

指标类型的文档存储在 metrics-endpoint.* 索引中。以下部分定义了端点发送的映射字段。

元数据

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Endpoint.capabilities	已启用的功能	keyword
Endpoint.configuration	配置字段表示非策略设置字段的预期和应用的设置。这反映了给定字段配置为执行的操作。同一字段的实际状态可以在 Endpoint.state 中找到。	object
Endpoint.configuration.isolation	主机与网络隔离的配置设置	boolean
Endpoint.policy	策略字段用于保存有关应用的策略的信息。	object
Endpoint.policy.applied	有关应用的策略的信息	object
Endpoint.policy.applied.id	应用策略的 ID	keyword
Endpoint.policy.applied.name	此应用策略的名称	keyword
Endpoint.policy.applied.status	应用策略的状态	keyword
Endpoint.state	表示非策略设置的当前状态。这些字段反映字段的当前状态，可能与配置的状态不同（请参阅 Endpoint.configuration）。	object
Endpoint.state.isolation	主机的当前网络隔离状态	boolean
Endpoint.status	端点的当前状态，例如，已注册、未注册。	keyword
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.名称	代理的自定义名称。这是一个可以赋予代理的名称。如果例如两个 Filebeat 实例在同一主机上运行，但需要以人工可读的方式分隔来自哪个 Filebeat 实例的数据，则这会很有帮助。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
弹性.代理	代理字段包含有关 Elastic Agent 的数据。Elastic Agent 是管理主机上其他代理或进程的管理代理。	object
弹性.代理.ID	此弹性代理的唯一标识符（如果存在）。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long

指标

编辑

指标文档包含有关端点可执行文件及其运行所在主机的性能信息。

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Endpoint.metrics	指标字段保存端点和系统的性能指标	object
Endpoint.metrics.cpu	CPU 统计信息	object
Endpoint.metrics.cpu.endpoint	端点的 CPU 指标	object
Endpoint.metrics.cpu.endpoint.histogram	此字段定义了一个 elasticsearch 直方图字段 (https://elastic.ac.cn/guide/en/elasticsearch/reference/current/histogram.html#histogram)。values 字段包含 20 个桶（每个桶为 5%），表示 CPU 使用率。counts 字段包含 20 个桶，表示端点的 CPU 使用率落入每个桶的次数。	histogram
Endpoint.metrics.cpu.endpoint.latest	最近采样间隔内的平均 CPU	half_float
Endpoint.metrics.cpu.endpoint.mean	端点使用的平均 CPU 负载	half_float
Endpoint.metrics.documents_volume	有关发送文档的统计信息	object
Endpoint.metrics.documents_volume.alerts.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.alerts.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.alerts.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.alerts.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.api_events.sent_bytes	发送的 API 事件文档的总大小	long
Endpoint.metrics.documents_volume.api_events.sent_count	发送的 API 事件文档的数量	long
Endpoint.metrics.documents_volume.api_events.sources	每个来源的 API 事件文档统计信息数组	object
Endpoint.metrics.documents_volume.api_events.sources.sent_bytes	从来源发送的 API 事件文档的总大小	long
Endpoint.metrics.documents_volume.api_events.sources.sent_count	从来源发送的 API 事件文档的数量	long
Endpoint.metrics.documents_volume.api_events.sources.source	API 事件文档的来源名称	keyword
Endpoint.metrics.documents_volume.api_events.sources.suppressed_bytes	从来源抑制的 API 事件文档的总大小	long
Endpoint.metrics.documents_volume.api_events.sources.suppressed_count	从来源抑制的 API 事件文档的数量	long
Endpoint.metrics.documents_volume.api_events.suppressed_bytes	抑制的 API 事件文档的总大小	long
Endpoint.metrics.documents_volume.api_events.suppressed_count	抑制的 API 事件文档的数量	long
