› ›

SentinelOne

版本	1.27.0（查看全部）
兼容的 Kibana 版本	8.13.0 或更高版本
支持的无服务器项目类型这是什么？	安全可观测性
订阅级别这是什么？	基本
支持级别这是什么？	Elastic

SentinelOne 集成从 SentinelOne REST API 收集和解析数据。此集成还提供了直接通过 Elastic Security 界面对 SentinelOne 主机执行响应操作的功能（在 v8.12.0 中引入）。需要额外的配置；有关详细指导，请参阅文档。

兼容性

编辑

此模块已针对 SentinelOne Management Console API 版本 2.1 进行测试。

API 令牌

编辑

要从 SentinelOne API 收集数据，您必须拥有 API 令牌。要创建 API 令牌，请按照以下步骤操作

以管理员身份登录到SentinelOne 管理控制台。 image::images/sentinel_one/sentinel-one-dashboard.png[SentinelOne 仪表板]
从导航栏右上角的面板导航到已登录用户帐户。
单击我的用户。
在 API 令牌部分，单击生成。
image::images/sentinel_one/sentinel-one-api-token-generate.png[SentinelOne 生成 API 令牌]

注意

编辑

用户生成的 API 令牌有时限。要轮换新的令牌，请使用专用管理员帐户登录。

alert 数据流取决于 STAR 自定义规则。STAR 自定义规则在云环境中受支持，但在本地环境中不受支持。因此，alert 数据流在本地环境中不受支持。

日志

编辑

activity

编辑

这是 activity 数据集。

示例

activity 的示例事件如下所示

{
    "@timestamp": "2022-04-05T16:01:56.995Z",
    "agent": {
        "ephemeral_id": "630c4de2-59ec-4613-ab7d-261434a79313",
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "sentinel_one.activity",
        "namespace": "83396",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "configuration"
        ],
        "created": "2024-06-12T03:21:55.005Z",
        "dataset": "sentinel_one.activity",
        "ingested": "2024-06-12T03:22:05Z",
        "kind": "event",
        "original": "{\"accountId\":\"1234567890123456789\",\"accountName\":\"Default\",\"activityType\":1234,\"agentId\":null,\"agentUpdatedVersion\":null,\"comments\":null,\"createdAt\":\"2022-04-05T16:01:56.995120Z\",\"data\":{\"accountId\":1234567890123456800,\"accountName\":\"Default\",\"fullScopeDetails\":\"Account Default\",\"fullScopeDetailsPath\":\"test/path\",\"groupName\":null,\"scopeLevel\":\"Account\",\"scopeName\":\"Default\",\"siteName\":null,\"username\":\"test user\"},\"description\":null,\"groupId\":null,\"groupName\":null,\"hash\":null,\"id\":\"1234567890123456789\",\"osFamily\":null,\"primaryDescription\":\"created Default account.\",\"secondaryDescription\":null,\"siteId\":null,\"siteName\":null,\"threatId\":null,\"updatedAt\":\"2022-04-05T16:01:56.992136Z\",\"userId\":\"1234567890123456789\"}",
        "type": [
            "creation"
        ]
    },
    "input": {
        "type": "httpjson"
    },
    "related": {
        "user": [
            "test user"
        ]
    },
    "sentinel_one": {
        "activity": {
            "account": {
                "id": "1234567890123456789",
                "name": "Default"
            },
            "data": {
                "account": {
                    "id": "1234567890123456800",
                    "name": "Default"
                },
                "fullscope": {
                    "details": "Account Default",
                    "details_path": "test/path"
                },
                "scope": {
                    "level": "Account",
                    "name": "Default"
                }
            },
            "description": {
                "primary": "created Default account."
            },
            "id": "1234567890123456789",
            "type": 1234,
            "updated_at": "2022-04-05T16:01:56.992Z"
        }
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "sentinel_one-activity"
    ],
    "user": {
        "full_name": "test user",
        "id": "1234567890123456789"
    }
}

导出的字段

字段	描述	类型
@timestamp	事件时间戳。	date
cloud.image.id	云实例的映像 ID。	keyword
data_stream.dataset	数据流数据集。	constant_keyword
data_stream.namespace	数据流命名空间。	constant_keyword
data_stream.type	数据流类型。	constant_keyword
event.dataset	事件数据集。	constant_keyword
event.module	事件模块。	constant_keyword
host.containerized	如果主机是容器。	boolean
host.os.build	操作系统构建信息。	keyword
host.os.codename	操作系统代号（如果有）。	keyword
input.type	输入类型	keyword
log.offset	日志偏移量	long
log.source.address	从中读取/发送日志事件的源地址。	keyword
sentinel_one.activity.account.id	相关帐户 ID（如果适用）。	keyword
sentinel_one.activity.account.name	相关帐户名称（如果适用）。	keyword
sentinel_one.activity.agent.id	相关代理（如果适用）。	keyword
sentinel_one.activity.comments	注释。	keyword
sentinel_one.activity.data.account.id	相关帐户 ID（如果适用）。	keyword
sentinel_one.activity.data.account.name	相关帐户名称（如果适用）。	keyword
sentinel_one.activity.data.attr	属性。	keyword
sentinel_one.activity.data.changed_keys	已更改的键。	keyword
sentinel_one.activity.data.confidence.level	置信度。	keyword
sentinel_one.activity.data.created_at	创建时间。	date
sentinel_one.activity.data.description	描述。	keyword
sentinel_one.activity.data.downloaded.url	下载的 URL。	keyword
sentinel_one.activity.data.flattened	额外的活动特定数据。	flattened
sentinel_one.activity.data.fullscope.details	完整范围详细信息。	keyword
sentinel_one.activity.data.fullscope.details_path	完整范围详细信息路径。	keyword
sentinel_one.activity.data.global.status	全局状态。	keyword
sentinel_one.activity.data.group	相关组（如果适用）。	keyword
sentinel_one.activity.data.group_name	相关组名称（如果适用）。	keyword
sentinel_one.activity.data.malicious.process.arguments	恶意进程参数。	keyword
sentinel_one.activity.data.new.confidence_level	新的置信度。	keyword
sentinel_one.activity.data.new.status	状态。	keyword
sentinel_one.activity.data.new.value	值。	keyword
sentinel_one.activity.data.old.confidence_level	旧的置信度。	keyword
sentinel_one.activity.data.optionals_groups	可选组。	keyword
sentinel_one.activity.data.original.status	原始状态。	keyword
sentinel_one.activity.data.policy	策略。	flattened
sentinel_one.activity.data.policy_name	策略名称。	keyword
sentinel_one.activity.data.reason	原因。	keyword
sentinel_one.activity.data.role	角色。	keyword
sentinel_one.activity.data.role_name	角色名称。	keyword
sentinel_one.activity.data.scope.level	范围级别。	keyword
sentinel_one.activity.data.scope.name	范围名称。	keyword
sentinel_one.activity.data.scope_level.name	范围级别名称。	keyword
sentinel_one.activity.data.site.name	相关站点名称（如果适用）。	keyword
sentinel_one.activity.data.source	源。	keyword
sentinel_one.activity.data.status	状态。	keyword
sentinel_one.activity.data.system	系统。	boolean
sentinel_one.activity.data.threat.classification.name	威胁分类名称。	keyword
sentinel_one.activity.data.threat.classification.source	威胁分类源。	keyword
sentinel_one.activity.data.user.name	用户名。	keyword
sentinel_one.activity.data.user.scope	用户范围。	keyword
sentinel_one.activity.data.uuid	UUID。	keyword
sentinel_one.activity.description.primary	主要描述。	keyword
sentinel_one.activity.description.secondary	次要描述。	keyword
sentinel_one.activity.id	活动 ID。	keyword
sentinel_one.activity.site.id	相关站点 ID（如果适用）。	keyword
sentinel_one.activity.site.name	相关站点名称（如果适用）。	keyword
sentinel_one.activity.threat.id	相关威胁 ID（如果适用）。	keyword
sentinel_one.activity.type	活动类型。	long
sentinel_one.activity.updated_at	活动上次更新时间 (UTC)。	date

