« 横向移动检测模型 利用合法工具攻击检测 »
Elastic 文档 ›Elastic 集成

Linux 集成

编辑

Linux 集成

编辑

版本

0.6.11 [测试版] 此功能为测试版，可能会发生变化。其设计和代码不如正式 GA 功能成熟，并按“原样”提供，不提供任何担保。测试版功能不受正式 GA 功能的支持 SLA 约束。 (查看全部)

兼容的 Kibana 版本

7.14.0 或更高版本
8.0.0 或更高版本

支持的无服务器项目类型
这是什么？

安全
可观测性

订阅级别
这是什么？

基本

Linux 指标集成允许您监视 Linux 服务器。

使用 Linux 指标集成来收集底层指标。然后在 Kibana 中可视化这些数据，创建警报以便在出现问题时通知您，并在排除问题时参考数据。

例如，您可以安装 Linux 指标集成以将指标发送到 Elastic。然后，您可以在 Kibana 的[指标 Linux]主机服务概览仪表板中查看服务状态的实时变化。

数据流

编辑

Linux 指标集成收集一种类型的数据：指标。

指标让您深入了解机器的状态。Linux 指标集成收集的指标数据流包括性能计数器值、内存使用情况、熵可用性等等。请参阅指标参考中的更多详细信息。

要求

编辑

您需要 Elasticsearch 来存储和搜索数据，以及 Kibana 来可视化和管理数据。您可以使用我们在 Elastic Cloud 上的托管 Elasticsearch 服务（推荐），或者在您自己的硬件上自行管理 Elastic Stack。

某些数据流可能会访问 /proc 以收集进程信息，并且内核通过 ptrace_may_access() 调用来检查权限可能会被 AppArmor 和其他 LSM 软件阻止，即使 System 模块不直接使用 ptrace。

设置

编辑

有关如何设置集成的逐步说明，请参阅入门指南。

因为 Linux 指标集成始终应用于本地服务器，所以不需要 hosts 配置选项。

在容器内运行时，应使用 system.hostfs 设置将主机的 proc 文件系统目录设置为 /hostfs。

指标参考

编辑

Conntrack

编辑

conntrack 模块报告 Linux netfilter 连接跟踪组件的性能计数器。Conntrack 使用哈希表来跟踪网络连接的状态。

Iostat

编辑

iostat 模块报告每个磁盘的 IO 统计信息，该统计信息模拟 Linux 上的 iostat -x。

KSM

编辑

KSM 模块报告来自内核共享页合并的数据。要利用 KSM，应用程序必须使用 madvise 系统调用来标记要合并的内存区域。并非所有发行版都启用 KSM，并且 KSM 状态是通过 CONFIG_KSM 内核标志设置的。

内存

编辑

memory 数据流扩展了 system/memory，并添加了特定于 Linux 的内存指标，包括大页和整体分页统计信息。

Pageinfo

编辑

pageinfo 数据流报告 /proc/pagetypeinfo 中找到的分页统计信息。

报告的指标按页面类型细分：DMA、DMA32、Normal 和 Highmem。这些类型会进一步按顺序细分，该顺序表示 2^ORDER*PAGE_SIZE 的区域。这些指标分为两种报告类型

  • buddyinfo 按页面类型进行汇总（如 /proc/buddyinfo 中所示）
  • nodes 报告按内存迁移类型细分的信息

此信息可用于确定内存碎片。内核伙伴算法将始终搜索要分配的最小页面顺序，如果没有任何页面可用，则会将更大的页面顺序拆分为两个“伙伴”。释放内存时，内核会尝试合并“伙伴”。如果唯一可用的页面是较低的顺序，则表示存在碎片，因为伙伴页面无法合并。