Endpoint.metrics.documents_volume.diagnostic_alerts.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.diagnostic_alerts.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.diagnostic_alerts.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.diagnostic_alerts.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.dns_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.dns_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.dns_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.dns_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.file_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.file_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.file_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.file_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.library_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.library_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.library_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.library_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.network_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.network_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.network_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.network_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.overall.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.overall.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.overall.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.overall.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.process_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.process_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.process_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.process_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.registry_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.registry_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.registry_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.registry_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.documents_volume.security_events.sent_bytes	发送文档的总大小	long
Endpoint.metrics.documents_volume.security_events.sent_count	发送文档的数量	long
Endpoint.metrics.documents_volume.security_events.suppressed_bytes	抑制文档的总大小	long
Endpoint.metrics.documents_volume.security_events.suppressed_count	抑制文档的数量	long
Endpoint.metrics.event_filter.active_global_count	活动全局事件过滤器的数量	long
Endpoint.metrics.event_filter.active_user_count	活动用户事件过滤器的数量	long
Endpoint.metrics.memory	内存统计信息	object
Endpoint.metrics.memory.endpoint	端点内存利用率	object
Endpoint.metrics.memory.endpoint.private	端点私有的内存	object
Endpoint.metrics.memory.endpoint.private.latest	最近采样间隔内端点的内存使用情况	long
Endpoint.metrics.memory.endpoint.private.mean	自启动以来端点的平均内存使用情况	long
Endpoint.metrics.uptime	自启动以来的秒数	object
Endpoint.metrics.uptime.endpoint	自端点启动以来的秒数	long
Endpoint.metrics.uptime.system	自系统启动以来的秒数	long
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.end	`event.end` 包含事件结束的日期或上次观察到活动的时间。	date
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.start	`event.start` 包含事件开始的日期或首次观察到活动的时间。	date
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
host.architecture	操作系统架构。	keyword
host.domain	主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
host.type	主机类型。对于云提供商，这可以是机器类型，如 `t2.medium`。如果是虚拟机，这可以是容器，例如，或在您的环境中具有其他意义的信息。	keyword
host.uptime	主机已运行的秒数。	long
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text