agent

编辑

这是 agent 数据集。

示例

agent 的示例事件如下所示

{
    "@timestamp": "2022-04-07T08:31:47.481Z",
    "agent": {
        "ephemeral_id": "bc127c14-939d-445f-ba71-65c2a9cd997e",
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "sentinel_one.agent",
        "namespace": "27680",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "host"
        ],
        "created": "2024-06-12T03:22:47.058Z",
        "dataset": "sentinel_one.agent",
        "ingested": "2024-06-12T03:22:59Z",
        "kind": "event",
        "original": "{\"accountId\":\"12345123451234512345\",\"accountName\":\"Account Name\",\"activeDirectory\":{\"computerDistinguishedName\":null,\"computerMemberOf\":[],\"lastUserDistinguishedName\":null,\"lastUserMemberOf\":[]},\"activeThreats\":7,\"agentVersion\":\"12.x.x.x\",\"allowRemoteShell\":true,\"appsVulnerabilityStatus\":\"not_applicable\",\"cloudProviders\":{},\"computerName\":\"user-test\",\"consoleMigrationStatus\":\"N/A\",\"coreCount\":2,\"cpuCount\":2,\"cpuId\":\"CPU Name\",\"createdAt\":\"2022-03-18T09:12:00.519500Z\",\"detectionState\":null,\"domain\":\"WORKGROUP\",\"encryptedApplications\":false,\"externalId\":\"\",\"externalIp\":\"81.2.69.143\",\"firewallEnabled\":true,\"firstFullModeTime\":null,\"groupId\":\"1234567890123456789\",\"groupIp\":\"81.2.69.144\",\"groupName\":\"Default Group\",\"id\":\"13491234512345\",\"inRemoteShellSession\":false,\"infected\":true,\"installerType\":\".msi\",\"isActive\":true,\"isDecommissioned\":false,\"isPendingUninstall\":false,\"isUninstalled\":false,\"isUpToDate\":true,\"lastActiveDate\":\"2022-03-17T09:51:28.506000Z\",\"lastIpToMgmt\":\"81.2.69.145\",\"lastLoggedInUserName\":\"\",\"licenseKey\":\"\",\"locationEnabled\":true,\"locationType\":\"not_applicable\",\"locations\":null,\"machineType\":\"server\",\"missingPermissions\":[\"user-action-needed-bluetooth-per\",\"user_action_needed_fda\"],\"mitigationMode\":\"detect\",\"mitigationModeSuspicious\":\"detect\",\"modelName\":\"Compute Engine\",\"networkInterfaces\":[{\"gatewayIp\":\"81.2.69.145\",\"gatewayMacAddress\":\"00-00-5E-00-53-00\",\"id\":\"1234567890123456789\",\"inet\":[\"81.2.69.144\"],\"inet6\":[\"2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6\"],\"name\":\"Ethernet\",\"physical\":\"00-00-5E-00-53-00\"}],\"networkQuarantineEnabled\":false,\"networkStatus\":\"connected\",\"operationalState\":\"na\",\"operationalStateExpiration\":null,\"osArch\":\"64 bit\",\"osName\":\"Linux Server\",\"osRevision\":\"1234\",\"osStartTime\":\"2022-04-06T08:27:14Z\",\"osType\":\"linux\",\"osUsername\":null,\"rangerStatus\":\"Enabled\",\"rangerVersion\":\"21.x.x.x\",\"registeredAt\":\"2022-04-06T08:26:45.515278Z\",\"remoteProfilingState\":\"disabled\",\"remoteProfilingStateExpiration\":null,\"scanAbortedAt\":null,\"scanFinishedAt\":\"2022-04-06T09:18:21.090855Z\",\"scanStartedAt\":\"2022-04-06T08:26:52.838047Z\",\"scanStatus\":\"finished\",\"siteId\":\"1234567890123456789\",\"siteName\":\"Default site\",\"storageName\":null,\"storageType\":null,\"tags\":{\"sentinelone\":[{\"assignedAt\":\"2018-02-27T04:49:26.257525Z\",\"assignedBy\":\"test-user\",\"assignedById\":\"123456789012345678\",\"id\":\"123456789012345678\",\"key\":\"key123\",\"value\":\"value123\"}]},\"threatRebootRequired\":false,\"totalMemory\":1234,\"updatedAt\":\"2022-04-07T08:31:47.481227Z\",\"userActionsNeeded\":[\"reboot_needed\"],\"uuid\":\"XXX35XXX8Xfb4aX0X1X8X12X343X8X30\"}",
        "type": [
            "info"
        ]
    },
    "group": {
        "id": "1234567890123456789",
        "name": "Default Group"
    },
    "host": {
        "domain": "WORKGROUP",
        "geo": {
            "city_name": "London",
            "continent_name": "Europe",
            "country_iso_code": "GB",
            "country_name": "United Kingdom",
            "location": {
                "lat": 51.5142,
                "lon": -0.0931
            },
            "region_iso_code": "GB-ENG",
            "region_name": "England"
        },
        "id": "13491234512345",
        "ip": [
            "81.2.69.143"
        ],
        "mac": [
            "00-00-5E-00-53-00"
        ],
        "name": "user-test",
        "os": {
            "name": "Linux Server",
            "type": "linux",
            "version": "1234"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "observer": {
        "version": "12.x.x.x"
    },
    "related": {
        "hosts": [
            "user-test",
            "WORKGROUP"
        ],
        "ip": [
            "81.2.69.143",
            "81.2.69.145",
            "81.2.69.144",
            "2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6"
        ]
    },
    "sentinel_one": {
        "agent": {
            "account": {
                "id": "12345123451234512345",
                "name": "Account Name"
            },
            "active_threats_count": 7,
            "agent": {
                "id": "13491234512345"
            },
            "allow_remote_shell": true,
            "apps_vulnerability_status": "not_applicable",
            "console_migration_status": "N/A",
            "core": {
                "count": 2
            },
            "cpu": {
                "count": 2,
                "id": "CPU Name"
            },
            "created_at": "2022-03-18T09:12:00.519Z",
            "encrypted_application": false,
            "firewall_enabled": true,
            "group": {
                "ip": "81.2.69.144"
            },
            "in_remote_shell_session": false,
            "infected": true,
            "installer_type": ".msi",
            "is_active": true,
            "is_decommissioned": false,
            "is_pending_uninstall": false,
            "is_uninstalled": false,
            "is_up_to_date": true,
            "last_active_date": "2022-03-17T09:51:28.506Z",
            "last_ip_to_mgmt": "81.2.69.145",
            "location": {
                "enabled": true,
                "type": "not_applicable"
            },
            "machine": {
                "type": "server"
            },
            "missing_permissions": [
                "user-action-needed-bluetooth-per",
                "user_action_needed_fda"
            ],
            "mitigation_mode": "detect",
            "mitigation_mode_suspicious": "detect",
            "model_name": "Compute Engine",
            "network_interfaces": [
                {
                    "gateway": {
                        "ip": "81.2.69.145",
                        "mac": "00-00-5E-00-53-00"
                    },
                    "id": "1234567890123456789",
                    "inet": [
                        "81.2.69.144"
                    ],
                    "inet6": [
                        "2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6"
                    ],
                    "name": "Ethernet"
                }
            ],
            "network_quarantine_enabled": false,
            "network_status": "connected",
            "operational_state": "na",
            "os": {
                "arch": "64 bit",
                "start_time": "2022-04-06T08:27:14.000Z"
            },
            "ranger": {
                "status": "Enabled",
                "version": "21.x.x.x"
            },
            "registered_at": "2022-04-06T08:26:45.515Z",
            "remote_profiling_state": "disabled",
            "scan": {
                "finished_at": "2022-04-06T09:18:21.090Z",
                "started_at": "2022-04-06T08:26:52.838Z",
                "status": "finished"
            },
            "site": {
                "id": "1234567890123456789",
                "name": "Default site"
            },
            "tags": [
                {
                    "assigned_at": "2018-02-27T04:49:26.257Z",
                    "assigned_by": "test-user",
                    "assigned_by_id": "123456789012345678",
                    "id": "123456789012345678",
                    "key": "key123",
                    "value": "value123"
                }
            ],
            "threat_reboot_required": false,
            "total_memory": 1234,
            "user_action_needed": [
                "reboot_needed"
            ],
            "uuid": "XXX35XXX8Xfb4aX0X1X8X12X343X8X30"
        }
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "sentinel_one-agent"
    ]
}

