Windows 集成
编辑Windows 集成
编辑Windows 集成允许您监视 Windows 操作系统、服务、应用程序等。
使用 Windows 集成来收集您机器的指标和日志。然后在 Kibana 中可视化这些数据，创建警报以在出现问题时通知您，并在排查问题时参考数据。
例如，如果您想知道 Windows 服务是否意外停止运行，您可以安装 Windows 集成以将服务指标发送到 Elastic。然后，您可以在 Kibana 的[指标 Windows] 服务仪表板中查看服务状态的实时更改。
数据流
编辑Windows 集成收集两种类型的数据：日志和指标。
日志帮助您记录机器上发生的事件。Windows 集成收集的日志数据流包括转发的事件、PowerShell 事件和 Sysmon 事件。安全、应用程序和系统事件日志的日志收集由系统集成处理。有关更多详细信息，请参阅 日志参考。
指标让您深入了解机器的状态。Windows 集成收集的指标数据流包括服务详细信息和性能计数器值。有关更多详细信息，请参阅 指标参考。
对于 7.11，security、application 和 system 日志已移动到系统包。
要求
编辑您需要 Elasticsearch 来存储和搜索您的数据，以及 Kibana 来可视化和管理它。您可以使用我们在 Elastic Cloud 上的托管 Elasticsearch 服务（推荐），或者在您自己的硬件上自行管理 Elastic Stack。
每个数据流收集不同类型的指标数据，这些数据可能需要特定的权限才能获取，并且可能因操作系统而异。
设置
编辑有关如何设置集成的分步说明，请参阅 入门指南。
由于 Windows 集成始终应用于本地服务器，因此不需要 hosts 配置选项。
通过 Splunk 摄取 Windows 事件（已弃用）
编辑此集成允许您从 Splunk Enterprise 实例无缝摄取数据。该集成使用 Elastic Agent 中的 httpjson 输入，通过 Splunk REST API 运行 Splunk 搜索，然后从结果中提取原始事件。然后通过 Elastic Agent 处理原始事件。您可以自定义 Splunk 搜索查询和搜索间隔。有关更多信息，请参阅 从 Splunk 摄取数据。
此集成要求 Splunk 中的 Windows 事件采用 XML 格式。为此，需要在您的 inputs.conf 文件中将 renderXml 设置为 1。
注意事项
编辑Windows 事件 ID 子句限制
编辑如果您指定超过 22 个查询条件（事件 ID 或事件 ID 范围），由于查询系统中的限制，某些版本的 Windows 将阻止集成读取事件日志。如果发生这种情况，则会出现类似如下的警告
The specified query is invalid.
在某些情况下，限制可能低于 22 个条件。例如，将范围和单个事件 ID 混合使用，以及其他参数（例如 ignore older），会导致限制为 21 个条件。
如果您有超过 22 个条件，您可以使用 drop_event 处理器来解决此 Windows 限制，该处理器在 filebeat 从 Windows 接收到事件后执行筛选。下面显示的筛选器等效于 event_id: 903, 1024, 2000-2004, 4624，但可以扩展到超过 22 个事件 ID。
- drop_event.when.not.or:
- equals.winlog.event_id: "903"
- equals.winlog.event_id: "1024"
- equals.winlog.event_id: "4624"
- range:
winlog.event_id.gte: 2000
winlog.event_id.lte: 2004
日志参考
编辑AppLocker/EXE 和 DLL
编辑Windows applocker_exe_and_dll 数据流提供来自 Windows Microsoft-Windows-AppLocker/EXE and DLL 事件日志的事件。
示例
applocker_exe_and_dll 的示例事件如下所示
{
"@timestamp": "2023-07-20T15:05:03.882Z",
"agent": {
"ephemeral_id": "026312ee-e6f4-4086-92cc-0e7c56bdbb5a",
"id": "49658d66-b405-4c92-8e7c-5c2646556bf2",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.14.1"
},
"data_stream": {
"dataset": "windows.applocker_exe_and_dll",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.0.0"
},
"elastic_agent": {
"id": "49658d66-b405-4c92-8e7c-5c2646556bf2",
"snapshot": false,
"version": "8.14.1"
},
"event": {
"action": "None",
"agent_id_status": "verified",
"category": [
"process"
],
"code": "8003",
"created": "2024-06-21T01:53:30.508Z",
"dataset": "windows.applocker_exe_and_dll",
"ingested": "2024-06-21T01:53:42Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-AppLocker' Guid='{cbda4dbf-8d5d-4f69-9578-be14aa540d22}' /\u003e\u003cEventID\u003e8003\u003c/EventID\u003e\u003cVersion\u003e0\u003c/Version\u003e\u003cLevel\u003e3\u003c/Level\u003e\u003cTask\u003e0\u003c/Task\u003e\u003cOpcode\u003e0\u003c/Opcode\u003e\u003cKeywords\u003e0x8000000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2023-07-20T15:05:03.8826518Z' /\u003e\u003cEventRecordID\u003e154247\u003c/EventRecordID\u003e\u003cCorrelation /\u003e\u003cExecution ProcessID='33848' ThreadID='12040' /\u003e\u003cChannel\u003eMicrosoft-Windows-AppLocker/EXE and DLL\u003c/Channel\u003e\u003cComputer\u003eTOPSYLL.local\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-21-1133191089-1850170202-1535859923-200319' /\u003e\u003c/System\u003e\u003cUserData\u003e\u003cRuleAndFileData xmlns='http://schemas.microsoft.com/schemas/event/Microsoft.Windows/1.0.0.0'\u003e\u003cPolicyNameLength\u003e3\u003c/PolicyNameLength\u003e\u003cPolicyName\u003eEXE\u003c/PolicyName\u003e\u003cRuleId\u003e{00000000-0000-0000-0000-000000000000}\u003c/RuleId\u003e\u003cRuleNameLength\u003e1\u003c/RuleNameLength\u003e\u003cRuleName\u003e-\u003c/RuleName\u003e\u003cRuleSddlLength\u003e1\u003c/RuleSddlLength\u003e\u003cRuleSddl\u003e-\u003c/RuleSddl\u003e\u003cTargetUser\u003eS-1-5-21-1133191089-1850170202-1535859923-200319\u003c/TargetUser\u003e\u003cTargetProcessId\u003e27116\u003c/TargetProcessId\u003e\u003cFilePathLength\u003e101\u003c/FilePathLength\u003e\u003cFilePath\u003e%OSDRIVE%\\USERS\\TOPSY\\APPDATA\\LOCAL\\GITHUBDESKTOP\\APP-3.1.2\\RESOURCES\\APP\\GIT\\MINGW64\\BIN\\GIT.EXE\u003c/FilePath\u003e\u003cFileHashLength\u003e32\u003c/FileHashLength\u003e\u003cFileHash\u003e11D3940DE41D28E044CE45AB76A6D824E617D99B62C5FB44E37BE5CD7B0545F5\u003c/FileHash\u003e\u003cFqbnLength\u003e72\u003c/FqbnLength\u003e\u003cFqbn\u003eO=JOHANNES SCHINDELIN, S=NORDRHEIN-WESTFALEN, C=DE\\GIT\\GIT.EXE\\2.35.5.01\u003c/Fqbn\u003e\u003cTargetLogonId\u003e0x14fcb7\u003c/TargetLogonId\u003e\u003cFullFilePathLength\u003e94\u003c/FullFilePathLength\u003e\u003cFullFilePath\u003eC:\\Users\\TOPSY\\AppData\\Local\\GitHubDesktop\\app-3.1.2\\resources\\app\\git\\mingw64\\bin\\git.exe\u003c/FullFilePath\u003e\u003c/RuleAndFileData\u003e\u003c/UserData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-AppLocker",
"type": [
"start"
]
},
"file": {
"hash": {
"sha256": "11D3940DE41D28E044CE45AB76A6D824E617D99B62C5FB44E37BE5CD7B0545F5"
},
"name": "git.exe",
"pe": {
"file_version": "2.35.5.01",
"original_file_name": "GIT.EXE",
"product": "GIT"
},
"x509": {
"subject": {
"country": [
"DE"
],
"organization": [
"JOHANNES SCHINDELIN"
],
"state_or_province": [
"NORDRHEIN-WESTFALEN"
]
}
}
},
"host": {
"name": "TOPSYLL.local"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "warning"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-21-1133191089-1850170202-1535859923-200319"
},
"winlog": {
"channel": "Microsoft-Windows-AppLocker/EXE and DLL",
"computer_name": "TOPSYLL.local",
"event_id": "8003",
"level": "warning",
"opcode": "Info",
"process": {
"pid": 33848,
"thread": {
"id": 12040
}
},
"provider_guid": "{cbda4dbf-8d5d-4f69-9578-be14aa540d22}",
"provider_name": "Microsoft-Windows-AppLocker",
"record_id": "154247",
"task": "None",
"time_created": "2023-07-20T15:05:03.882Z",
"user": {
"identifier": "S-1-5-21-1133191089-1850170202-1535859923-200319"
},
"user_data": {
"FileHash": "11D3940DE41D28E044CE45AB76A6D824E617D99B62C5FB44E37BE5CD7B0545F5",
"FileHashLength": 32,
"FilePath": "%OSDRIVE%\\USERS\\TOPSY\\APPDATA\\LOCAL\\GITHUBDESKTOP\\APP-3.1.2\\RESOURCES\\APP\\GIT\\MINGW64\\BIN\\GIT.EXE",
"FilePathLength": 101,
"Fqbn": "O=JOHANNES SCHINDELIN, S=NORDRHEIN-WESTFALEN, C=DE\\GIT\\GIT.EXE\\2.35.5.01",