策略响应

编辑

导出的字段

编辑

字段	描述	类型
@timestamp	事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收事件的时间填充。所有事件的必填字段。	date
Endpoint.configuration	配置字段表示非策略设置字段的预期和应用的设置。这反映了给定字段配置为执行的操作。同一字段的实际状态可以在 Endpoint.state 中找到。	object
Endpoint.configuration.isolation	主机与网络隔离的配置设置	boolean
Endpoint.policy	策略字段用于保存有关应用的策略的信息。	object
Endpoint.policy.applied	有关应用的策略的信息	object
Endpoint.policy.applied.artifacts	有关应用的保护构件的信息。	object
Endpoint.policy.applied.artifacts.global	有关应用的全局保护构件的信息。	object
Endpoint.policy.applied.artifacts.global.identifiers	应用的全局构件的标识符。	nested
Endpoint.policy.applied.artifacts.global.identifiers.name	应用的全局构件的名称。	keyword
Endpoint.policy.applied.artifacts.global.identifiers.sha256	应用的全局构件的 sha256。	keyword
Endpoint.policy.applied.artifacts.global.snapshot	应用的全局构件的快照日期或最新	keyword
Endpoint.policy.applied.artifacts.global.update_age	全局构件更新至今的天数	unsigned_long
Endpoint.policy.applied.artifacts.global.version	应用的全局构件的版本。	keyword
Endpoint.policy.applied.artifacts.user	有关应用的用户保护构件的信息。	object
Endpoint.policy.applied.artifacts.user.identifiers	应用的用户构件的标识符。	nested
Endpoint.policy.applied.artifacts.user.identifiers.name	应用的用户构件的名称。	keyword
Endpoint.policy.applied.artifacts.user.identifiers.sha256	应用的用户构件的 sha256。	keyword
Endpoint.policy.applied.artifacts.user.version	应用的用户构件的版本。	keyword
Endpoint.policy.applied.endpoint_policy_version	此应用策略的版本	keyword
Endpoint.policy.applied.id	应用策略的 ID	keyword
Endpoint.policy.applied.name	此应用策略的名称	keyword
Endpoint.policy.applied.status	应用策略的状态	keyword
Endpoint.policy.applied.version	此应用策略的版本	keyword
Endpoint.state	表示非策略设置的当前状态。这些字段反映字段的当前状态，可能与配置的状态不同（请参阅 Endpoint.configuration）。	object
Endpoint.state.isolation	主机的当前网络隔离状态	boolean
agent.build.original	代理的扩展构建信息。此字段旨在包含数据源可能提供的任何构建信息，不需要特定的格式。	keyword
代理.ID	此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。	keyword
代理.类型	代理的类型。代理类型始终保持不变，应由使用的代理给出。对于 Filebeat，即使在同一台机器上运行两个 Filebeat 实例，代理也始终是 Filebeat。	keyword
代理.版本	代理的版本。	keyword
数据流.数据集	数据流数据集名称。	常量关键字
数据流.命名空间	数据流命名空间。	常量关键字
数据流.类型	数据流类型。	常量关键字
ecs.版本	此事件符合的 ECS 版本。`ecs.version` 是一个必需字段，并且必须存在于所有事件中。在查询可能符合稍微不同的 ECS 版本的多个索引时，此字段允许集成调整为事件的架构版本。	keyword
事件.操作	事件捕获的操作。这描述了事件中的信息。它比 `event.category` 更具体。示例包括 `group-add`、`process-started`、`file-created`。该值通常由实现者定义。	keyword
event.category	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第二层。 `event.category` 表示 ECS 类别的“大桶”。例如，筛选 `event.category:process` 会产生与进程活动相关的所有事件。此字段与用作子类别的 `event.type` 密切相关。此字段是一个数组。这将允许正确分类某些属于多个类别的事件。	keyword
event.code	此事件的标识代码（如果存在）。某些事件源使用事件代码来明确地标识消息，而不管消息语言或随时间调整的措辞如何。Windows 事件 ID 就是一个例子。	keyword
event.created	`event.created` 包含代理或管道首次读取事件的日期/时间。此字段与 `@timestamp` 不同，因为 `@timestamp` 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。这种差异可用于计算事件源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果两个时间戳相同，则应使用 `@timestamp`。	date