熵

编辑

这是模块系统的 entropy 数据流。它收集以位为单位的可用熵量。在内核版本大于 2.6 的情况下，熵将从 4096 的总池大小中取出。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

system.entropy.available_bits

可用熵位数

长整型

system.entropy.pct

可用熵的百分比，相对于 4096 的池大小

缩放浮点数

网络摘要

编辑

Linux network_summary 数据流提供从操作系统收集的网络 IO 指标。这些事件是全局的，并按协议排序。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

system.network_summary.icmp.*

ICMP 计数器

对象

system.network_summary.ip.*

IP 计数器

对象

system.network_summary.tcp.*

TCP 计数器

对象

system.network_summary.udp.*

UDP 计数器

对象

system.network_summary.udp_lite.*

UDP Lite 计数器

对象

RAID

编辑

这是模块系统的 raid 数据流。它收集有关 raid 的统计信息。

此数据流可在以下平台上使用

  • Linux
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

system.raid.blocks.synced

设备上同步的块数，以 1024 字节的块为单位。

长整型

system.raid.blocks.total

设备保存的块数，以 1024 字节的块为单位。

长整型

system.raid.disks.active

活动磁盘数。

长整型

system.raid.disks.failed

失败磁盘数。

长整型

system.raid.disks.spare

备用磁盘的数量。

长整型

system.raid.disks.states.*

原始磁盘状态的映射

对象

system.raid.disks.total

设备包含的磁盘总数。

长整型

system.raid.level

设备的 RAID 级别

关键字

system.raid.name

设备的名称。

关键字

system.raid.status

设备的活动状态。

关键字

system.raid.sync_action

当前同步操作，如果 RAID 阵列是冗余的

关键字

服务

编辑

service 数据流报告 systemd 服务的状态。

此数据流可在以下平台上使用

  • Linux
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host

主机被定义为通用计算实例。ECS host.* 字段应填充有关事件发生或进行测量的所在主机的详细信息。主机类型包括硬件、虚拟机、Docker 容器和 Kubernetes 节点。

group

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.full

操作系统名称，包括版本或代号。

关键字

host.os.full.text

host.os.full 的多字段。

match_only_text

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

process

这些字段包含有关进程的信息。这些字段可以帮助您将指标信息与日志消息中的进程 ID/名称相关联。process.pid 通常保留在指标本身中，并复制到全局字段以进行关联。

group

process.exit_code

进程的退出代码（如果这是一个终止事件）。如果事件没有退出代码，则该字段应不存在（例如，进程启动）。

长整型

process.name

进程名称。有时称为程序名称或类似名称。

关键字

process.name.text

process.name 的多字段。

match_only_text

process.pgid

进程所属的进程组的标识符。

长整型

process.pid

进程 ID。

长整型

process.ppid

父进程的 PID。

长整型

process.working_directory

进程的工作目录。

关键字

process.working_directory.text

process.working_directory 的多字段。

match_only_text

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

system.service.exec_code

来自服务主进程的 SIGCHLD 代码

关键字

system.service.load_state

服务的加载状态

关键字

system.service.name

服务的名称

关键字

system.service.resources.cpu.usage.ns

CPU 使用率（以纳秒为单位）

长整型

system.service.resources.memory.usage.bytes

内存使用量（以字节为单位）

长整型

system.service.resources.network.in.bytes

传入字节数

长整型

system.service.resources.network.in.packets

传入数据包数

长整型

system.service.resources.network.out.bytes

传出字节数

长整型

system.service.resources.network.out.packets

传出数据包数

长整型

system.service.resources.tasks.count

与服务关联的任务数

长整型

system.service.state

服务的活动状态

关键字

system.service.state_since

上次状态更改的时间戳。如果服务处于活动且运行状态，则这是其正常运行时间。

日期

system.service.sub_state

服务的子状态

关键字

systemd.fragment_path

服务文件位置

关键字

systemd.unit

服务单元名称

关键字

user

用户字段描述与事件相关的用户信息。字段可以有一个或多个条目。如果用户有多个 ID，请提供一个包含所有 ID 的数组。

group

user.name

用户的简称或登录名。

关键字

user.name.text

user.name 的多字段。

match_only_text

套接字

编辑

此数据流需要 2.6.14 或更高版本的内核。

Linux socket 数据流会报告它看到的每个新的 TCP 套接字的事件。它通过定期轮询内核来获取所有套接字的转储来实现这一点。您可以通过配置 period 选项来设置轮询间隔。指定一个较短的轮询间隔对于此数据流非常重要，以避免错过短暂的连接。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

network

网络被定义为发生主机或网络事件的通信路径。network.* 字段应填充与事件相关的网络活动的详细信息。

group

network.direction

网络流量的方向。建议的值为：* ingress * egress * inbound * outbound * internal * external * unknown 当从基于主机的监控环境中映射事件时，请从主机的角度填充此字段，使用值“ingress”或“egress”。当从基于网络或外围的监控环境中映射事件时，请从网络外围的角度填充此字段，使用值“inbound”、“outbound”、“internal”或“external”。请注意，“internal”不会跨越外围边界，而是指外围内两台主机之间的通信。还要注意，“external”是指两个外部主机的流量。例如，这对于 ISP 或 VPN 服务提供商很有用。