"FqbnLength": 72,
"FullFilePath": "C:\\Users\\TOPSY\\AppData\\Local\\GitHubDesktop\\app-3.1.2\\resources\\app\\git\\mingw64\\bin\\git.exe",
"FullFilePathLength": 94,
"PolicyName": "EXE",
"PolicyNameLength": 3,
"RuleId": "{00000000-0000-0000-0000-000000000000}",
"RuleName": "-",
"RuleNameLength": 1,
"RuleSddl": "-",
"RuleSddlLength": 1,
"TargetLogonId": "0x14fcb7",
"TargetProcessId": 27116,
"TargetUser": "S-1-5-21-1133191089-1850170202-1535859923-200319",
"xml_name": "RuleAndFileData"
}
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.hash.sha256 |
SHA256 哈希值。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
file.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
file.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
file.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
file.x509.subject.country |
国家/地区 (C) 代码列表 |
关键字 |
file.x509.subject.locality |
地点名称列表 (L) |
关键字 |
file.x509.subject.organization |
主题的组织 (O) 列表。 |
关键字 |
file.x509.subject.state_or_province |
州或省名称列表 (ST、S 或 P) |
关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.level |
分配给事件的级别，例如信息、警告或严重。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.time_created |
创建事件的时间。 |
日期 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.user_data.FileHash |
关键字 |
|
winlog.user_data.FileHashLength |
long |
|
winlog.user_data.FilePath |
关键字 |
|
winlog.user_data.FilePathLength |
long |
|
winlog.user_data.Fqbn |
关键字 |
|
winlog.user_data.FqbnLength |
long |
|
winlog.user_data.FullFilePath |
关键字 |
|
winlog.user_data.FullFilePathLength |
long |
|
winlog.user_data.PolicyName |
关键字 |
|
winlog.user_data.PolicyNameLength |
long |
|
winlog.user_data.RuleId |
关键字 |
|
winlog.user_data.RuleName |
关键字 |
|
winlog.user_data.RuleNameLength |
long |
|
winlog.user_data.RuleSddl |
关键字 |
|
winlog.user_data.RuleSddlLength |
long |
|
winlog.user_data.TargetLogonId |
关键字 |
|
winlog.user_data.TargetProcessId |
long |
|
winlog.user_data.TargetUser |
关键字 |
|
winlog.user_data.xml_name |
关键字 |
|
winlog.version |
事件定义的版本号。 |
long |
AppLocker/MSI 和脚本
编辑Windows applocker_msi_and_script 数据流提供来自 Windows Microsoft-Windows-AppLocker/MSI 和脚本事件日志的事件。
示例
一个 applocker_msi_and_script 的示例事件如下
{
"@timestamp": "2023-08-04T21:26:32.757Z",
"agent": {
"ephemeral_id": "17b8f200-259d-4f9f-898e-ccfd2f82705a",
"id": "15b01abd-cefe-4ddd-8359-617acef7bf30",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.7.1"
},
"data_stream": {
"dataset": "windows.applocker_msi_and_script",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.0.0"
},
"elastic_agent": {
"id": "15b01abd-cefe-4ddd-8359-617acef7bf30",
"snapshot": false,
"version": "8.7.1"
},
"event": {
"action": "None",
"agent_id_status": "verified",
"category": [
"process"
],
"code": "8006",
"created": "2023-08-05T12:31:30.395Z",
"dataset": "windows.applocker_msi_and_script",
"ingested": "2023-08-05T12:31:34Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-AppLocker' Guid='{cbda4dbf-8d5d-4f69-9578-be14aa540d22}' /\u003e\u003cEventID\u003e8006\u003c/EventID\u003e\u003cVersion\u003e0\u003c/Version\u003e\u003cLevel\u003e3\u003c/Level\u003e\u003cTask\u003e0\u003c/Task\u003e\u003cOpcode\u003e0\u003c/Opcode\u003e\u003cKeywords\u003e0x4000000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2023-08-04T21:26:32.7572144Z' /\u003e\u003cEventRecordID\u003e239\u003c/EventRecordID\u003e\u003cCorrelation ActivityID='{f64315e2-bea0-0000-6d01-d5f6a0bed901}' /\u003e\u003cExecution ProcessID='25192' ThreadID='7740' /\u003e\u003cChannel\u003eMicrosoft-Windows-AppLocker/MSI and Script\u003c/Channel\u003e\u003cComputer\u003eel33t-b00k-1\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-21-2707992022-4034939591-3454028951-1001' /\u003e\u003c/System\u003e\u003cUserData\u003e\u003cRuleAndFileData xmlns='http://schemas.microsoft.com/schemas/event/Microsoft.Windows/1.0.0.0'\u003e\u003cPolicyNameLength\u003e6\u003c/PolicyNameLength\u003e\u003cPolicyName\u003eSCRIPT\u003c/PolicyName\u003e\u003cRuleId\u003e{00000000-0000-0000-0000-000000000000}\u003c/RuleId\u003e\u003cRuleNameLength\u003e1\u003c/RuleNameLength\u003e\u003cRuleName\u003e-\u003c/RuleName\u003e\u003cRuleSddlLength\u003e1\u003c/RuleSddlLength\u003e\u003cRuleSddl\u003e-\u003c/RuleSddl\u003e\u003cTargetUser\u003eS-1-5-21-2707992022-4034939591-3454028951-1001\u003c/TargetUser\u003e\u003cTargetProcessId\u003e25192\u003c/TargetProcessId\u003e\u003cFilePathLength\u003e124\u003c/FilePathLength\u003e\u003cFilePath\u003e%OSDRIVE%\\USERS\\NICPE\\.VSCODE\\EXTENSIONS\\MS-VSCODE.POWERSHELL-2023.6.0\\MODULES\\PSSCRIPTANALYZER\\1.21.0\\PSSCRIPTANALYZER.PSM1\u003c/FilePath\u003e\u003cFileHashLength\u003e32\u003c/FileHashLength\u003e\u003cFileHash\u003eD2A09AC074F8D326B4DCC8B8BE5BC003C41CCB6EB5FC35E13B73F834F2946B01\u003c/FileHash\u003e\u003cFqbnLength\u003e65\u003c/FqbnLength\u003e\u003cFqbn\u003eO=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\\\\\\0.0.0.00\u003c/Fqbn\u003e\u003cTargetLogonId\u003e0x4c18f\u003c/TargetLogonId\u003e\u003cFullFilePathLength\u003e117\u003c/FullFilePathLength\u003e\u003cFullFilePath\u003eC:\\Users\\nicpe\\.vscode\\extensions\\ms-vscode.powershell-2023.6.0\\modules\\PSScriptAnalyzer\\1.21.0\\PSScriptAnalyzer.psm1\u003c/FullFilePath\u003e\u003c/RuleAndFileData\u003e\u003c/UserData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-AppLocker",
"type": [
"start"
]
},
"file": {
"hash": {
"sha256": "D2A09AC074F8D326B4DCC8B8BE5BC003C41CCB6EB5FC35E13B73F834F2946B01"
},
"name": "PSScriptAnalyzer.psm1",
"pe": {
"file_version": "0.0.0.00",
"original_file_name": "",
"product": ""
},
"x509": {
"subject": {
"country": [
"US"
],
"locality": [
"REDMOND"
],
"organization": [
"MICROSOFT CORPORATION"
],
"state_or_province": [
"WASHINGTON"
]
}
}
},
"host": {
"name": "el33t-b00k-1"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "warning"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-21-2707992022-4034939591-3454028951-1001"
},
"winlog": {
"activity_id": "{f64315e2-bea0-0000-6d01-d5f6a0bed901}",
"channel": "Microsoft-Windows-AppLocker/MSI and Script",
"computer_name": "el33t-b00k-1",
"event_id": "8006",
"level": "warning",
"opcode": "Info",
"process": {
"pid": 25192,
"thread": {
"id": 7740
}
},
"provider_guid": "{cbda4dbf-8d5d-4f69-9578-be14aa540d22}",