导出的字段

字段	描述	类型
@timestamp	事件时间戳。	date
cloud.image.id	云实例的映像 ID。	keyword
data_stream.dataset	数据流数据集。	constant_keyword
data_stream.namespace	数据流命名空间。	constant_keyword
data_stream.type	数据流类型。	constant_keyword
event.dataset	事件数据集。	constant_keyword
event.module	事件模块。	constant_keyword
host.containerized	如果主机是容器。	boolean
host.os.build	操作系统构建信息。	keyword
host.os.codename	操作系统代号（如果有）。	keyword
input.type	输入类型	keyword
log.offset	日志偏移量	long
sentinel_one.agent.account.id	对包含帐户的引用。	keyword
sentinel_one.agent.account.name	包含帐户的名称。	keyword
sentinel_one.agent.active_directory.computer.member_of	计算机成员。	keyword
sentinel_one.agent.active_directory.computer.name	计算机专有名称。	keyword
sentinel_one.agent.active_directory.last_user.distinguished_name	上次用户专有名称。	keyword
sentinel_one.agent.active_directory.last_user.member_of	上次用户成员。	keyword
sentinel_one.agent.active_directory.mail	邮件。	keyword
sentinel_one.agent.active_directory.user.principal_name	用户主体名称。	keyword
sentinel_one.agent.active_threats_count	当前活动威胁数。	long
sentinel_one.agent.agent.id	相关代理（如果适用）。	keyword
sentinel_one.agent.allow_remote_shell	代理是否具备远程 Shell 功能并且策略已启用。	boolean
sentinel_one.agent.apps_vulnerability_status	应用程序漏洞状态。	keyword
sentinel_one.agent.cloud_provider	此代理的云提供商。	flattened
sentinel_one.agent.console_migration_status	代理在迁移到另一个控制台的过程中的步骤（如果有）。	keyword
sentinel_one.agent.core.count	CPU 核心。	long
sentinel_one.agent.cpu.count	CPU 数量。	long
sentinel_one.agent.cpu.id	CPU 型号。	keyword
sentinel_one.agent.created_at	创建时间。	date
sentinel_one.agent.detection_state	检测状态。	keyword
sentinel_one.agent.encrypted_application	磁盘加密状态。	boolean
sentinel_one.agent.external.id	客户设置的外部 ID。	keyword
sentinel_one.agent.firewall_enabled	已启用防火墙。	boolean
sentinel_one.agent.first_full_mode_time	代理首次进入完整或精简检测模式的时间。	date
sentinel_one.agent.group.ip	组子网地址。	keyword
sentinel_one.agent.group.updated_at	组更新时间。	date
sentinel_one.agent.in_remote_shell_session	代理是否在远程 Shell 会话中。	boolean
sentinel_one.agent.infected	指示代理是否存在活动威胁。	boolean
sentinel_one.agent.installer_type	安装程序包类型（文件扩展名）。	keyword
sentinel_one.agent.is_active	指示代理最近是否处于活动状态。	boolean
sentinel_one.agent.is_decommissioned	代理是否已停用。	boolean
sentinel_one.agent.is_pending_uninstall	具有待卸载请求的代理。	boolean
sentinel_one.agent.is_uninstalled	指示代理是否已从设备中删除。	boolean
sentinel_one.agent.is_up_to_date	指示代理版本是否为最新版本。	boolean
sentinel_one.agent.last_active_date	上次活动日期。	date
sentinel_one.agent.last_ip_to_mgmt	上次用于连接到管理控制台的 IP。	ip
sentinel_one.agent.last_logged_in_user_name	上次登录用户名。	keyword
sentinel_one.agent.license.key	许可证密钥。	keyword
sentinel_one.agent.location.enabled	已启用位置信息。	boolean
sentinel_one.agent.location.type	报告的位置类型。	keyword
sentinel_one.agent.locations.id	位置 ID。	keyword
sentinel_one.agent.locations.name	位置名称。	keyword
sentinel_one.agent.locations.scope	位置范围。	keyword
sentinel_one.agent.machine.type	机器类型。	keyword
sentinel_one.agent.missing_permissions		keyword
sentinel_one.agent.mitigation_mode	代理缓解模式策略。	keyword
sentinel_one.agent.mitigation_mode_suspicious	针对可疑活动的缓解模式策略。	keyword
sentinel_one.agent.model_name	设备型号。	keyword
sentinel_one.agent.network_interfaces.gateway.ip	默认网关 IP。	ip
sentinel_one.agent.network_interfaces.gateway.mac	默认网关 MAC 地址。	keyword
sentinel_one.agent.network_interfaces.id	ID。	keyword
sentinel_one.agent.network_interfaces.inet	IPv4 地址。	ip
sentinel_one.agent.network_interfaces.inet6	IPv6 地址。	ip
sentinel_one.agent.network_interfaces.name	名称。	keyword
sentinel_one.agent.network_quarantine_enabled	已启用网络隔离。	boolean
sentinel_one.agent.network_status	代理的网络连接状态。	keyword
sentinel_one.agent.operational_state	代理操作状态。	keyword
sentinel_one.agent.operational_state_expiration	代理操作状态过期时间。	keyword
sentinel_one.agent.os.arch	操作系统架构。	keyword
sentinel_one.agent.os.start_time	上次启动时间。	date
sentinel_one.agent.policy.updated_at	策略更新时间。	date
sentinel_one.agent.ranger.status	代理是否禁用为 Ranger。	keyword
sentinel_one.agent.ranger.version	Ranger 版本。	keyword
sentinel_one.agent.registered_at	首次注册到管理控制台的时间（类似于 createdAt）。	date
sentinel_one.agent.remote_profiling_state	代理远程分析状态。	keyword
sentinel_one.agent.remote_profiling_state_expiration	代理远程分析状态过期时间（以秒为单位）。	keyword
sentinel_one.agent.scan.aborted_at	上次扫描的中止时间（如果适用）。	date
sentinel_one.agent.scan.finished_at	上次扫描的完成时间（如果适用）。	date
sentinel_one.agent.scan.started_at	上次扫描的开始时间。	date
sentinel_one.agent.scan.status	上次扫描状态。	keyword
sentinel_one.agent.site.id	对包含站点的引用。	keyword
sentinel_one.agent.site.name	包含站点的名称。	keyword
sentinel_one.agent.storage.name	存储名称。	keyword
sentinel_one.agent.storage.type	存储类型。	keyword
sentinel_one.agent.tags.assigned_at	标签分配给代理的时间。	date
sentinel_one.agent.tags.assigned_by	将标签分配给代理的完整用户名。	keyword
sentinel_one.agent.tags.assigned_by_id	将标签分配给代理的用户 ID。	keyword
sentinel_one.agent.tags.id	标签 ID。	keyword
sentinel_one.agent.tags.key	标签键。	keyword
sentinel_one.agent.tags.value	标签值。	keyword
sentinel_one.agent.threat_reboot_required	表示代理是否至少有一个威胁，且至少有一个缓解操作正在等待重启才能成功完成的标志。	boolean
sentinel_one.agent.total_memory	内存大小 (MB)。	long
sentinel_one.agent.user_action_needed	待处理用户操作列表。	keyword
sentinel_one.agent.uuid	代理的全局唯一标识符。	keyword