关键字

network.type

在 OSI 模型中，这将是网络层。ipv4、ipv6、ipsec、pim 等。该字段值必须标准化为小写，以便进行查询。请参阅“实施 ECS”文档部分。

关键字

process

这些字段包含有关进程的信息。这些字段可以帮助您将指标信息与日志消息中的进程 ID/名称相关联。process.pid 通常保留在指标本身中，并复制到全局字段以进行关联。

group

process.executable

进程可执行文件的绝对路径。

关键字

process.executable.text

process.executable 的多字段。

match_only_text

process.name

进程名称。有时称为程序名称或类似名称。

关键字

process.name.text

process.name 的多字段。

match_only_text

process.pid

进程 ID。

长整型

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

system.socket.local.ip

本地 IP 地址。可以是 IPv4 或 IPv6 地址。

IP

system.socket.local.port

本地端口。

长整型

system.socket.process.cmdline

完整命令行

关键字

system.socket.remote.etld_plus_one

远程主机的有效顶级域名 (eTLD) 加一个标签。例如，“foo.bar.golang.org.”的 eTLD+1 是“golang.org.”。用于确定 eTLD 的数据来自 http://publicsuffix.org 的嵌入式数据副本。

关键字

system.socket.remote.host

与远程 IP 关联的 PTR 记录。它通过反向 IP 查找获得。

关键字

system.socket.remote.host_error

描述反向查找失败原因的错误。

关键字

system.socket.remote.ip

远程 IP 地址。可以是 IPv4 或 IPv6 地址。

IP

system.socket.remote.port

远程端口。

长整型

user

用户字段描述与事件相关的用户信息。字段可以有一个或多个条目。如果用户有多个 ID，请提供一个包含所有 ID 的数组。

group

user.full_name

用户的全名（如果可用）。

关键字

user.full_name.text

user.full_name 的多字段。

match_only_text

user.id

用户的唯一标识符。

关键字

用户

编辑

users 数据流通过 dbus 和 logind（一个 systemd 组件）报告已登录用户和关联的会话。默认情况下，数据流会在 /var/run/dbus/ 中查找系统套接字，但可以使用 DBUS_SYSTEM_BUS_ADDRESS 选择新的路径。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.account.id

用于在多租户环境中标识不同实体的云帐户或组织 ID。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。

关键字

cloud.availability_zone

此主机正在其中运行的可用区。

关键字

cloud.image.id

云实例的映像 ID。

关键字

cloud.instance.id

主机机器的实例 ID。

关键字

cloud.instance.name

主机机器的实例名称。

关键字

cloud.machine.type

主机机器的机器类型。

关键字

cloud.project.id

Google Cloud 中项目的名称。

关键字

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

关键字

cloud.region

此主机正在其中运行的区域。

关键字

container.id

唯一容器 ID。

关键字

container.image.name

构建容器所依据的映像的名称。

关键字

container.labels

映像标签。

对象

container.name

容器名称。

关键字

data_stream.dataset

数据流数据集。

常量关键字

data_stream.namespace

数据流命名空间。

常量关键字

data_stream.type

数据流类型。

常量关键字

ecs.version

此事件符合的 ECS 版本。ecs.version 是必需字段，并且必须存在于所有事件中。在跨多个索引（这些索引可能符合稍微不同的 ECS 版本）进行查询时，此字段允许集成调整到事件的架构版本。