"provider_name": "Microsoft-Windows-AppLocker",
"record_id": "239",
"task": "None",
"time_created": "2023-08-04T21:26:32.757Z",
"user": {
"identifier": "S-1-5-21-2707992022-4034939591-3454028951-1001"
},
"user_data": {
"FileHash": "D2A09AC074F8D326B4DCC8B8BE5BC003C41CCB6EB5FC35E13B73F834F2946B01",
"FileHashLength": 32,
"FilePath": "%OSDRIVE%\\USERS\\NICPE\\.VSCODE\\EXTENSIONS\\MS-VSCODE.POWERSHELL-2023.6.0\\MODULES\\PSSCRIPTANALYZER\\1.21.0\\PSSCRIPTANALYZER.PSM1",
"FilePathLength": 124,
"Fqbn": "O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\\\\\\0.0.0.00",
"FqbnLength": 65,
"FullFilePath": "C:\\Users\\nicpe\\.vscode\\extensions\\ms-vscode.powershell-2023.6.0\\modules\\PSScriptAnalyzer\\1.21.0\\PSScriptAnalyzer.psm1",
"FullFilePathLength": 117,
"PolicyName": "SCRIPT",
"PolicyNameLength": 6,
"RuleId": "{00000000-0000-0000-0000-000000000000}",
"RuleName": "-",
"RuleNameLength": 1,
"RuleSddl": "-",
"RuleSddlLength": 1,
"TargetLogonId": "0x4c18f",
"TargetProcessId": 25192,
"TargetUser": "S-1-5-21-2707992022-4034939591-3454028951-1001",
"xml_name": "RuleAndFileData"
}
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.hash.sha256 |
SHA256 哈希值。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
file.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
file.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
file.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
file.x509.subject.country |
国家/地区 (C) 代码列表 |
关键字 |
file.x509.subject.locality |
地点名称列表 (L) |
关键字 |
file.x509.subject.organization |
主题的组织 (O) 列表。 |
关键字 |
file.x509.subject.state_or_province |
州或省名称列表 (ST、S 或 P) |
关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.level |
分配给事件的级别，例如信息、警告或严重。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.time_created |
创建事件的时间。 |
日期 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.user_data.FileHash |
关键字 |
|
winlog.user_data.FileHashLength |
long |
|
winlog.user_data.FilePath |
关键字 |
|
winlog.user_data.FilePathLength |
long |
|
winlog.user_data.Fqbn |
关键字 |
|
winlog.user_data.FqbnLength |
long |
|
winlog.user_data.FullFilePath |
关键字 |
|
winlog.user_data.FullFilePathLength |
long |
|
winlog.user_data.PolicyName |
关键字 |
|
winlog.user_data.PolicyNameLength |
long |
|
winlog.user_data.RuleId |
关键字 |
|
winlog.user_data.RuleName |
关键字 |
|
winlog.user_data.RuleNameLength |
long |
|
winlog.user_data.RuleSddl |
关键字 |
|
winlog.user_data.RuleSddlLength |
long |
|
winlog.user_data.TargetLogonId |
关键字 |
|
winlog.user_data.TargetProcessId |
long |
|
winlog.user_data.TargetUser |
关键字 |
|
winlog.user_data.xml_name |
关键字 |
|
winlog.version |
事件定义的版本号。 |
long |
AppLocker/打包的应用程序-部署
编辑Windows applocker_packaged_app_deployment 数据流提供来自 Windows Microsoft-Windows-AppLocker/打包的应用程序-部署事件日志的事件。
示例
一个 applocker_packaged_app_deployment 的示例事件如下
{
"@timestamp": "2023-08-15T14:12:32.680Z",
"agent": {
"ephemeral_id": "03a46cd5-bd39-49b3-b8cf-493dcd361920",
"id": "4c6333d2-c654-4cac-be07-248d79340ee5",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.7.1"
},
"data_stream": {
"dataset": "windows.applocker_packaged_app_deployment",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.9.0"
},
"elastic_agent": {
"id": "4c6333d2-c654-4cac-be07-248d79340ee5",
"snapshot": false,
"version": "8.7.1"
},
"event": {
"action": "None",
"agent_id_status": "verified",
"category": [
"process"
],
"code": "8023",
"created": "2023-08-15T22:51:13.753Z",
"dataset": "windows.applocker_packaged_app_deployment",
"ingested": "2023-08-15T22:51:17Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-AppLocker' Guid='{cbda4dbf-8d5d-4f69-9578-be14aa540d22}'/\u003e\u003cEventID\u003e8023\u003c/EventID\u003e\u003cVersion\u003e0\u003c/Version\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e0\u003c/Task\u003e\u003cOpcode\u003e0\u003c/Opcode\u003e\u003cKeywords\u003e0x1000000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2023-08-15T14:12:32.6801945Z'/\u003e\u003cEventRecordID\u003e6269\u003c/EventRecordID\u003e\u003cCorrelation ActivityID='{eac4f4ed-cf73-0001-a741-c5ea73cfd901}'/\u003e\u003cExecution ProcessID='4584' ThreadID='26688'/\u003e\u003cChannel\u003eMicrosoft-Windows-AppLocker/Packaged app-Deployment\u003c/Channel\u003e\u003cComputer\u003eWIN1012009LL.local\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-21-1133191089-1850170202-1535859923-200319'/\u003e\u003c/System\u003e\u003cUserData\u003e\u003cRuleAndFileData xmlns='http://schemas.microsoft.com/schemas/event/Microsoft.Windows/1.0.0.0'\u003e\u003cPolicyNameLength\u003e4\u003c/PolicyNameLength\u003e\u003cPolicyName\u003eAPPX\u003c/PolicyName\u003e\u003cRuleId\u003e{a9e18c21-ff8f-43cf-b9fc-db40eed693ba}\u003c/RuleId\u003e\u003cRuleNameLength\u003e39\u003c/RuleNameLength\u003e\u003cRuleName\u003e(Default Rule) All signed packaged apps\u003c/RuleName\u003e\u003cRuleSddlLength\u003e81\u003c/RuleSddlLength\u003e\u003cRuleSddl\u003eyams\u003c/RuleSddl\u003e\u003cTargetUser\u003eS-1-5-21-1133191089-1850170202-1535859923-200319\u003c/TargetUser\u003e\u003cTargetProcessId\u003e4584\u003c/TargetProcessId\u003e\u003cPackageLength\u003e18\u003c/PackageLength\u003e\u003cPackage\u003eMicrosoft.BingNews\u003c/Package\u003e\u003cFqbnLength\u003e118\u003c/FqbnLength\u003e\u003cFqbn\u003eCN=MICROSOFT CORPORATION, O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\MICROSOFT.BINGNEWS\\APPX\\4.55.62231.00\u003c/Fqbn\u003e\u003c/RuleAndFileData\u003e\u003c/UserData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-AppLocker",
"type": [
"start"
]
},
"file": {
"pe": {
"file_version": "4.55.62231.00",
"original_file_name": "APPX",
"product": "MICROSOFT.BINGNEWS"
},
"x509": {
"subject": {
"common_name": [
"MICROSOFT CORPORATION"
],
"country": [
"US"
],
"locality": [
"REDMOND"
],
"organization": [
"MICROSOFT CORPORATION"
],
"state_or_province": [
"WASHINGTON"
]
}
}
},
"host": {
"name": "WIN1012009LL.local"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "information"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-21-1133191089-1850170202-1535859923-200319"
},
"winlog": {
"activity_id": "{eac4f4ed-cf73-0001-a741-c5ea73cfd901}",
"channel": "Microsoft-Windows-AppLocker/Packaged app-Deployment",
"computer_name": "WIN1012009LL.local",
"event_id": "8023",
"level": "information",