警报

编辑

这是 alert 数据集。

示例

alert 的示例事件如下所示

{
    "@timestamp": "2018-02-27T04:49:26.257Z",
    "agent": {
        "ephemeral_id": "5076489f-5b52-4bc8-a887-13206a7b5ebd",
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "container": {
        "id": "string",
        "image": {
            "name": "string"
        },
        "name": "string"
    },
    "data_stream": {
        "dataset": "sentinel_one.alert",
        "namespace": "68976",
        "type": "logs"
    },
    "destination": {
        "ip": "81.2.69.144",
        "port": 1234
    },
    "dll": {
        "hash": {
            "sha1": "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d"
        },
        "path": "string"
    },
    "dns": {
        "question": {
            "name": "string"
        }
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "malware"
        ],
        "created": "2024-06-12T03:23:40.343Z",
        "dataset": "sentinel_one.alert",
        "id": "123456789123456789",
        "ingested": "2024-06-12T03:23:52Z",
        "kind": "event",
        "original": "{\"agentDetectionInfo\":{\"machineType\":\"string\",\"name\":\"string\",\"osFamily\":\"string\",\"osName\":\"string\",\"osRevision\":\"string\",\"siteId\":\"123456789123456789\",\"uuid\":\"string\",\"version\":\"3.x.x.x\"},\"alertInfo\":{\"alertId\":\"123456789123456789\",\"analystVerdict\":\"string\",\"createdAt\":\"2018-02-27T04:49:26.257525Z\",\"dnsRequest\":\"string\",\"dnsResponse\":\"string\",\"dstIp\":\"81.2.69.144\",\"dstPort\":\"1234\",\"dvEventId\":\"string\",\"eventType\":\"info\",\"hitType\":\"Events\",\"incidentStatus\":\"string\",\"indicatorCategory\":\"string\",\"indicatorDescription\":\"string\",\"indicatorName\":\"string\",\"loginAccountDomain\":\"string\",\"loginAccountSid\":\"string\",\"loginIsAdministratorEquivalent\":\"string\",\"loginIsSuccessful\":\"string\",\"loginType\":\"string\",\"loginsUserName\":\"string\",\"modulePath\":\"string\",\"moduleSha1\":\"aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d\",\"netEventDirection\":\"string\",\"registryKeyPath\":\"string\",\"registryOldValue\":\"string\",\"registryOldValueType\":\"string\",\"registryPath\":\"string\",\"registryValue\":\"string\",\"reportedAt\":\"2018-02-27T04:49:26.257525Z\",\"source\":\"string\",\"srcIp\":\"81.2.69.142\",\"srcMachineIp\":\"81.2.69.142\",\"srcPort\":\"1234\",\"tiIndicatorComparisonMethod\":\"string\",\"tiIndicatorSource\":\"string\",\"tiIndicatorType\":\"string\",\"tiIndicatorValue\":\"string\",\"updatedAt\":\"2018-02-27T04:49:26.257525Z\"},\"containerInfo\":{\"id\":\"string\",\"image\":\"string\",\"labels\":\"string\",\"name\":\"string\"},\"kubernetesInfo\":{\"cluster\":\"string\",\"controllerKind\":\"string\",\"controllerLabels\":\"string\",\"controllerName\":\"string\",\"namespace\":\"string\",\"namespaceLabels\":\"string\",\"node\":\"string\",\"pod\":\"string\",\"podLabels\":\"string\"},\"ruleInfo\":{\"description\":\"string\",\"id\":\"string\",\"name\":\"string\",\"scopeLevel\":\"string\",\"severity\":\"Low\",\"treatAsThreat\":\"UNDEFINED\"},\"sourceParentProcessInfo\":{\"commandline\":\"string\",\"fileHashMd5\":\"5d41402abc4b2a76b9719d911017c592\",\"fileHashSha1\":\"aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d\",\"fileHashSha256\":\"2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824\",\"filePath\":\"string\",\"fileSignerIdentity\":\"string\",\"integrityLevel\":\"unknown\",\"name\":\"string\",\"pid\":\"12345\",\"pidStarttime\":\"2018-02-27T04:49:26.257525Z\",\"storyline\":\"string\",\"subsystem\":\"unknown\",\"uniqueId\":\"string\",\"user\":\"string\"},\"sourceProcessInfo\":{\"commandline\":\"string\",\"fileHashMd5\":\"5d41402abc4b2a76b9719d911017c592\",\"fileHashSha1\":\"aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d\",\"fileHashSha256\":\"2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824\",\"filePath\":\"string\",\"fileSignerIdentity\":\"string\",\"integrityLevel\":\"unknown\",\"name\":\"string\",\"pid\":\"12345\",\"pidStarttime\":\"2018-02-27T04:49:26.257525Z\",\"storyline\":\"string\",\"subsystem\":\"unknown\",\"uniqueId\":\"string\",\"user\":\"string\"},\"targetProcessInfo\":{\"tgtFileCreatedAt\":\"2018-02-27T04:49:26.257525Z\",\"tgtFileHashSha1\":\"aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d\",\"tgtFileHashSha256\":\"2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824\",\"tgtFileId\":\"string\",\"tgtFileIsSigned\":\"string\",\"tgtFileModifiedAt\":\"2018-02-27T04:49:26.257525Z\",\"tgtFileOldPath\":\"string\",\"tgtFilePath\":\"string\",\"tgtProcCmdLine\":\"string\",\"tgtProcImagePath\":\"string\",\"tgtProcIntegrityLevel\":\"unknown\",\"tgtProcName\":\"string\",\"tgtProcPid\":\"12345\",\"tgtProcSignedStatus\":\"string\",\"tgtProcStorylineId\":\"string\",\"tgtProcUid\":\"string\",\"tgtProcessStartTime\":\"2018-02-27T04:49:26.257525Z\"}}",
        "type": [
            "info"
        ]
    },
    "file": {
        "created": "2018-02-27T04:49:26.257Z",
        "mtime": "2018-02-27T04:49:26.257Z"
    },
    "host": {
        "ip": [
            "81.2.69.142"
        ],
        "name": "string",
        "os": {
            "family": "string",
            "name": "string",
            "version": "string"
        },
        "type": "string"
    },
    "input": {
        "type": "httpjson"
    },
    "observer": {
        "serial_number": "string",
        "version": "3.x.x.x"
    },
    "orchestrator": {
        "cluster": {
            "name": "string"
        },
        "namespace": "string"
    },
    "process": {
        "code_signature": {
            "signing_id": "string"
        },
        "command_line": "string",
        "entity_id": "string",
        "executable": "string",
        "hash": {
            "md5": "5d41402abc4b2a76b9719d911017c592",
            "sha1": "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d",
            "sha256": "2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824"
        },
        "name": "string",
        "parent": {
            "code_signature": {
                "signing_id": "string"
            },
            "command_line": "string",
            "entity_id": "string",
            "executable": "string",
            "hash": {
                "md5": "5d41402abc4b2a76b9719d911017c592",
                "sha1": "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d",
                "sha256": "2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824"
            },
            "name": "string",
            "pid": 12345,
            "start": "2018-02-27T04:49:26.257Z",
            "user": {
                "name": "string"
            }
        },
        "pid": 12345,
        "start": "2018-02-27T04:49:26.257Z",
        "user": {
            "name": "string"
        }
    },
    "registry": {
        "key": "string",
        "path": "string",
        "value": "string"
    },
    "related": {
        "hash": [
            "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d",
            "5d41402abc4b2a76b9719d911017c592",
            "2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824"
        ],
        "hosts": [
            "string"
        ],
        "ip": [
            "81.2.69.142",
            "81.2.69.144"
        ],
        "user": [
            "string"
        ]
    },
    "rule": {
        "description": "string",
        "id": "string",
        "name": "string"
    },
    "sentinel_one": {
        "alert": {
            "agent": {
                "site_id": "123456789123456789"
            },
            "analyst_verdict": "string",
            "container": {
                "info": {
                    "labels": "string"
                }
            },
            "dv_event": {
                "id": "string"
            },
            "info": {
                "dns": {
                    "response": "string"
                },
                "event_type": "info",
                "hit": {
                    "type": "Events"
                },
                "indicator": {
                    "category": "string",
                    "description": "string",
                    "name": "string"
                },
                "login": {
                    "account": {
                        "sid": "string"
                    },
                    "is_administrator": "string",
                    "is_successful": "string",
                    "type": "string"
                },
                "registry": {
                    "old_value": "string",
                    "old_value_type": "string"
                },
                "reported_at": "2018-02-27T04:49:26.257Z",
                "source": "string",
                "status": "string",
                "ti_indicator": {
                    "comparison_method": "string",
                    "source": "string",
                    "type": "string",
                    "value": "string"
                },
                "updated_at": "2018-02-27T04:49:26.257Z"
            },
            "kubernetes": {
                "controller": {
                    "kind": "string",
                    "labels": "string",
                    "name": "string"
                },
                "namespace": {
                    "labels": "string"
                },
                "node": "string",
                "pod": {
                    "labels": "string",
                    "name": "string"
                }
            },
            "process": {
                "integrity_level": "unknown",
                "parent": {
                    "integrity_level": "unknown",
                    "storyline": "string",
                    "subsystem": "unknown"
                },
                "storyline": "string",
                "subsystem": "unknown"
            },
            "rule": {
                "scope_level": "string",
                "severity": "Low",
                "treat_as_threat": "UNDEFINED"
            },
            "target": {
                "process": {
                    "file": {
                        "hash": {
                            "sha1": "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d",
                            "sha256": "2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824"
                        },
                        "id": "string",
                        "is_signed": "string",
                        "old_path": "string",
                        "path": "string"
                    },
                    "proc": {
                        "cmdline": "string",
                        "image_path": "string",
                        "integrity_level": "unknown",
                        "name": "string",
                        "pid": 12345,
                        "signed_status": "string",
                        "storyline_id": "string",
                        "uid": "string"
                    },
                    "start_time": "2018-02-27T04:49:26.257Z"
                }
            }
        }
    },
    "source": {
        "ip": "81.2.69.142",
        "port": 1234
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "sentinel_one-alert"
    ],
    "user": {
        "domain": "string",
        "name": "string"
    }
}