event.dataset	数据集的名称。如果事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则数据集用于指定事件来自哪个日志或事件。建议（但不是必需）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。	keyword
event.hash	原始字段的哈希（可能是 logstash 指纹），以便能够证明日志完整性。	keyword
event.id	用于描述事件的唯一 ID。	keyword
event.ingested	事件到达中央数据存储的时间戳。这与 `@timestamp` 不同，`@timestamp` 是事件最初发生的时间。它也与 `event.created` 不同，`event.created` 旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳在时间顺序上应如下所示：`@timestamp` < `event.created` < `event.ingested`。	date
event.kind	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最高级别。 `event.kind` 提供有关事件包含的信息类型的高级信息，而无需具体说明事件的内容。例如，此字段的值区分警报事件和指标事件。此字段的值可用于告知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它还可以帮助了解数据是否以固定的时间间隔传入。	keyword
event.module	此数据来自的模块的名称。如果您的监视代理支持模块或插件的概念来处理给定来源的事件（例如，Apache 日志），则 `event.module` 应包含此模块的名称。	keyword
event.outcome	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。 `event.outcome` 只是表示从生成事件的实体的角度来看，事件是成功还是失败。请注意，当单个事务在多个事件中描述时，根据其角度，每个事件可能会填充不同的 `event.outcome` 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，应使用最能从事件生成器的角度捕获总体成功或失败的值填充此字段。此外请注意，并非所有事件都有关联的结果。例如，对于指标事件，`event.type:info` 的事件，或任何结果在逻辑上没有意义的事件，通常不会填充此字段。	keyword
event.provider	事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd）或操作系统的子系统（内核、Microsoft-Windows-Security-Auditing）。	keyword
event.sequence	事件的序列号。序列号是某些事件源发布的值，以便使事件的确切顺序明确，而不管时间戳的精度如何。	long
event.severity	根据事件源，事件的数值严重性。不同的严重性值所代表的含义在不同的源和用例之间可能有所不同。由实现者来确保来自同一来源的事件的严重性一致。Syslog 严重性属于 `log.syslog.severity.code`。`event.severity` 旨在表示根据事件源（例如，防火墙、IDS）的严重性。如果事件源未发布其自身的严重性，您可以选择将 `log.syslog.severity.code` 复制到 `event.severity`。	long
event.type	这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的第三级。 `event.type` 表示一个分类“子桶”，当与 `event.category` 字段值一起使用时，可以将事件筛选到适合单个可视化的级别。此字段是一个数组。这将允许正确分类某些属于多个事件类型的事件。	keyword
host.architecture	操作系统架构。	keyword
host.hostname	主机的 hostname。它通常包含主机上 `hostname` 命令返回的内容。	keyword
host.id	唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。例如：当前使用的 `beat.name`。	keyword
host.ip	主机 IP 地址。	IP
host.mac	主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）用两个[大写]十六进制数字表示，给出该八位字节的值作为无符号整数。连续的八位字节用连字符分隔。	keyword
host.name	主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。	keyword
host.os.Ext	所有自定义定义字段所在的对象的类型。	object
host.os.Ext.variant	一个字符串值或短语，进一步帮助分类或限定操作系统 (OS)。例如，Linux 操作系统的发行版将在此字段中输入。	keyword
host.os.family	操作系统系列（例如 redhat、debian、freebsd、windows）。	keyword
host.os.full	操作系统名称，包括版本或代号。	keyword
host.os.kernel	操作系统内核版本（原始字符串形式）。	keyword
host.os.name	操作系统名称，不带版本。	keyword
host.os.platform	操作系统平台（例如 centos、ubuntu、windows）。	keyword
host.os.type	使用 `os.type` 字段将操作系统分类为广泛的商业系列之一。如果您正在处理的操作系统未列为预期值，则不应填充该字段。请通过提交 ECS 的问题来告知我们，以建议添加它。	keyword
host.os.version	操作系统版本（原始字符串形式）。	keyword
message	对于日志事件，message 字段包含日志消息，针对在日志查看器中查看进行了优化。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人类可读摘要。如果存在多条消息，可以将它们组合成一条消息。	match_only_text