"opcode": "Info",
"process": {
"pid": 4584,
"thread": {
"id": 26688
}
},
"provider_guid": "{cbda4dbf-8d5d-4f69-9578-be14aa540d22}",
"provider_name": "Microsoft-Windows-AppLocker",
"record_id": "6269",
"task": "None",
"time_created": "2023-08-15T14:12:32.680Z",
"user": {
"identifier": "S-1-5-21-1133191089-1850170202-1535859923-200319"
},
"user_data": {
"Fqbn": "CN=MICROSOFT CORPORATION, O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\MICROSOFT.BINGNEWS\\APPX\\4.55.62231.00",
"FqbnLength": 118,
"Package": "Microsoft.BingNews",
"PackageLength": "18",
"PolicyName": "APPX",
"PolicyNameLength": 4,
"RuleId": "{a9e18c21-ff8f-43cf-b9fc-db40eed693ba}",
"RuleName": "(Default Rule) All signed packaged apps",
"RuleNameLength": 39,
"RuleSddl": "yams",
"RuleSddlLength": 81,
"TargetProcessId": 4584,
"TargetUser": "S-1-5-21-1133191089-1850170202-1535859923-200319",
"xml_name": "RuleAndFileData"
}
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.hash.sha256 |
SHA256 哈希值。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
file.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
file.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
file.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
file.x509.subject.common_name |
主题的常用名称 (CN) 列表。 |
关键字 |
file.x509.subject.country |
国家/地区 (C) 代码列表 |
关键字 |
file.x509.subject.locality |
地点名称列表 (L) |
关键字 |
file.x509.subject.organization |
主题的组织 (O) 列表。 |
关键字 |
file.x509.subject.state_or_province |
州或省名称列表 (ST、S 或 P) |
关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.level |
分配给事件的级别，例如信息、警告或严重。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.time_created |
创建事件的时间。 |
日期 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.user_data.FileHash |
关键字 |
|
winlog.user_data.FileHashLength |
long |
|
winlog.user_data.FilePath |
关键字 |
|
winlog.user_data.FilePathLength |
long |
|
winlog.user_data.Fqbn |
关键字 |
|
winlog.user_data.FqbnLength |
long |
|
winlog.user_data.FullFilePath |
关键字 |
|
winlog.user_data.FullFilePathLength |
long |
|
winlog.user_data.Package |
关键字 |
|
winlog.user_data.PackageLength |
关键字 |
|
winlog.user_data.PolicyName |
关键字 |
|
winlog.user_data.PolicyNameLength |
long |
|
winlog.user_data.RuleId |
关键字 |
|
winlog.user_data.RuleName |
关键字 |
|
winlog.user_data.RuleNameLength |
long |
|
winlog.user_data.RuleSddl |
关键字 |
|
winlog.user_data.RuleSddlLength |
long |
|
winlog.user_data.TargetLogonId |
关键字 |
|
winlog.user_data.TargetProcessId |
long |
|
winlog.user_data.TargetUser |
关键字 |
|
winlog.user_data.xml_name |
关键字 |
|
winlog.version |
事件定义的版本号。 |
long |
AppLocker/打包的应用程序-执行
编辑Windows applocker_packaged_app_execution 数据流提供来自 Windows Microsoft-Windows-AppLocker/打包的应用程序-执行事件日志的事件。
示例
一个 applocker_packaged_app_execution 的示例事件如下
{
"@timestamp": "2023-08-13T13:53:33.706Z",
"agent": {
"ephemeral_id": "b26295a5-6dd5-4ff4-9102-98ebdf4f097c",
"id": "a2f04e82-dbc6-4eae-b003-e7cd21a975ef",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.7.1"
},
"data_stream": {
"dataset": "windows.applocker_packaged_app_execution",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.9.0"
},
"elastic_agent": {
"id": "a2f04e82-dbc6-4eae-b003-e7cd21a975ef",
"snapshot": false,
"version": "8.7.1"
},
"event": {
"action": "None",
"agent_id_status": "verified",
"category": [
"process"
],
"code": "8020",
"created": "2023-08-17T14:13:22.965Z",
"dataset": "windows.applocker_packaged_app_execution",
"ingested": "2023-08-17T14:13:26Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-AppLocker' Guid='{cbda4dbf-8d5d-4f69-9578-be14aa540d22}'/\u003e\u003cEventID\u003e8020\u003c/EventID\u003e\u003cVersion\u003e0\u003c/Version\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e0\u003c/Task\u003e\u003cOpcode\u003e0\u003c/Opcode\u003e\u003cKeywords\u003e0x2000000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2023-08-13T13:53:33.7067781Z'/\u003e\u003cEventRecordID\u003e2986\u003c/EventRecordID\u003e\u003cCorrelation/\u003e\u003cExecution ProcessID='1672' ThreadID='8384'/\u003e\u003cChannel\u003eMicrosoft-Windows-AppLocker/Packaged app-Execution\u003c/Channel\u003e\u003cComputer\u003eel33t-b00k-1\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-21-2707992022-4034939591-3454028951-1001'/\u003e\u003c/System\u003e\u003cUserData\u003e\u003cRuleAndFileData xmlns='http://schemas.microsoft.com/schemas/event/Microsoft.Windows/1.0.0.0'\u003e\u003cPolicyNameLength\u003e4\u003c/PolicyNameLength\u003e\u003cPolicyName\u003eAPPX\u003c/PolicyName\u003e\u003cRuleId\u003e{a9e18c21-ff8f-43cf-b9fc-db40eed693ba}\u003c/RuleId\u003e\u003cRuleNameLength\u003e39\u003c/RuleNameLength\u003e\u003cRuleName\u003e(Default Rule) All signed packaged apps\u003c/RuleName\u003e\u003cRuleSddlLength\u003e81\u003c/RuleSddlLength\u003e\u003cRuleSddl\u003eD:(XA;;FX;;;S-1-1-0;((Exists APPID://FQBN) \u0026amp;\u0026amp; ((APPID://FQBN) \u0026gt;= ({\"*\\\*\\\*\",0}))))\u003c/RuleSddl\u003e\u003cTargetUser\u003eS-1-5-21-2707992022-4034939591-3454028951-1001\u003c/TargetUser\u003e\u003cTargetProcessId\u003e41864\u003c/TargetProcessId\u003e\u003cPackageLength\u003e15\u003c/PackageLength\u003e\u003cPackage\u003eMICROSOFT.TODOS\u003c/Package\u003e\u003cFqbnLength\u003e116\u003c/FqbnLength\u003e\u003cFqbn\u003eCN=MICROSOFT CORPORATION, O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\MICROSOFT.TODOS\\APPX\\2.100.61791.00\u003c/Fqbn\u003e\u003c/RuleAndFileData\u003e\u003c/UserData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-AppLocker",
"type": [
"start"
]
},
"file": {
"pe": {
"file_version": "2.100.61791.00",
"original_file_name": "APPX",
"product": "MICROSOFT.TODOS"
},
"x509": {
"subject": {
"common_name": [
"MICROSOFT CORPORATION"
],
"country": [
"US"
],
"locality": [
"REDMOND"
],
"organization": [
"MICROSOFT CORPORATION"
],
"state_or_province": [
"WASHINGTON"
]
}
}
},
"host": {
"name": "el33t-b00k-1"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "information"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-21-2707992022-4034939591-3454028951-1001"
},
"winlog": {
"channel": "Microsoft-Windows-AppLocker/Packaged app-Execution",
"computer_name": "el33t-b00k-1",
"event_id": "8020",
"level": "information",
"opcode": "Info",
"process": {
"pid": 1672,
"thread": {
"id": 8384
}
},