导出的字段

字段	描述	类型
@timestamp	事件时间戳。	date
cloud.image.id	云实例的映像 ID。	keyword
data_stream.dataset	数据流数据集。	constant_keyword
data_stream.namespace	数据流命名空间。	constant_keyword
data_stream.type	数据流类型。	constant_keyword
event.dataset	事件数据集。	constant_keyword
event.module	事件模块。	constant_keyword
host.containerized	如果主机是容器。	boolean
host.os.build	操作系统构建信息。	keyword
host.os.codename	操作系统代号（如果有）。	keyword
input.type	输入类型	keyword
log.offset	日志偏移量	long
log.source.address	从中读取/发送日志事件的源地址。	keyword
sentinel_one.alert.agent.computer_name	计算机专有名称。	keyword
sentinel_one.alert.agent.id	代理 ID。	keyword
sentinel_one.alert.agent.infected	代理是否被感染。	boolean
sentinel_one.alert.agent.is_active	是否处于活动状态。	boolean
sentinel_one.alert.agent.is_decommissioned	是否已停用。	boolean
sentinel_one.alert.agent.machine_type	机器类型。	keyword
sentinel_one.alert.agent.os.type	操作系统类型。	keyword
sentinel_one.alert.agent.site_id	站点 ID。	keyword
sentinel_one.alert.analyst_verdict	分析师结论。	keyword
sentinel_one.alert.container.info.labels	容器信息标签。	keyword
sentinel_one.alert.dv_event.id	DV 事件 ID。	keyword
sentinel_one.alert.info.dns.response	响应中的 IP 地址、DNS、类型等。	keyword
sentinel_one.alert.info.event_type	事件类型。	keyword
sentinel_one.alert.info.hit.type	代理报告的命中类型。	keyword
sentinel_one.alert.info.indicator.category	此进程的指示器类别。	keyword
sentinel_one.alert.info.indicator.description	Indicator_description。	keyword
sentinel_one.alert.info.indicator.name	此进程的指示器名称。	keyword
sentinel_one.alert.info.login.account.sid	尝试登录的帐户的 SID。	keyword
sentinel_one.alert.info.login.is_administrator	登录尝试是否等同于管理员。	keyword
sentinel_one.alert.info.login.is_successful	登录尝试是否成功。	keyword
sentinel_one.alert.info.login.type	执行的登录类型。	keyword
sentinel_one.alert.info.registry.old_value	注册表先前的值（在修改的情况下）。	keyword
sentinel_one.alert.info.registry.old_value_type	注册表先前的值类型（在修改的情况下）。	keyword
sentinel_one.alert.info.reported_at	STAR 中警报创建的时间戳。	date
sentinel_one.alert.info.source	代理报告的来源。	keyword
sentinel_one.alert.info.status	事件状态。	keyword
sentinel_one.alert.info.ti_indicator.comparison_method	SentinelOne 用来触发事件的比较方法。	keyword
sentinel_one.alert.info.ti_indicator.source	识别出的威胁情报指示器的值。	keyword
sentinel_one.alert.info.ti_indicator.type	识别出的威胁情报指示器的类型。	keyword
sentinel_one.alert.info.ti_indicator.value	识别出的威胁情报指示器的值。	keyword
sentinel_one.alert.info.updated_at	Star MMS 中警报更新的日期。	date
sentinel_one.alert.kubernetes.controller.kind	控制器类型。	keyword
sentinel_one.alert.kubernetes.controller.labels	控制器标签。	keyword
sentinel_one.alert.kubernetes.controller.name	控制器名称。	keyword
sentinel_one.alert.kubernetes.namespace.labels	命名空间标签。	keyword
sentinel_one.alert.kubernetes.node	节点。	keyword
sentinel_one.alert.kubernetes.pod.labels	Pod 标签。	keyword
sentinel_one.alert.kubernetes.pod.name	Pod 名称。	keyword
sentinel_one.alert.process.integrity_level	完整性级别。	keyword
sentinel_one.alert.process.parent.integrity_level	完整性级别。	keyword
sentinel_one.alert.process.parent.storyline	故事情节。	keyword
sentinel_one.alert.process.parent.subsystem	子系统。	keyword
sentinel_one.alert.process.storyline	故事情节。	keyword
sentinel_one.alert.process.subsystem	子系统。	keyword
sentinel_one.alert.rule.scope_level	作用域级别。	keyword
sentinel_one.alert.rule.severity	规则严重性。	keyword
sentinel_one.alert.rule.treat_as_threat	规则视为威胁类型。	keyword
sentinel_one.alert.target.process.file.hash.sha1	文件的 SHA1 签名。	keyword
sentinel_one.alert.target.process.file.hash.sha256	文件的 SHA256 签名。	keyword
sentinel_one.alert.target.process.file.id	文件的唯一 ID。	keyword
sentinel_one.alert.target.process.file.is_signed	文件是否已签名。	keyword
sentinel_one.alert.target.process.file.old_path	重命名之前的旧路径。	keyword
sentinel_one.alert.target.process.file.path	路径和文件名。	keyword
sentinel_one.alert.target.process.proc.cmdline	目标进程命令行。	keyword
sentinel_one.alert.target.process.proc.image_path	目标进程映像路径。	keyword
sentinel_one.alert.target.process.proc.integrity_level	目标进程的完整性级别。	keyword
sentinel_one.alert.target.process.proc.name	目标进程名称。	keyword
sentinel_one.alert.target.process.proc.pid	目标进程 ID (PID)。	long
sentinel_one.alert.target.process.proc.signed_status	目标进程的签名状态。	keyword
sentinel_one.alert.target.process.proc.storyline_id	目标进程故事情节 ID。	keyword
sentinel_one.alert.target.process.proc.uid	目标进程唯一 ID。	keyword
sentinel_one.alert.target.process.start_time	目标进程启动时间。	date

组

编辑

这是 group 数据集。

示例

group 的示例事件如下所示

{
    "@timestamp": "2022-04-05T16:01:57.564Z",
    "agent": {
        "ephemeral_id": "99777f03-5c73-4831-b833-2489562ef8fb",
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "sentinel_one.group",
        "namespace": "81222",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "d2a14a09-96fc-4f81-94ef-b0cd75ad71e7",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "iam"
        ],
        "created": "2024-06-12T03:24:33.387Z",
        "dataset": "sentinel_one.group",
        "ingested": "2024-06-12T03:24:45Z",
        "kind": "event",
        "original": "{\"createdAt\":\"2022-04-05T16:01:56.928383Z\",\"creator\":\"Test User\",\"creatorId\":\"1234567890123456789\",\"filterId\":null,\"filterName\":null,\"id\":\"1234567890123456789\",\"inherits\":true,\"isDefault\":true,\"name\":\"Default Group\",\"rank\":null,\"registrationToken\":\"eyxxxxxxxxxxxxxxxxxxxxkixZxx1xxxxx8xxx2xODA0ZxxxxTIwNjhxxxxxxxxxxxxxxiMWYxx1Ixxnxxxx0=\",\"siteId\":\"1234567890123456789\",\"totalAgents\":1,\"type\":\"static\",\"updatedAt\":\"2022-04-05T16:01:57.564266Z\"}",
        "type": [
            "info"
        ]
    },
    "group": {
        "id": "1234567890123456789",
        "name": "Default Group"
    },
    "input": {
        "type": "httpjson"
    },
    "related": {
        "user": [
            "Test User"
        ]
    },
    "sentinel_one": {
        "group": {
            "agent": {
                "count": 1
            },
            "created_at": "2022-04-05T16:01:56.928Z",
            "creator": {
                "id": "1234567890123456789"
            },
            "inherits": true,
            "is_default": true,
            "registration_token": "eyxxxxxxxxxxxxxxxxxxxxkixZxx1xxxxx8xxx2xODA0ZxxxxTIwNjhxxxxxxxxxxxxxxiMWYxx1Ixxnxxxx0=",
            "site": {
                "id": "1234567890123456789"
            },
            "type": "static"
        }
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "sentinel_one-group"
    ],
    "user": {
        "full_name": "Test User"
    }
}

导出的字段

字段	描述	类型
@timestamp	事件时间戳。	date
cloud.image.id	云实例的映像 ID。	keyword
data_stream.dataset	数据流数据集。	constant_keyword
data_stream.namespace	数据流命名空间。	constant_keyword
data_stream.type	数据流类型。	constant_keyword
event.dataset	事件数据集。	constant_keyword
event.module	事件模块。	constant_keyword
host.containerized	如果主机是容器。	boolean
host.os.build	操作系统构建信息。	keyword
host.os.codename	操作系统代号（如果有）。	keyword
input.type	输入类型	keyword
log.offset	日志偏移量	long
log.source.address	从中读取/发送日志事件的源地址。	keyword
sentinel_one.group.agent.count		long
sentinel_one.group.created_at		date
sentinel_one.group.creator.id		keyword
sentinel_one.group.filter.id		keyword
sentinel_one.group.filter.name		keyword
sentinel_one.group.inherits		boolean
sentinel_one.group.is_default		boolean
sentinel_one.group.rank		long
sentinel_one.group.registration_token		keyword
sentinel_one.group.site.id		keyword
sentinel_one.group.type		keyword