变更日志

编辑

变更日志

版本	详细信息	Kibana 版本
8.17.0	增强 (查看拉取请求) 准备 8.17	8.17.0 或更高版本
8.16.0	增强 (查看拉取请求) WMI 事件字段并添加缺少的自定义文档字段增强 (查看拉取请求) 将 winlog.event_data.PrivilegeList 添加到安全事件增强 (查看拉取请求) API - DeviceIoControl 事件和新的 final_user_module 字段增强 (查看拉取请求) WMI (WMI-Activity ETW Provider) API 事件（生产）增强 (查看拉取请求) 将 Target.process.Ext.authentication_id 和 process.Ext.authentication_id 添加到安全事件增强 (查看拉取请求) 启用端点 policy.applied.artifacts 映射增强 (查看拉取请求) 索引 API 事件中的 call_stack_summary	8.16.0 或更高版本
8.15.2	增强 (查看拉取请求) 辅助恶意软件签名字段	8.15.0 或更高版本
8.15.1	增强 (查看拉取请求) 将 process.Ext.protection 添加到 Windows 库事件	8.15.0 或更高版本
8.15.0	增强 (查看拉取请求) 将 `file.origin_referrer_url` 和 `file.origin_url` 添加到 FileEvent 增强 (查看拉取请求) 添加心跳 `billable` 字段增强 (查看拉取请求) 将 event.dataset 添加到 api 数据流增强 (查看拉取请求) 将 truncated_stack 添加到 api.behaviors 文档 Bug 修复 (查看拉取请求) 修复 ecs 构建工具的格式/顺序	8.15.0 或更高版本
8.14.0	增强 (查看拉取请求) HWBP ⇒ 生产增强 (查看拉取请求) API 事件字段更新增强 (查看拉取请求) 添加了有效用户字段。	8.14.0 或更高版本
8.13.0	增强 (查看拉取请求) 修复 kibana 版本条件和额外的 buildkite 设置增强 (查看拉取请求) 添加 8.12 自定义文档增强 (查看拉取请求) 文件重命名事件的原始扩展字段增强 (查看拉取请求) 替换更多点键增强 (查看拉取请求) 项目清单更新时间、快照日期增强 (查看拉取请求) object_type: keyword 增强 (查看拉取请求) 重新格式化元数据 yaml，移除点号键	8.13.0 或更高版本
8.12.0	增强 (查看拉取请求) 额外的进程调用堆栈字段增强 (查看拉取请求) 项目清单更新时间、快照日期增强 (查看拉取请求) 向 api 事件添加 memory_region 增强 (查看拉取请求) 键盘记录 (Win32k ETW) API 事件增强 (查看拉取请求) 键盘记录 (Win32k ETW) API 事件（重命名一些字段）增强 (查看拉取请求) 标记集成需要 root 级代理	8.12.0 或更高版本
8.11.0	增强 (查看拉取请求) 更新无服务器过滤的软件包规范和功能增强 (查看拉取请求) ETW 威胁情报 API 事件增强 (查看拉取请求) 向进程事件添加 Linux 功能增强 (查看拉取请求) 添加更多缺失的 custom_documentation 字段增强 (查看拉取请求) 用于库加载事件的有效进程增强 (查看拉取请求) 在 Windows 上添加更多自定义文档字段增强 (查看拉取请求) [macOS] 为文件事件添加 Effective_process 字段增强 (查看拉取请求) 移动自定义文档的呈现位置	8.11.0 或更高版本
8.10.2	错误修复 (查看拉取请求) 还原转换模式 v2	8.10.0 或更高版本
8.10.1	错误修复 (查看拉取请求) 还原无人值守转换	8.10.0 或更高版本
8.10.0	增强 (查看拉取请求) 将转换设置为无人值守增强 (查看拉取请求) 添加了进程回滚字段增强 (查看拉取请求) 转换模式 v2 增强 (查看拉取请求) 为 API 事件添加 `code_signature` 映射增强 (查看拉取请求) 键盘记录 (Win32k ETW) API 事件指标增强 (查看拉取请求) 添加心跳 ds 增强 (查看拉取请求) 添加端点自定义文档增强 (查看拉取请求) [安全解决方案] 更新描述副本	8.10.0 或更高版本
8.9.1	增强 (查看拉取请求) 更新描述副本	8.9.0 或更高版本
8.9.0	错误修复 (查看拉取请求) 通过将字符串替换为关键字来修复映射错误增强 (查看拉取请求) ETW 威胁情报 API 事件指标	8.9.0 或更高版本
8.8.0	增强 (查看拉取请求) 将警报中的 action.key.values 更改为对象增强 (查看拉取请求) 添加了与恢复值关联的注册表回滚字段增强 (查看拉取请求) 文件系统类型增强 (查看拉取请求) 向进程、文件、注册表和映像/库加载事件添加线程调用堆栈增强 (查看拉取请求) 将注册表回滚字段添加到软件包增强 (查看拉取请求) 添加与规则和警报相关的字段增强 (查看拉取请求) 更新端点软件包类别增强 (查看拉取请求) [内存保护] 添加用于检测蹦床的字段。	8.8.0 或更高版本