"provider_guid": "{cbda4dbf-8d5d-4f69-9578-be14aa540d22}",
"provider_name": "Microsoft-Windows-AppLocker",
"record_id": "2986",
"task": "None",
"time_created": "2023-08-13T13:53:33.706Z",
"user": {
"identifier": "S-1-5-21-2707992022-4034939591-3454028951-1001"
},
"user_data": {
"Fqbn": "CN=MICROSOFT CORPORATION, O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US\\MICROSOFT.TODOS\\APPX\\2.100.61791.00",
"FqbnLength": 116,
"Package": "MICROSOFT.TODOS",
"PackageLength": "15",
"PolicyName": "APPX",
"PolicyNameLength": 4,
"RuleId": "{a9e18c21-ff8f-43cf-b9fc-db40eed693ba}",
"RuleName": "(Default Rule) All signed packaged apps",
"RuleNameLength": 39,
"RuleSddl": "D:(XA;;FX;;;S-1-1-0;((Exists APPID://FQBN) \u0026\u0026 ((APPID://FQBN) \u003e= ({\"*\\\*\\\*\",0}))))",
"RuleSddlLength": 81,
"TargetProcessId": 41864,
"TargetUser": "S-1-5-21-2707992022-4034939591-3454028951-1001",
"xml_name": "RuleAndFileData"
}
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.hash.sha256 |
SHA256 哈希值。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
file.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
file.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
file.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
file.x509.subject.common_name |
主题的常用名称 (CN) 列表。 |
关键字 |
file.x509.subject.country |
国家/地区 (C) 代码列表 |
关键字 |
file.x509.subject.locality |
地点名称列表 (L) |
关键字 |
file.x509.subject.organization |
主题的组织 (O) 列表。 |
关键字 |
file.x509.subject.state_or_province |
州或省名称列表 (ST、S 或 P) |
关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.level |
分配给事件的级别，例如信息、警告或严重。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.time_created |
创建事件的时间。 |
日期 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.user_data.FileHash |
关键字 |
|
winlog.user_data.FileHashLength |
long |
|
winlog.user_data.FilePath |
关键字 |
|
winlog.user_data.FilePathLength |
long |
|
winlog.user_data.Fqbn |
关键字 |
|
winlog.user_data.FqbnLength |
long |
|
winlog.user_data.FullFilePath |
关键字 |
|
winlog.user_data.FullFilePathLength |
long |
|
winlog.user_data.Package |
关键字 |
|
winlog.user_data.PackageLength |
关键字 |
|
winlog.user_data.PolicyName |
关键字 |
|
winlog.user_data.PolicyNameLength |
long |
|
winlog.user_data.RuleId |
关键字 |
|
winlog.user_data.RuleName |
关键字 |
|
winlog.user_data.RuleNameLength |
long |
|
winlog.user_data.RuleSddl |
关键字 |
|
winlog.user_data.RuleSddlLength |
long |
|
winlog.user_data.TargetLogonId |
关键字 |
|
winlog.user_data.TargetProcessId |
long |
|
winlog.user_data.TargetUser |
关键字 |
|
winlog.user_data.xml_name |
关键字 |
|
winlog.version |
事件定义的版本号。 |
long |
已转发
编辑Windows forwarded 数据流提供来自 Windows ForwardedEvents 事件日志的事件。这些字段将与特定通道的数据流相同。
Powershell
编辑Windows powershell 数据流提供来自 Windows Windows PowerShell 事件日志的事件。
示例
一个 powershell 的示例事件如下
{
"@timestamp": "2020-05-13T13:21:43.183Z",
"agent": {
"ephemeral_id": "bd1da8d2-a190-4089-9031-a8e5278277fd",
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.8.2"
},
"data_stream": {
"dataset": "windows.powershell",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.0.0"
},
"elastic_agent": {
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"snapshot": false,
"version": "8.8.2"
},
"event": {
"agent_id_status": "verified",
"category": [
"process"
],
"code": "600",
"created": "2023-08-14T00:35:36.340Z",
"dataset": "windows.powershell",
"ingested": "2023-08-14T00:35:39Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='PowerShell'/\u003e\u003cEventID Qualifiers='0'\u003e600\u003c/EventID\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e6\u003c/Task\u003e\u003cKeywords\u003e0x80000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2020-05-13T13:21:43.183180900Z'/\u003e\u003cEventRecordID\u003e1089\u003c/EventRecordID\u003e\u003cChannel\u003eWindows PowerShell\u003c/Channel\u003e\u003cComputer\u003evagrant\u003c/Computer\u003e\u003cSecurity/\u003e\u003c/System\u003e\u003cEventData\u003e\u003cData\u003eCertificate\u003c/Data\u003e\u003cData\u003eStarted\u003c/Data\u003e\u003cData\u003e\tProviderName=Certificate\n\tNewProviderState=Started\n\n\tSequenceNumber=35\n\n\tHostName=Windows PowerShell ISE Host\n\tHostVersion=5.1.17763.1007\n\tHostId=86edc16f-6943-469e-8bd8-ef1857080206\n\tHostApplication=C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell_ise.exe C:\\Users\\vagrant\\Desktop\\lateral.ps1\n\tEngineVersion=5.1.17763.1007\n\tRunspaceId=9d21da0b-e402-40e1-92ff-98c5ab1137a9\n\tPipelineId=15\n\tCommandName=\n\tCommandType=\n\tScriptName=\n\tCommandPath=\n\tCommandLine=\u003c/Data\u003e\u003c/EventData\u003e\u003c/Event\u003e\n\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='PowerShell'/\u003e\u003cEventID Qualifiers='0'\u003e600\u003c/EventID\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e6\u003c/Task\u003e\u003cKeywords\u003e0x80000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2020-05-13T13:25:04.656426900Z'/\u003e\u003cEventRecordID\u003e1266\u003c/EventRecordID\u003e\u003cChannel\u003eWindows PowerShell\u003c/Channel\u003e\u003cComputer\u003evagrant\u003c/Computer\u003e\u003cSecurity/\u003e\u003c/System\u003e\u003cEventData\u003e\u003cData\u003eRegistry\u003c/Data\u003e\u003cData\u003eStarted\u003c/Data\u003e\u003cData\u003e\tProviderName=Registry\n\tNewProviderState=Started\n\n\tSequenceNumber=1\n\n\tHostName=ConsoleHost\n\tHostVersion=5.1.17763.1007\n\tHostId=44b8d66c-f5a2-4abb-ac7d-6db73990a6d3\n\tHostApplication=C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe -noexit -command 'C:\\Gopath\\src\\github.com\\elastic\\beats'\n\tEngineVersion=\n\tRunspaceId=\n\tPipelineId=\n\tCommandName=\n\tCommandType=\n\tScriptName=\n\tCommandPath=\n\tCommandLine=\u003c/Data\u003e\u003c/EventData\u003e\u003c/Event\u003e\n\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='PowerShell'/\u003e\u003cEventID Qualifiers='0'\u003e600\u003c/EventID\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e6\u003c/Task\u003e\u003cKeywords\u003e0x80000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2020-06-04T07:25:04.857430200Z'/\u003e\u003cEventRecordID\u003e18640\u003c/EventRecordID\u003e\u003cChannel\u003eWindows PowerShell\u003c/Channel\u003e\u003cComputer\u003evagrant\u003c/Computer\u003e\u003cSecurity/\u003e\u003c/System\u003e\u003cEventData\u003e\u003cData\u003eCertificate\u003c/Data\u003e\u003cData\u003eStarted\u003c/Data\u003e\u003cData\u003e\tProviderName=Certificate\n\tNewProviderState=Started\n\n\tSequenceNumber=8\n\n\tHostName=ConsoleHost\n\tHostVersion=2.0\n\tHostId=99a16837-7392-463d-afe5-5f3ed24bd358\n\tEngineVersion=\n\tRunspaceId=\n\tPipelineId=\n\tCommandName=\n\tCommandType=\n\tScriptName=\n\tCommandPath=\n\tCommandLine=\u003c/Data\u003e\u003c/EventData\u003e\u003c/Event\u003e",