威胁

编辑

这是 threat 数据集。

示例

threat 的示例事件如下所示

{
    "@timestamp": "2022-04-06T08:54:17.194Z",
    "agent": {
        "ephemeral_id": "a2264e16-9431-4dd9-9e8a-6209c36c3c1e",
        "id": "59bbe264-6d1c-48b7-9f6a-f2172d817ded",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "sentinel_one.threat",
        "namespace": "80468",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "59bbe264-6d1c-48b7-9f6a-f2172d817ded",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "action": "SentinelOne Cloud",
        "agent_id_status": "verified",
        "category": [
            "malware"
        ],
        "created": "2024-06-18T21:22:32.743Z",
        "dataset": "sentinel_one.threat",
        "id": "1234567890123456789",
        "ingested": "2024-06-18T21:22:44Z",
        "kind": "alert",
        "original": "{\"agentDetectionInfo\":{\"accountId\":\"1234567890123456789\",\"accountName\":\"Default\",\"agentDetectionState\":null,\"agentDomain\":\"WORKGROUP\",\"agentIpV4\":\"10.0.0.1\",\"agentIpV6\":\"2a02:cf40::\",\"agentLastLoggedInUpn\":null,\"agentLastLoggedInUserMail\":null,\"agentLastLoggedInUserName\":\"\",\"agentMitigationMode\":\"protect\",\"agentOsName\":\"linux\",\"agentOsRevision\":\"1234\",\"agentRegisteredAt\":\"2022-04-06T08:26:45.515278Z\",\"agentUuid\":\"fwfbxxxxxxxxxxqcfjfnxxxxxxxxx\",\"agentVersion\":\"21.x.x\",\"cloudProviders\":{},\"externalIp\":\"81.2.69.143\",\"groupId\":\"1234567890123456789\",\"groupName\":\"Default Group\",\"siteId\":\"1234567890123456789\",\"siteName\":\"Default site\"},\"agentRealtimeInfo\":{\"accountId\":\"1234567890123456789\",\"accountName\":\"Default\",\"activeThreats\":7,\"agentComputerName\":\"test-LINUX\",\"agentDecommissionedAt\":null,\"agentDomain\":\"WORKGROUP\",\"agentId\":\"1234567890123456789\",\"agentInfected\":true,\"agentIsActive\":true,\"agentIsDecommissioned\":false,\"agentMachineType\":\"server\",\"agentMitigationMode\":\"detect\",\"agentNetworkStatus\":\"connected\",\"agentOsName\":\"linux\",\"agentOsRevision\":\"1234\",\"agentOsType\":\"linux\",\"agentUuid\":\"fwfbxxxxxxxxxxqcfjfnxxxxxxxxx\",\"agentVersion\":\"21.x.x.1234\",\"groupId\":\"1234567890123456789\",\"groupName\":\"Default Group\",\"networkInterfaces\":[{\"id\":\"1234567890123456789\",\"inet\":[\"10.0.0.1\"],\"inet6\":[\"2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6\"],\"name\":\"Ethernet\",\"physical\":\"DE:AD:00:00:BE:EF\"}],\"operationalState\":\"na\",\"rebootRequired\":false,\"scanAbortedAt\":null,\"scanFinishedAt\":\"2022-04-06T09:18:21.090855Z\",\"scanStartedAt\":\"2022-04-06T08:26:52.838047Z\",\"scanStatus\":\"finished\",\"siteId\":\"1234567890123456789\",\"siteName\":\"Default site\",\"storageName\":null,\"storageType\":null,\"userActionsNeeded\":[]},\"containerInfo\":{\"id\":null,\"image\":null,\"labels\":null,\"name\":null},\"id\":\"1234567890123456789\",\"indicators\":[],\"kubernetesInfo\":{\"cluster\":null,\"controllerKind\":null,\"controllerLabels\":null,\"controllerName\":null,\"namespace\":null,\"namespaceLabels\":null,\"node\":null,\"pod\":null,\"podLabels\":null},\"mitigationStatus\":[{\"action\":\"unquarantine\",\"actionsCounters\":{\"failed\":0,\"notFound\":0,\"pendingReboot\":0,\"success\":1,\"total\":1},\"agentSupportsReport\":true,\"groupNotFound\":false,\"lastUpdate\":\"2022-04-06T08:54:17.198002Z\",\"latestReport\":\"/threats/mitigation-report\",\"mitigationEndedAt\":\"2022-04-06T08:54:17.101000Z\",\"mitigationStartedAt\":\"2022-04-06T08:54:17.101000Z\",\"status\":\"success\"},{\"action\":\"kill\",\"actionsCounters\":null,\"agentSupportsReport\":true,\"groupNotFound\":false,\"lastUpdate\":\"2022-04-06T08:45:55.303355Z\",\"latestReport\":null,\"mitigationEndedAt\":\"2022-04-06T08:45:55.297364Z\",\"mitigationStartedAt\":\"2022-04-06T08:45:55.297363Z\",\"status\":\"success\"}],\"threatInfo\":{\"analystVerdict\":\"undefined\",\"analystVerdictDescription\":\"Undefined\",\"automaticallyResolved\":false,\"browserType\":null,\"certificateId\":\"\",\"classification\":\"Trojan\",\"classificationSource\":\"Cloud\",\"cloudFilesHashVerdict\":\"black\",\"collectionId\":\"1234567890123456789\",\"confidenceLevel\":\"malicious\",\"createdAt\":\"2022-04-06T08:45:54.519988Z\",\"detectionEngines\":[{\"key\":\"sentinelone_cloud\",\"title\":\"SentinelOne Cloud\"}],\"detectionType\":\"static\",\"engines\":[\"SentinelOne Cloud\"],\"externalTicketExists\":false,\"externalTicketId\":null,\"failedActions\":false,\"fileExtension\":\"EXE\",\"fileExtensionType\":\"Executable\",\"filePath\":\"default.exe\",\"fileSize\":1234,\"fileVerificationType\":\"NotSigned\",\"identifiedAt\":\"2022-04-06T08:45:53.968000Z\",\"incidentStatus\":\"unresolved\",\"incidentStatusDescription\":\"Unresolved\",\"initiatedBy\":\"agent_policy\",\"initiatedByDescription\":\"Agent Policy\",\"initiatingUserId\":null,\"initiatingUsername\":null,\"isFileless\":false,\"isValidCertificate\":false,\"maliciousProcessArguments\":null,\"md5\":null,\"mitigatedPreemptively\":false,\"mitigationStatus\":\"not_mitigated\",\"mitigationStatusDescription\":\"Not mitigated\",\"originatorProcess\":\"default.exe\",\"pendingActions\":false,\"processUser\":\"test user\",\"publisherName\":\"\",\"reachedEventsLimit\":false,\"rebootRequired\":false,\"sha1\":\"aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d\",\"sha256\":null,\"storyline\":\"D0XXXXXXXXXXAF4D\",\"threatId\":\"1234567890123456789\",\"threatName\":\"default.exe\",\"updatedAt\":\"2022-04-06T08:54:17.194122Z\"},\"whiteningOptions\":[\"hash\"]}",
        "type": [
            "info"
        ]
    },
    "host": {
        "domain": "WORKGROUP",
        "geo": {
            "city_name": "London",
            "continent_name": "Europe",
            "country_iso_code": "GB",
            "country_name": "United Kingdom",
            "location": {
                "lat": 51.5142,
                "lon": -0.0931
            },
            "region_iso_code": "GB-ENG",
            "region_name": "England"
        },
        "id": "1234567890123456789",
        "ip": [
            "81.2.69.143"
        ],
        "mac": [
            "DE-AD-00-00-BE-EF"
        ],
        "name": "test-LINUX",
        "os": {
            "name": "linux",
            "type": "linux"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "observer": {
        "version": "21.x.x.1234"
    },
    "process": {
        "name": "default.exe"
    },
    "related": {
        "hash": [
            "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d"
        ],
        "hosts": [
            "test-LINUX"
        ],
        "ip": [
            "10.0.0.1",
            "2a02:cf40::",
            "81.2.69.143",
            "2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6"
        ],
        "user": [
            "test user"
        ]
    },
    "sentinel_one": {
        "threat": {
            "agent": {
                "account": {
                    "id": "1234567890123456789",
                    "name": "Default"
                },
                "active_threats": 7,
                "group": {
                    "id": "1234567890123456789",
                    "name": "Default Group"
                },
                "id": "1234567890123456789",
                "infected": true,
                "is_active": true,
                "is_decommissioned": false,
                "machine_type": "server",
                "mitigation_mode": "detect",
                "network_interface": [
                    {
                        "id": "1234567890123456789",
                        "inet": [
                            "10.0.0.1"
                        ],
                        "inet6": [
                            "2a02:cf40:add:4002:91f2:a9b2:e09a:6fc6"
                        ],
                        "name": "Ethernet"
                    }
                ],
                "network_status": "connected",
                "operational_state": "na",
                "os": {
                    "version": "1234"
                },
                "reboot_required": false,
                "scan": {
                    "finished_at": "2022-04-06T09:18:21.090Z",
                    "started_at": "2022-04-06T08:26:52.838Z",
                    "status": "finished"
                },
                "site": {
                    "id": "1234567890123456789",
                    "name": "Default site"
                },
                "uuid": "fwfbxxxxxxxxxxqcfjfnxxxxxxxxx"
            },
            "analysis": {
                "description": "Undefined",
                "verdict": "undefined"
            },
            "automatically_resolved": false,
            "classification": "Trojan",
            "classification_source": "Cloud",
            "cloudfiles_hash_verdict": "black",
            "collection": {
                "id": "1234567890123456789"
            },
            "confidence_level": "malicious",
            "created_at": "2022-04-06T08:45:54.519Z",
            "detection": {
                "account": {
                    "id": "1234567890123456789",
                    "name": "Default"
                },
                "agent": {
                    "domain": "WORKGROUP",
                    "group": {
                        "id": "1234567890123456789",
                        "name": "Default Group"
                    },
                    "ipv4": "10.0.0.1",
                    "ipv6": "2a02:cf40::",
                    "mitigation_mode": "protect",
                    "os": {
                        "name": "linux",
                        "version": "1234"
                    },
                    "registered_at": "2022-04-06T08:26:45.515Z",
                    "site": {
                        "id": "1234567890123456789",
                        "name": "Default site"
                    },
                    "uuid": "fwfbxxxxxxxxxxqcfjfnxxxxxxxxx",
                    "version": "21.x.x"
                },
                "engines": [
                    {
                        "key": "sentinelone_cloud",
                        "title": "SentinelOne Cloud"
                    }
                ],
                "type": "static"
            },
            "engines": [
                "SentinelOne Cloud"
            ],
            "external_ticket": {
                "exist": false
            },
            "failed_actions": false,
            "file": {
                "extension": {
                    "type": "Executable"
                },
                "identified_at": "2022-04-06T08:45:53.968Z",
                "verification_type": "NotSigned"
            },
            "id": "1234567890123456789",
            "incident": {
                "status": "unresolved",
                "status_description": "Unresolved"
            },
            "initiated": {
                "description": "Agent Policy",
                "name": "agent_policy"
            },
            "is_fileless": false,
            "is_valid_certificate": false,
            "mitigated_preemptively": false,
            "mitigation": {
                "description": "Not mitigated",
                "status": "not_mitigated"
            },
            "mitigation_status": [
                {
                    "action": "unquarantine",
                    "action_counters": {
                        "failed": 0,
                        "not_found": 0,
                        "pending_reboot": 0,
                        "success": 1,
                        "total": 1
                    },
                    "agent_supports_report": true,
                    "group_not_found": false,
                    "last_update": "2022-04-06T08:54:17.198Z",
                    "latest_report": "/threats/mitigation-report",
                    "mitigation_ended_at": "2022-04-06T08:54:17.101Z",
                    "mitigation_started_at": "2022-04-06T08:54:17.101Z",
                    "status": "success"
                },
                {
                    "action": "kill",
                    "agent_supports_report": true,
                    "group_not_found": false,
                    "last_update": "2022-04-06T08:45:55.303Z",
                    "mitigation_ended_at": "2022-04-06T08:45:55.297Z",
                    "mitigation_started_at": "2022-04-06T08:45:55.297Z",
                    "status": "success"
                }
            ],
            "name": "default.exe",
            "originator_process": "default.exe",
            "pending_actions": false,
            "process_user": "test user",
            "reached_events_limit": false,
            "reboot_required": false,
            "storyline": "D0XXXXXXXXXXAF4D",
            "threat_id": "1234567890123456789",
            "whitening_option": [
                "hash"
            ]
        }
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "sentinel_one-threat"
    ],
    "threat": {
        "indicator": {
            "file": {
                "extension": "EXE",
                "hash": {
                    "sha1": "aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d"
                },
                "path": "default.exe",
                "size": 1234
            }
        }
    }
}