关键字

event.dataset

事件数据集

常量关键字

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则此值应为结束时间和开始时间之间的差值。

长整型

event.module

事件模块

常量关键字

host.architecture

操作系统架构。

关键字

host.containerized

主机是否为容器。

布尔值

host.domain

主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

关键字

host.hostname

主机的主机名。它通常包含主机机器上 hostname 命令返回的内容。

关键字

host.id

唯一主机 ID。由于主机名并不总是唯一的，请使用在您的环境中具有意义的值。示例：当前 beat.name 的用法。

关键字

host.ip

主机 IP 地址。

IP

host.mac

主机 MAC 地址。

关键字

host.name

主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名或用户指定的名称。发送方决定使用哪个值。

关键字

host.os.build

OS 构建信息。

关键字

host.os.codename

OS 代码名称（如果有）。

关键字

host.os.family

OS 系列（例如 redhat、debian、freebsd、windows）。

关键字

host.os.kernel

作为原始字符串的操作系统内核版本。

关键字

host.os.name

操作系统名称，不含版本。

关键字

host.os.name.text

host.os.name 的多字段。

文本

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

关键字

host.os.version

作为原始字符串的操作系统版本。

关键字

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为虚拟机，这可以是容器，例如，或在您的环境中具有意义的其他信息。

关键字

service.address

从中收集有关此服务的数据的地址。这应为 URI、网络地址（ipv4:port 或 [ipv6]:port）或资源路径（套接字）。

关键字

service.type

从中收集服务数据的服务类型。类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 中收集日志或指标，则 service.type 将为 elasticsearch。

关键字

source

源字段捕获有关网络交换/数据包的发送者的详细信息。这些字段是从网络事件、数据包或其他包含网络事务详细信息的事件中填充的。源字段通常与目标字段结合使用。源和目标字段被认为是基线，如果事件包含来自网络事务的源和目标详细信息，则应始终填写这些字段。如果事件还包含客户端和服务器角色的标识，则还应填充客户端和服务器字段。

group

source.ip

源的 IP 地址（IPv4 或 IPv6）。

IP

source.port

源的端口。

长整型

system.users.id

会话的 ID

关键字

system.users.leader

会话的根 PID

长整型

system.users.path

会话的 DBus 对象路径

关键字

system.users.remote

一个指示远程会话的布尔值

布尔值

system.users.remote_host

会话的远程主机地址

关键字

system.users.scope

关联的 systemd 范围

关键字

system.users.seat

关联的 logind 座位

关键字

system.users.service

与服务关联的会话

关键字

system.users.state

会话的当前状态

关键字

system.users.type

用户会话的类型

关键字

更新日志

编辑
更新日志
版本 详细信息 Kibana 版本

0.6.11

错误修复 (查看拉取请求)
修复服务处理器。

—

0.6.10

增强 (查看拉取请求)
向 Linux 指标添加处理器功能。

—

0.6.9

错误修复 (查看拉取请求)
修复过滤器列表类型

—

0.6.8

增强 (查看拉取请求)
修复文档中的错别字。

—

0.6.7

增强 (查看拉取请求)
更新文档，为新用户提供更多上下文。

—

0.6.6

错误修复 (查看拉取请求)
修复 vmstat 内存中的映射

—

0.6.5

错误修复 (查看拉取请求)
为内存映射添加更多字段

—

0.6.4

错误修复 (查看拉取请求)
为内存映射添加字段

—

0.6.3

增强 (查看拉取请求)
添加多字段文档

—

0.6.2

错误修复 (查看拉取请求)
更一致地使用 Proc 文件系统目录设置

增强 (查看拉取请求)
支持 Kibana 8

—

0.6.1

增强 (查看拉取请求)
与指南保持一致

—

0.6.0

增强 (查看拉取请求)
更新到 ECS 1.12.0

—

0.5.1

增强 (查看拉取请求)
转义文档中的特殊字符

—

0.5.0

增强 (查看拉取请求)
更新集成描述

—

0.4.2

增强 (查看拉取请求)
添加系统测试

—

0.4.1

增强 (查看拉取请求)
修复 network_summary 中的 event.module

—

0.4.0

增强 (查看拉取请求)
设置 "event.module" 和 "event.dataset"

—

0.3.10

错误修复 (查看拉取请求)
默认启用一些 Linux 数据流

—

0.3.9

错误修复 (查看拉取请求)
修复 linux/users 中 IP 字段的映射

增强 (查看拉取请求)
更新软件包所有者

—

0.3.8

错误修复 (查看拉取请求)
添加 Guard

—

0.1.0

增强 (查看拉取请求)
初始版本

—
« 横向移动检测模型 利用合法工具攻击检测 »