"provider": "PowerShell",
"sequence": 35,
"type": [
"info"
]
},
"host": {
"name": "vagrant"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "information"
},
"powershell": {
"engine": {
"version": "5.1.17763.1007"
},
"pipeline_id": "15",
"process": {
"executable_version": "5.1.17763.1007"
},
"provider": {
"name": "Certificate",
"new_state": "Started"
},
"runspace_id": "9d21da0b-e402-40e1-92ff-98c5ab1137a9"
},
"process": {
"args": [
"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell_ise.exe",
"C:\\Users\\vagrant\\Desktop\\lateral.ps1"
],
"args_count": 2,
"command_line": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell_ise.exe C:\\Users\\vagrant\\Desktop\\lateral.ps1",
"entity_id": "86edc16f-6943-469e-8bd8-ef1857080206",
"title": "Windows PowerShell ISE Host"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"winlog": {
"channel": "Windows PowerShell",
"computer_name": "vagrant",
"event_id": "600",
"keywords": [
"Classic"
],
"provider_name": "PowerShell",
"record_id": "1089"
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
powershell.command.invocation_details |
包含已执行命令的详细信息的对象数组。 |
对象 |
powershell.command.invocation_details.name |
仅用于 ParameterBinding 详细类型。指示参数名称。 |
关键字 |
powershell.command.invocation_details.related_command |
与详细信息相关的命令。 |
关键字 |
powershell.command.invocation_details.type |
详细信息的类型。 |
关键字 |
powershell.command.invocation_details.value |
详细信息的值。其含义将取决于详细信息类型。 |
text |
powershell.command.name |
已执行命令的名称。 |
关键字 |
powershell.command.path |
已执行命令的路径。 |
关键字 |
powershell.command.type |
已执行命令的类型。 |
关键字 |
powershell.command.value |
调用的命令。 |
text |
powershell.connected_user.domain |
用户域。 |
关键字 |
powershell.connected_user.name |
用户名。 |
关键字 |
powershell.engine.new_state |
PowerShell 引擎的新状态。 |
关键字 |
powershell.engine.previous_state |
PowerShell 引擎的先前状态。 |
关键字 |
powershell.engine.version |
用于执行命令的 PowerShell 引擎版本。 |
关键字 |
powershell.file.script_block_id |
已执行的脚本块的 ID。 |
关键字 |
powershell.file.script_block_text |
已执行的脚本块的文本。 |
text |
powershell.id |
Shell ID。 |
关键字 |
powershell.pipeline_id |
管道 ID。 |
关键字 |
powershell.process.executable_version |
托管进程可执行文件的引擎的版本。 |
关键字 |
powershell.provider.name |
提供程序名称。 |
关键字 |
powershell.provider.new_state |
PowerShell 提供程序的新状态。 |
关键字 |
powershell.runspace_id |
运行空间 ID。 |
关键字 |
powershell.sequence |
powershell 执行的序列号。 |
long |
powershell.total |
序列中的消息总数。 |
long |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.version |
事件定义的版本号。 |
long |
Powershell/Operational
编辑Windows powershell_operational 数据流提供来自 Windows Microsoft-Windows-PowerShell/Operational 事件日志的事件。
示例
一个 powershell_operational 的示例事件如下
{
"@timestamp": "2020-05-13T09:04:04.755Z",
"agent": {
"ephemeral_id": "2d7b986c-9bc7-4121-aebd-5ca44de66797",
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.8.2"
},
"data_stream": {
"dataset": "windows.powershell_operational",
"namespace": "ep",
"type": "logs"
},
"ecs": {
"version": "8.0.0"
},
"elastic_agent": {
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"snapshot": false,
"version": "8.8.2"
},
"event": {
"agent_id_status": "verified",
"category": [
"process"
],
"code": "4105",
"created": "2023-08-14T00:36:22.656Z",
"dataset": "windows.powershell_operational",
"ingested": "2023-08-14T00:36:23Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-PowerShell' Guid='{a0c1853b-5c40-4b15-8766-3cf1c58f985a}'/\u003e\u003cEventID\u003e4105\u003c/EventID\u003e\u003cVersion\u003e1\u003c/Version\u003e\u003cLevel\u003e5\u003c/Level\u003e\u003cTask\u003e102\u003c/Task\u003e\u003cOpcode\u003e15\u003c/Opcode\u003e\u003cKeywords\u003e0x0\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2020-05-13T09:04:04.755232500Z'/\u003e\u003cEventRecordID\u003e790\u003c/EventRecordID\u003e\u003cCorrelation ActivityID='{dd68516a-2930-0000-5962-68dd3029d601}'/\u003e\u003cExecution ProcessID='4204' ThreadID='1476'/\u003e\u003cChannel\u003eMicrosoft-Windows-PowerShell/Operational\u003c/Channel\u003e\u003cComputer\u003evagrant\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-21-1350058589-2282154016-2764056528-1000'/\u003e\u003c/System\u003e\u003cEventData\u003e\u003cData Name='ScriptBlockId'\u003ef4a378ab-b74f-41a7-a5ef-6dd55562fdb9\u003c/Data\u003e\u003cData Name='RunspaceId'\u003e9c031e5c-8d5a-4b91-a12e-b3624970b623\u003c/Data\u003e\u003c/EventData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-PowerShell",
"type": [
"start"
]
},
"host": {
"name": "vagrant"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "verbose"
},
"powershell": {
"file": {
"script_block_id": "f4a378ab-b74f-41a7-a5ef-6dd55562fdb9"
},
"runspace_id": "9c031e5c-8d5a-4b91-a12e-b3624970b623"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-21-1350058589-2282154016-2764056528-1000"
},
"winlog": {
"activity_id": "{dd68516a-2930-0000-5962-68dd3029d601}",
"channel": "Microsoft-Windows-PowerShell/Operational",
"computer_name": "vagrant",
"event_id": "4105",
"process": {
"pid": 4204,
"thread": {
"id": 1476
}
},
"provider_guid": "{a0c1853b-5c40-4b15-8766-3cf1c58f985a}",
"provider_name": "Microsoft-Windows-PowerShell",
"record_id": "790",
"user": {
"identifier": "S-1-5-21-1350058589-2282154016-2764056528-1000"
},
"version": 1
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
destination.user.id |
用户的唯一标识符。 |
关键字 |
destination.user.name |
用户的简称或登录名。 |
关键字 |
destination.user.name.text |
|
仅匹配文本 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
powershell.command.invocation_details |
包含已执行命令的详细信息的对象数组。 |
对象 |
powershell.command.invocation_details.name |
仅用于 ParameterBinding 详细类型。指示参数名称。 |
关键字 |
powershell.command.invocation_details.related_command |
与详细信息相关的命令。 |
关键字 |
powershell.command.invocation_details.type |
详细信息的类型。 |
关键字 |
powershell.command.invocation_details.value |
详细信息的值。其含义将取决于详细信息类型。 |
text |
powershell.command.name |
已执行命令的名称。 |