导出的字段

字段	描述	类型
@timestamp	事件时间戳。	date
cloud.image.id	云实例的映像 ID。	keyword
data_stream.dataset	数据流数据集。	constant_keyword
data_stream.namespace	数据流命名空间。	constant_keyword
data_stream.type	数据流类型。	constant_keyword
event.dataset	事件数据集。	constant_keyword
event.module	事件模块。	constant_keyword
host.containerized	如果主机是容器。	boolean
host.os.build	操作系统构建信息。	keyword
host.os.codename	操作系统代号（如果有）。	keyword
input.type	输入类型	keyword
log.offset	日志偏移量	long
sentinel_one.threat.agent.account.id	帐户 ID。	keyword
sentinel_one.threat.agent.account.name	帐户名称。	keyword
sentinel_one.threat.agent.active_threats	活动威胁。	long
sentinel_one.threat.agent.decommissioned_at	停用时间。	boolean
sentinel_one.threat.agent.group.id	组 ID。	keyword
sentinel_one.threat.agent.group.name	组名称。	keyword
sentinel_one.threat.agent.id	相关代理（如果适用）。	keyword
sentinel_one.threat.agent.infected	代理是否被感染。	boolean
sentinel_one.threat.agent.is_active	是否处于活动状态。	boolean
sentinel_one.threat.agent.is_decommissioned	是否已停用。	boolean
sentinel_one.threat.agent.machine_type	机器类型。	keyword
sentinel_one.threat.agent.mitigation_mode	代理缓解模式策略。	keyword
sentinel_one.threat.agent.network_interface.id	设备的网络接口 ID。	keyword
sentinel_one.threat.agent.network_interface.inet	设备的网络接口 IPv4 地址。	keyword
sentinel_one.threat.agent.network_interface.inet6	设备的网络接口 IPv6 地址。	keyword
sentinel_one.threat.agent.network_interface.name	设备的网络接口 IPv4 名称。	keyword
sentinel_one.threat.agent.network_status	网络状态。	keyword
sentinel_one.threat.agent.operational_state	代理操作状态。	keyword
sentinel_one.threat.agent.os.version	操作系统版本。	keyword
sentinel_one.threat.agent.reboot_required	终端上至少需要重启一次才能执行威胁的至少一项操作。	boolean
sentinel_one.threat.agent.scan.aborted_at	上次扫描的中止时间（如果适用）。	keyword
sentinel_one.threat.agent.scan.finished_at	上次扫描的完成时间（如果适用）。	keyword
sentinel_one.threat.agent.scan.started_at	上次扫描的开始时间。	keyword
sentinel_one.threat.agent.scan.status	扫描状态。	keyword
sentinel_one.threat.agent.site.id	站点 ID。	keyword
sentinel_one.threat.agent.site.name	站点名称。	keyword
sentinel_one.threat.agent.storage.name	存储名称。	keyword
sentinel_one.threat.agent.storage.type	存储类型。	keyword
sentinel_one.threat.agent.user_action_needed	待处理用户操作列表。列表项的可能值：“none, reboot_needed, user_acton_needed, upgrade_needed, incompatible_os, unprotected, user_acton_needed_fda, user_acton_needed_rs_fda,user_acton_needed_network, rebootless_without_dynamic_detection, extended_exclusions_partially_accepted, user_action_needed_bluetooth_per”。	keyword
sentinel_one.threat.agent.uuid	UUID。	keyword
sentinel_one.threat.analysis.description	分析师结论描述。	keyword
sentinel_one.threat.analysis.verdict	分析师结论。	keyword
sentinel_one.threat.automatically_resolved	是否自动解决。	boolean
sentinel_one.threat.browser_type	浏览器类型。	keyword
sentinel_one.threat.certificate.id	文件证书 ID。	keyword
sentinel_one.threat.classification	威胁的分类。	keyword
sentinel_one.threat.classification_source	威胁分类的来源。	keyword
sentinel_one.threat.cloudfiles_hash_verdict	云文件哈希值结论。	keyword
sentinel_one.threat.collection.id	收集 ID。	keyword
sentinel_one.threat.confidence_level	SentinelOne 威胁置信度级别。	keyword
sentinel_one.threat.container.labels	容器标签。	keyword
sentinel_one.threat.created_at	管理控制台中日期创建的时间戳。	date
sentinel_one.threat.detection.account.id	原始帐户 ID。	keyword
sentinel_one.threat.detection.account.name	原始帐户名称。	keyword
sentinel_one.threat.detection.agent.domain	网络域。	keyword
sentinel_one.threat.detection.agent.group.id	原始组 ID。	keyword
sentinel_one.threat.detection.agent.group.name	原始组名称。	keyword
sentinel_one.threat.detection.agent.ipv4	原始代理 IPv4 地址。	ip
sentinel_one.threat.detection.agent.ipv6	原始代理 IPv6 地址。	ip
sentinel_one.threat.detection.agent.last_logged_in.upn	上次登录用户的 UPN。	keyword
sentinel_one.threat.detection.agent.mitigation_mode	代理缓解模式策略。	keyword
sentinel_one.threat.detection.agent.os.name	原始代理操作系统名称。	keyword
sentinel_one.threat.detection.agent.os.version	原始代理操作系统版本。	keyword
sentinel_one.threat.detection.agent.registered_at	首次注册到管理控制台的时间。	date
sentinel_one.threat.detection.agent.site.id	原始站点 ID。	keyword
sentinel_one.threat.detection.agent.site.name	原始站点名称。	keyword
sentinel_one.threat.detection.agent.uuid	代理的 UUID。	keyword
sentinel_one.threat.detection.agent.version	原始代理版本。	keyword
sentinel_one.threat.detection.cloud_providers	此代理的云提供商。	flattened
sentinel_one.threat.detection.engines.key	检测到威胁的关键引擎列表。	keyword
sentinel_one.threat.detection.engines.title	检测到威胁的标题引擎列表。	keyword
sentinel_one.threat.detection.state	检测时代理的检测状态。	keyword
sentinel_one.threat.detection.type	检测类型。	keyword
sentinel_one.threat.engines	检测到威胁的引擎列表。	keyword
sentinel_one.threat.external_ticket.exist	是否存在外部工单。	boolean
sentinel_one.threat.external_ticket.id	外部工单 ID。	keyword
sentinel_one.threat.failed_actions	至少一项操作在威胁上失败。	boolean
sentinel_one.threat.file.extension.type	文件扩展名类型。	keyword
sentinel_one.threat.file.identified_at	识别时间。	keyword
sentinel_one.threat.file.verification_type	文件验证类型。	keyword
sentinel_one.threat.id	威胁 ID。	keyword
sentinel_one.threat.incident.status	事件状态。	keyword
sentinel_one.threat.incident.status_description	事件状态描述。	keyword
sentinel_one.threat.indicators.category.id	指示器类别 ID。	long
sentinel_one.threat.indicators.category.name	指示器类别名称。	keyword
sentinel_one.threat.indicators.description	指示器描述。	keyword
sentinel_one.threat.initiated.description	由描述启动。	keyword
sentinel_one.threat.initiated.name	威胁来源。	keyword
sentinel_one.threat.initiating_user.id	启动用户 ID。	keyword
sentinel_one.threat.initiating_user.name	启动用户名。	keyword
sentinel_one.threat.is_fileless	是否为无文件威胁。	boolean
sentinel_one.threat.is_valid_certificate	如果证书有效，则为 True。	boolean
sentinel_one.threat.kubernetes.cluster	集群。	keyword
sentinel_one.threat.kubernetes.controller.kind	控制器类型。	keyword
sentinel_one.threat.kubernetes.controller.labels	控制器标签。	keyword
sentinel_one.threat.kubernetes.controller.name	控制器名称。	keyword
sentinel_one.threat.kubernetes.namespace.labels	命名空间标签。	keyword
sentinel_one.threat.kubernetes.namespace.name	命名空间名称。	keyword
sentinel_one.threat.kubernetes.node	节点。	keyword
sentinel_one.threat.kubernetes.pod.labels	Pod 标签。	keyword
sentinel_one.threat.kubernetes.pod.name	Pod 名称。	keyword
sentinel_one.threat.malicious_process_arguments	恶意进程参数。	keyword
sentinel_one.threat.mitigated_preemptively	如果威胁在执行前被阻止，则为 True。	boolean
sentinel_one.threat.mitigation.description	缓解状态描述。	keyword
sentinel_one.threat.mitigation.status	缓解状态。	keyword
sentinel_one.threat.mitigation_status.action	操作。	keyword
sentinel_one.threat.mitigation_status.action_counters.failed	操作计数器失败。	long
sentinel_one.threat.mitigation_status.action_counters.not_found	操作计数器未找到。	long
sentinel_one.threat.mitigation_status.action_counters.pending_reboot	操作计数器等待重启。	long
sentinel_one.threat.mitigation_status.action_counters.success	操作计数器成功。	long
sentinel_one.threat.mitigation_status.action_counters.total	操作计数器总数。	long
sentinel_one.threat.mitigation_status.agent_supports_report	代理生成完整的缓解报告。	boolean
sentinel_one.threat.mitigation_status.group_not_found	代理找不到威胁。	boolean
sentinel_one.threat.mitigation_status.last_update	上次缓解状态更新的时间戳。	keyword
sentinel_one.threat.mitigation_status.latest_report	报告下载 URL。如果为 None，则没有报告。	keyword
sentinel_one.threat.mitigation_status.mitigation_ended_at	代理完成缓解的时间。	keyword
sentinel_one.threat.mitigation_status.mitigation_started_at	代理开始缓解的时间。	keyword
sentinel_one.threat.mitigation_status.status	状态。	keyword
sentinel_one.threat.name	威胁名称。	keyword
sentinel_one.threat.originator_process	发起进程。	keyword
sentinel_one.threat.pending_actions	至少有一个操作在威胁上等待执行。	boolean
sentinel_one.threat.process_user	进程用户。	keyword
sentinel_one.threat.publisher.name	证书发布者。	keyword
sentinel_one.threat.reached_events_limit	此威胁的操作系统事件数量是否已达到限制，导致攻击故事线不完整。	boolean
sentinel_one.threat.reboot_required	端点上至少有一个威胁需要重启。	boolean
sentinel_one.threat.storyline	来自代理的故事线标识符。	keyword
sentinel_one.threat.threat_id	威胁 ID。	keyword
sentinel_one.threat.whitening_option	白名单选项。	keyword