8.7.1	增强 (查看拉取请求) 更新软件包概述增强 (查看拉取请求) 使 process.Ext.api.name 可索引	8.7.0 或更高版本
8.7.0	增强 (查看拉取请求) 将 ECS 更新到 8.7-dev 增强 (查看拉取请求) 添加持久性事件增强 (查看拉取请求) 11957 硬件断点设置增强 (查看拉取请求) 将不支持的 u64 类型更新为 unsigned_long 增强 (查看拉取请求) 为 API 事件类型添加新的数据流增强 (查看拉取请求) 报告 DLL 大小增强 (查看拉取请求) 缓解策略	8.7.0 或更高版本
8.6.1	增强 (查看拉取请求) 将 process.Ext.session 重命名为 session_info 并恢复旧版 keyword 字段增强 (查看拉取请求) 将 ECS 更新到 8.5.2	8.6.0 或更高版本
8.6.0	增强 (查看拉取请求) 将 entity_id 添加到文件和网络增强 (查看拉取请求) 将 .NET 元数据哈希添加到恶意软件警报增强 (查看拉取请求) 添加 call_stack_contains_unbacked 增强 (查看拉取请求) 将会话数据添加到 Windows 进程创建事件	8.6.0 或更高版本
8.5.0	增强 (查看拉取请求) 将集成重命名为 Elastic Defend 增强 (查看拉取请求) 添加 process.tty 和 process.io 字段增强 (查看拉取请求) 更新联合索引以包含新的 Fleet 代理字段增强 (查看拉取请求) 将认证字段添加到 process.entry_leader	8.5.0 或更高版本
8.4.1	增强 (查看拉取请求) 添加 volume_device_type 增强 (查看拉取请求) 添加 container.image.hash.all、 orchestrator.cluster.id、 orchestrator.resource.ip、 orchestrator.resource.parent.type	8.4.0 或更高版本
8.4.0	增强 (查看拉取请求) 添加 Effective_process 和 effective_parent 增强 (查看拉取请求) 在警报和进程中添加容器和云字段增强 (查看拉取请求) 添加 Ext.device 字段，更正一些 memory_address 字段名称，添加 system_impact 指标增强 (查看拉取请求) 添加文件创建时间增强 (查看拉取请求) 添加 process.end 增强 (查看拉取请求) 添加 attack_surface_reduction 字段	8.4.0 或更高版本
1.3.0-dev.0	增强 (待定[查看拉取请求]) 待定	—
1.2.2	Bug 修复 (查看拉取请求) malware_signature.primary.matches 应为关键字	7.16.0 或更高版本
1.2.1	Bug 修复 (查看拉取请求) 重做 security_attributes 生成 Bug 修复 (查看拉取请求) 增加警报嵌套字段限制	7.16.0 或更高版本
1.2.0	增强 (查看拉取请求) 将最低 Kibana 版本设置为 7.16 Bug 修复 (查看拉取请求) 删除未使用的 exceptionable 增强 (查看拉取请求) 将 Endpoint.metrics.documents_volume 添加到指标流增强 (查看拉取请求) 更新 "metadata_current" 转换描述增强 (查看拉取请求) 添加 metadata-united 转换增强 (查看拉取请求) 为端点操作添加新的数据流增强 (查看拉取请求) 为凭据保护和内存扫描添加端点字段增强 (查看拉取请求) 添加进程 security_attributes	7.16.0 或更高版本
1.1.1	Bug 修复 (查看拉取请求) 将 Events 转换为对象字段	7.15.0 或更高版本
1.1.0	增强 (查看拉取请求) 多进程勒索软件的更改增强 (查看拉取请求) 为内存保护警报添加 malware_signature 增强 (查看拉取请求) 将 memory_protection 字段添加到策略响应 Bug 修复 (查看拉取请求) 不索引内存区域字符串增强 (查看拉取请求) 将 Endpoint.capabilities 添加到元数据增强 (查看拉取请求) 此版本的最低支持 Kibana 为 7.15 增强 (查看拉取请求) 添加更多行为保护字段（ip、code_signature、dns、registry）增强 (查看拉取请求) 添加规则检测事件模式增强 (查看拉取请求) 添加所有 code_signature ECS 字段增强 (查看拉取请求) 更新至 ECS 1.11.0	7.15.0 或更高版本
1.0.0	增强 (查看拉取请求) GA 版本	7.14.0 或更高版本

« Elastic Security 容器工作负载保护如何工作 »