关键字 |
powershell.command.path |
已执行命令的路径。 |
关键字 |
powershell.command.type |
已执行命令的类型。 |
关键字 |
powershell.command.value |
调用的命令。 |
text |
powershell.connected_user.domain |
用户域。 |
关键字 |
powershell.connected_user.name |
用户名。 |
关键字 |
powershell.engine.new_state |
PowerShell 引擎的新状态。 |
关键字 |
powershell.engine.previous_state |
PowerShell 引擎的先前状态。 |
关键字 |
powershell.engine.version |
用于执行命令的 PowerShell 引擎版本。 |
关键字 |
powershell.file.script_block_hash |
要在规则中使用的脚本哈希。 |
关键字 |
powershell.file.script_block_id |
已执行的脚本块的 ID。 |
关键字 |
powershell.file.script_block_signature |
如果脚本中存在，则为脚本签名。 |
关键字 |
powershell.file.script_block_text |
已执行的脚本块的文本。 |
text |
powershell.id |
Shell ID。 |
关键字 |
powershell.pipeline_id |
管道 ID。 |
关键字 |
powershell.process.executable_version |
托管进程可执行文件的引擎的版本。 |
关键字 |
powershell.provider.name |
提供程序名称。 |
关键字 |
powershell.provider.new_state |
PowerShell 提供程序的新状态。 |
关键字 |
powershell.runspace_id |
运行空间 ID。 |
关键字 |
powershell.sequence |
powershell 执行的序列号。 |
long |
powershell.total |
序列中的消息总数。 |
long |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.text |
|
仅匹配文本 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.text |
|
仅匹配文本 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
source.user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
source.user.id |
用户的唯一标识符。 |
关键字 |
source.user.name |
用户的简称或登录名。 |
关键字 |
source.user.name.text |
|
仅匹配文本 |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.version |
事件定义的版本号。 |
long |
Sysmon/Operational
编辑Windows sysmon_operational 数据流提供来自 Windows Microsoft-Windows-Sysmon/Operational 事件日志的事件。
示例
一个 sysmon_operational 的示例事件如下
{
"@timestamp": "2019-07-18T03:34:01.261Z",
"agent": {
"ephemeral_id": "1ce461bb-6b53-430b-b223-9fdb09f0360c",
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"name": "docker-fleet-agent",
"type": "filebeat",
"version": "8.8.2"
},
"data_stream": {
"dataset": "windows.sysmon_operational",
"namespace": "ep",
"type": "logs"
},
"dns": {
"answers": [
{
"data": "www-msn-com.a-0003.a-msedge.net",
"type": "CNAME"
},
{
"data": "a-0003.a-msedge.net",
"type": "CNAME"
},
{
"data": "204.79.197.203",
"type": "A"
}
],
"question": {
"name": "www.msn.com",
"registered_domain": "msn.com",
"subdomain": "www",
"top_level_domain": "com"
},
"resolved_ip": [
"204.79.197.203"
]
},
"ecs": {
"version": "8.0.0"
},
"elastic_agent": {
"id": "f4424cce-fef8-4bb7-98cc-0511c45605f4",
"snapshot": false,
"version": "8.8.2"
},
"event": {
"action": "DNSEvent (DNS query)",
"agent_id_status": "verified",
"category": [
"network"
],
"code": "22",
"created": "2019-07-18T03:34:02.025Z",
"dataset": "windows.sysmon_operational",
"ingested": "2023-08-14T00:37:09Z",
"kind": "event",
"original": "\u003cEvent xmlns='http://schemas.microsoft.com/win/2004/08/events/event'\u003e\u003cSystem\u003e\u003cProvider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/\u003e\u003cEventID\u003e22\u003c/EventID\u003e\u003cVersion\u003e5\u003c/Version\u003e\u003cLevel\u003e4\u003c/Level\u003e\u003cTask\u003e22\u003c/Task\u003e\u003cOpcode\u003e0\u003c/Opcode\u003e\u003cKeywords\u003e0x8000000000000000\u003c/Keywords\u003e\u003cTimeCreated SystemTime='2019-07-18T03:34:02.025237700Z'/\u003e\u003cEventRecordID\u003e67\u003c/EventRecordID\u003e\u003cCorrelation/\u003e\u003cExecution ProcessID='2828' ThreadID='1684'/\u003e\u003cChannel\u003eMicrosoft-Windows-Sysmon/Operational\u003c/Channel\u003e\u003cComputer\u003evagrant-2016\u003c/Computer\u003e\u003cSecurity UserID='S-1-5-18'/\u003e\u003c/System\u003e\u003cEventData\u003e\u003cData Name='RuleName'\u003e\u003c/Data\u003e\u003cData Name='UtcTime'\u003e2019-07-18 03:34:01.261\u003c/Data\u003e\u003cData Name='ProcessGuid'\u003e{fa4a0de6-e8a9-5d2f-0000-001053699900}\u003c/Data\u003e\u003cData Name='ProcessId'\u003e2736\u003c/Data\u003e\u003cData Name='QueryName'\u003ewww.msn.com\u003c/Data\u003e\u003cData Name='QueryStatus'\u003e0\u003c/Data\u003e\u003cData Name='QueryResults'\u003etype: 5 www-msn-com.a-0003.a-msedge.net;type: 5 a-0003.a-msedge.net;::ffff:204.79.197.203;\u003c/Data\u003e\u003cData Name='Image'\u003eC:\\Program Files (x86)\\Internet Explorer\\iexplore.exe\u003c/Data\u003e\u003c/EventData\u003e\u003c/Event\u003e",
"provider": "Microsoft-Windows-Sysmon",
"type": [
"connection",
"protocol",
"info"
]
},
"host": {
"name": "vagrant-2016"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "information"
},
"network": {
"protocol": "dns"
},
"process": {
"entity_id": "{fa4a0de6-e8a9-5d2f-0000-001053699900}",
"executable": "C:\\Program Files (x86)\\Internet Explorer\\iexplore.exe",
"name": "iexplore.exe",
"pid": 2736
},
"related": {
"hosts": [
"www-msn-com.a-0003.a-msedge.net",
"a-0003.a-msedge.net",
"www.msn.com"
],
"ip": [
"204.79.197.203"
]
},
"sysmon": {
"dns": {
"status": "SUCCESS"
}
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"id": "S-1-5-18"
},
"winlog": {
"channel": "Microsoft-Windows-Sysmon/Operational",
"computer_name": "vagrant-2016",
"event_id": "22",
"opcode": "Info",
"process": {
"pid": 2828,
"thread": {
"id": 1684
}
},
"provider_guid": "{5770385f-c22a-43e0-bf4c-06f5698ffbd9}",
"provider_name": "Microsoft-Windows-Sysmon",
"record_id": "67",
"user": {
"identifier": "S-1-5-18"
},
"version": 5
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
destination.domain |
目标系统的域名。此值可以是主机名、完全限定的域名或其他主机命名格式。该值可能来自原始事件，也可能是从扩充中添加的。 |
关键字 |
destination.ip |
目标的 IP 地址（IPv4 或 IPv6）。 |
ip |
destination.port |
目标的端口。 |
long |
dns.answers |
一个数组，其中包含服务器返回的每个应答部分的对象的数组。这些对象中应存在的主要键由 ECS 定义。具有更多信息的记录可能包含比 ECS 定义的更多的键。并非所有 DNS 数据源都提供有关 DNS 应答的所有详细信息。至少，应答对象必须包含 |
对象 |
dns.answers.class |
此资源记录中包含的 DNS 数据的类。 |
关键字 |
dns.answers.data |
描述资源的数据。此数据的含义取决于资源记录的类型和类。 |
关键字 |
dns.answers.name |
此资源记录所属的域名。如果要解析 CNAME 链，则每个应答的 |
关键字 |
dns.answers.ttl |
此资源记录在被丢弃之前可以缓存的时间间隔（以秒为单位）。零值表示不应缓存数据。 |
long |
dns.answers.type |
此资源记录中包含的数据类型。 |
关键字 |
dns.header_flags |
2 个字母的 DNS 标头标志数组。 |
关键字 |
dns.id |
生成查询的程序分配的 DNS 数据包标识符。该标识符将复制到响应中。 |
关键字 |
dns.op_code |
指定消息中查询类型的 DNS 操作码。此值由查询的发起者设置，并复制到响应中。 |
关键字 |
dns.question.class |
正在查询的记录的类。 |
关键字 |
dns.question.name |
正在查询的名称。如果 name 字段包含不可打印的字符（低于 32 或高于 126），则应将这些字符表示为转义的十进制整数 (\DDD)。应转义反斜杠和引号。制表符、回车符和换行符应分别转换为 \t、\r 和 \n。 |
关键字 |
dns.question.registered_domain |