更新日志

编辑

更新日志

版本	详情	Kibana 版本
1.27.0	增强 (查看拉取请求) 不要在主摄取管道中删除 `event.original`。	8.13.0 或更高版本
1.26.0	增强 (查看拉取请求) 将 "preserve_original_event" 标签添加到 `event.kind` 设置为 "pipeline_error" 的文档中。	8.13.0 或更高版本
1.25.1	Bug 修复 (查看拉取请求) 记录在本地环境中使用警报数据流的限制。	8.13.0 或更高版本
1.25.0	增强 (查看拉取请求) 将 agent.* 添加到警报数据。	8.13.0 或更高版本
1.24.0	增强 (查看拉取请求) 将 kibana 约束更新为 ^8.13.0。修改了字段定义，以删除由 ecs@mappings 组件模板冗余的 ECS 字段。	8.13.0 或更高版本
1.23.3	Bug 修复 (查看拉取请求) 修复示例事件 MAC 地址。	8.12.0 或更高版本
1.23.2	增强 (查看拉取请求) 将所有数据流的默认间隔更改为 30 秒。	8.12.0 或更高版本
1.23.1	Bug 修复 (查看拉取请求) 修复示例事件。	8.12.0 或更高版本
1.23.0	增强 (查看拉取请求) 使 `host.ip` 字段符合 ECS 字段定义。	8.12.0 或更高版本
1.22.0	增强 (查看拉取请求) 将 agent.id 添加到所有与代理相关的数据。	8.12.0 或更高版本
1.21.1	Bug 修复 (查看拉取请求) 修复带有 k8s Elastic Agent 的 SentinelOne 包中的摄取管道错误。	8.12.0 或更高版本
1.21.0	增强 (查看拉取请求) 改进对空响应的处理。	8.12.0 或更高版本
1.20.0	增强 (查看拉取请求) 将敏感值设置为 secret 并修复不正确的映射。	8.12.0 或更高版本
1.19.2	增强 (查看拉取请求) 更改了所有者	8.7.1 或更高版本
1.19.1	增强 (查看拉取请求) 在 README 中添加有关支持响应操作的信息	8.7.1 或更高版本
1.19.0	增强 (查看拉取请求) 将请求跟踪器日志计数限制为 5。	8.7.1 或更高版本
1.18.0	增强 (查看拉取请求) ECS 版本更新为 8.11.0。	8.7.1 或更高版本
1.17.0	增强 (查看拉取请求) 改进 event.original 检查，以避免在设置时出现错误。	8.7.1 或更高版本
1.16.1	Bug 修复 (查看拉取请求) 添加对缺失字段的支持。	8.7.1 或更高版本
1.16.0	增强 (查看拉取请求) 将包 format_version 更新为 3.0.0。	8.7.1 或更高版本
1.15.0	Bug 修复 (查看拉取请求) 更正根级别处无效的 ECS 字段用法。	8.7.1 或更高版本
1.14.0	增强 (查看拉取请求) ECS 版本更新为 8.10.0。	8.7.1 或更高版本
1.13.0	增强 (查看拉取请求) 添加 tags.yml 文件，以便使用“安全解决方案”标记集成仪表板和已保存的搜索，并在安全解决方案 UI 中显示。	8.7.1 或更高版本
1.12.0	增强 (查看拉取请求) 将包更新为 ECS 8.9.0。	8.7.1 或更高版本
1.11.0	增强 (查看拉取请求) 将仪表板转换为 Lens。	8.7.1 或更高版本
1.10.0	增强 (查看拉取请求) 确保正确设置管道错误的 event.kind。	8.7.1 或更高版本
1.9.0	增强 (查看拉取请求) 将包更新为 ECS 8.8.0。	8.7.1 或更高版本
1.8.0	增强 (查看拉取请求) 将 package-spec 版本更新为 2.7.0。	8.7.1 或更高版本
1.7.0	增强 (查看拉取请求) 添加一个新标志以启用请求跟踪	8.7.1 或更高版本
1.6.0	增强 (查看拉取请求) 将包更新为 ECS 8.7.0。	7.17.0 或更高版本 8.0.0 或更高版本
1.5.2	增强 (查看拉取请求) 添加了类别和/或子类别。	7.17.0 或更高版本 8.0.0 或更高版本
1.5.1	增强 (查看拉取请求) 从 SentinelOne 威胁 ID 设置 event.id	7.17.0 或更高版本 8.0.0 或更高版本
1.5.0	增强 (查看拉取请求) 将包更新为 ECS 8.6.0。	7.17.0 或更高版本 8.0.0 或更高版本
1.4.0	增强 (查看拉取请求) 向日期处理器添加一个 on_failure 处理器，并更新分页终止条件。 Bug 修复 (查看拉取请求) 更新活动数据流中的 newValue 字段类型。	7.17.0 或更高版本 8.0.0 或更高版本
1.3.0	增强 (查看拉取请求) 将包更新为 ECS 8.5.0。	7.17.0 或更高版本 8.0.0 或更高版本
1.2.2	Bug 修复 (查看拉取请求) 确保 related.hash 数组排序的稳定性。	7.17.0 或更高版本 8.0.0 或更高版本
1.2.1	Bug 修复 (查看拉取请求) 根据活动丰富 event.category、event.type、event.kind 和 event.outcome 字段。	7.17.0 或更高版本 8.0.0 或更高版本
1.2.0	增强 (查看拉取请求) 将 Sentinel One 威胁的 event.kind 设置为 alert。	7.17.0 或更高版本 8.0.0 或更高版本
1.1.0	增强 (查看拉取请求) 将包更新为 ECS 8.4.0	7.17.0 或更高版本 8.0.0 或更高版本
1.0.0	增强 (查看拉取请求) 正式发布 (GA)	7.17.0 或更高版本 8.0.0 或更高版本
0.2.1	缺陷修复 (查看拉取请求) 修复代理 URL 文档渲染问题。	—
0.2.0	增强 (查看拉取请求) 将软件包更新到 ECS 8.3.0。	—
0.1.0	增强 (查看拉取请求) 初始版本发布	—

« SentinelOne SentinelOne 云漏斗 »