最高级别的已注册域名，不包含子域名。例如，“foo.example.com” 的已注册域名是 “example.com”。这个值可以通过公共后缀列表（http://publicsuffix.org）之类的列表精确确定。尝试简单地取最后两个标签来近似这个值对于像 “co.uk” 这样的 TLD 来说效果不佳。 |
关键字 |
dns.question.subdomain |
子域名是 registered_domain 下的所有标签。如果域名有多个级别的子域名，例如 “sub2.sub1.example.com”，则 subdomain 字段应包含 “sub2.sub1”，不带尾随句点。 |
关键字 |
dns.question.top_level_domain |
有效顶级域名（eTLD），也称为域名后缀，是域名名的最后一部分。例如，example.com 的顶级域名是 “com”。这个值可以通过公共后缀列表（http://publicsuffix.org）之类的列表精确确定。尝试简单地取最后一个标签来近似这个值对于像 “co.uk” 这样的有效 TLD 来说效果不佳。 |
关键字 |
dns.question.type |
正在查询的记录类型。 |
关键字 |
dns.resolved_ip |
包含在 |
ip |
dns.response_code |
DNS 响应代码。 |
关键字 |
dns.type |
捕获的 DNS 事件的类型，查询或应答。如果您的 DNS 事件来源仅提供 DNS 查询，您应该只创建类型为 |
关键字 |
ecs.version |
此事件符合的 ECS 版本。 |
关键字 |
error.code |
描述错误的错误代码。 |
关键字 |
error.message |
错误消息。 |
仅匹配文本 |
event.action |
事件捕获的操作。这描述了事件中的信息。它比 |
关键字 |
event.category |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第二级。 |
关键字 |
event.code |
此事件的标识代码（如果存在）。某些事件源使用事件代码来明确识别消息，而不管消息语言或随时间调整的措辞如何。一个例子是 Windows 事件 ID。 |
关键字 |
event.created |
|
日期 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.ingested |
事件到达中心数据存储时的时间戳。这与 |
日期 |
event.kind |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最高级别。 |
关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
event.outcome |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的最低级别。 |
关键字 |
event.provider |
事件的来源。诸如 Syslog 或 Windows 事件日志之类的事件传输通常会提及事件的来源。它可以是生成事件的软件的名称（例如，Sysmon、httpd），也可以是操作系统子系统（内核、Microsoft-Windows-Security-Auditing）。 |
关键字 |
event.sequence |
事件的序列号。序列号是一些事件源发布的值，用于使事件的确切排序明确，而与时间戳的精度无关。 |
long |
event.type |
这是四个 ECS 分类字段之一，指示 ECS 类别层次结构的第三级。 |
关键字 |
file.code_signature.exists |
捕获是否存在签名的布尔值。 |
boolean |
file.code_signature.status |
有关证书状态的其他信息。这对于记录证书有效性或信任状态的加密错误很有用。如果未检查证书的有效性或信任，则保持未填充。 |
关键字 |
file.code_signature.subject_name |
代码签名者的主题名称 |
关键字 |
file.code_signature.trusted |
存储证书链的信任状态。验证证书链的信任可能很复杂，此字段应仅由主动检查状态的工具填充。 |
boolean |
file.code_signature.valid |
捕获数字签名是否针对二进制内容进行验证的布尔值。如果未检查证书，则保持未填充。 |
boolean |
file.directory |
文件所在的目录。应包括驱动器盘符（如果适用）。 |
关键字 |
file.extension |
文件扩展名，不包括前导点。请注意，当文件名有多个扩展名 (example.tar.gz) 时，只应捕获最后一个扩展名（“gz”，而不是“tar.gz”）。 |
关键字 |
file.hash.md5 |
MD5 哈希值。 |
关键字 |
file.hash.sha1 |
SHA1 哈希值。 |
关键字 |
file.hash.sha256 |
SHA256 哈希值。 |
关键字 |
file.hash.sha512 |
SHA512 哈希值。 |
关键字 |
file.name |
文件名，包括扩展名，不包含目录。 |
关键字 |
file.path |
文件的完整路径，包括文件名。应包括驱动器盘符（如果适用）。 |
关键字 |
file.path.text |
|
仅匹配文本 |
file.pe.architecture |
文件的 CPU 架构目标。 |
关键字 |
file.pe.company |
文件在编译时提供的内部公司名称。 |
关键字 |
file.pe.description |
文件在编译时提供的内部描述。 |
关键字 |
file.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
file.pe.imphash |
PE 文件中导入的哈希值。imphash（或导入哈希）可用于为二进制文件生成指纹，即使在重新编译或其他代码级转换发生后，这些转换会更改更传统的哈希值。有关详细信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。 |
关键字 |
file.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
file.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
group.domain |
组所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
group.id |
系统/平台上组的唯一标识符。 |
关键字 |
group.name |
组的名称。 |
关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
log.level |
日志事件的原始日志级别。如果事件的来源提供日志级别或文本严重性，则这是放入 |
关键字 |
message |
对于日志事件，message 字段包含日志消息，经过优化可在日志查看器中查看。对于没有原始消息字段的结构化日志，可以连接其他字段以形成事件的人工可读摘要。如果存在多条消息，则可以将它们合并为一条消息。 |
仅匹配文本 |
network.community_id |
源和目标 IP 以及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的标准，用于识别流。有关详细信息，请访问 https://github.com/corelight/community-id-spec。 |
关键字 |
network.direction |
网络流量的方向。从基于主机的监控上下文中映射事件时，请从主机的角度使用 “ingress” 或 “egress” 值填充此字段。从基于网络或边界的监控上下文中映射事件时，请从网络边界的角度使用 “inbound”、“outbound”、“internal” 或 “external” 值填充此字段。请注意，“internal” 不会跨越边界，旨在描述边界内两台主机之间的通信。还要注意，“external” 旨在描述边界外两台主机之间的流量。例如，这对于 ISP 或 VPN 服务提供商可能很有用。 |
关键字 |
network.protocol |
在 OSI 模型中，这将是应用层协议。例如， |
关键字 |
network.transport |
与 network.iana_number 相同，但改为使用传输层的关键字名称（udp、tcp、ipv6-icmp 等）。为了查询，字段值必须标准化为小写。 |
关键字 |
network.type |
在 OSI 模型中，这将是网络层。ipv4、ipv6、ipsec、pim 等。为了查询，字段值必须标准化为小写。 |
关键字 |
process.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.command_line.text |
|
仅匹配文本 |
process.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.executable.caseless |
|
关键字 |
process.executable.text |
|
仅匹配文本 |
process.hash.md5 |
MD5 哈希值。 |
关键字 |
process.hash.sha1 |
SHA1 哈希值。 |
关键字 |
process.hash.sha256 |
SHA256 哈希值。 |
关键字 |
process.hash.sha512 |
SHA512 哈希值。 |
关键字 |
process.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.name.caseless |
|
关键字 |
process.name.text |
|
仅匹配文本 |
process.parent.args |
进程参数数组，从可执行文件的绝对路径开始。可能会过滤以保护敏感信息。 |
关键字 |
process.parent.args_count |
process.args 数组的长度。此字段对于查询或对启动进程时提供的参数数量执行存储桶分析非常有用。更多参数可能表示可疑活动。 |
long |
process.parent.command_line |
启动进程的完整命令行，包括可执行文件的绝对路径和所有参数。可能会过滤某些参数以保护敏感信息。 |
wildcard |
process.parent.command_line.text |
|
仅匹配文本 |
process.parent.entity_id |
进程的唯一标识符。此标识符的实现由数据源指定，但此处可以使用的一些示例是进程生成的 UUID、Sysmon 进程 GUID 或进程某些唯一标识组件的哈希值。构建全局唯一标识符是一种常用做法，可缓解 PID 重用，并随着时间的推移跨多个受监控主机识别特定进程。 |
关键字 |
process.parent.executable |
进程可执行文件的绝对路径。 |
关键字 |
process.parent.executable.text |
|
仅匹配文本 |
process.parent.name |
进程名称。有时称为程序名称或类似名称。 |
关键字 |
process.parent.name.text |
|
仅匹配文本 |
process.parent.pid |
进程 ID。 |
long |
process.pe.architecture |
文件的 CPU 架构目标。 |
关键字 |
process.pe.company |
文件在编译时提供的内部公司名称。 |
关键字 |
process.pe.description |
文件在编译时提供的内部描述。 |
关键字 |
process.pe.file_version |
在编译时提供的文件的内部版本。 |
关键字 |
process.pe.imphash |
PE 文件中导入的哈希值。imphash（或导入哈希）可用于为二进制文件生成指纹，即使在重新编译或其他代码级转换发生后，这些转换会更改更传统的哈希值。有关详细信息，请访问 https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html。 |
关键字 |
process.pe.original_file_name |
在编译时提供的文件的内部名称。 |
关键字 |
process.pe.product |
在编译时提供的文件的内部产品名称。 |
关键字 |
process.pid |
进程 ID。 |
long |
process.title |
进程标题。proctitle，有时与进程名称相同。也可能不同：例如，浏览器将其标题设置为当前打开的网页。 |
关键字 |
process.title.text |
|
仅匹配文本 |
process.working_directory |
进程的工作目录。 |
关键字 |
process.working_directory.text |
|
仅匹配文本 |
registry.data.strings |
写入字符串类型时的内容。在将字符串数据写入注册表时填充为数组。对于单字符串注册表类型（REG_SZ、REG_EXPAND_SZ），这应该是一个包含一个字符串的数组。对于带有 REG_MULTI_SZ 的字符串序列，此数组的长度将是可变的。对于数字数据，例如 REG_DWORD 和 REG_QWORD，这应该使用十进制表示形式填充（例如， |
wildcard |
registry.data.type |
用于编码内容的标准注册表类型 |
关键字 |
registry.hive |
注册表单元的缩写名称。 |
关键字 |
registry.key |
注册表单元相关键的路径。 |
关键字 |
registry.path |
完整路径，包括注册表单元、键和值 |
关键字 |
registry.value |
写入的值的名称。 |
关键字 |
related.hash |
您的事件中看到的所有哈希值。填充此字段，然后使用它搜索哈希值可以帮助您在不确定哈希算法是什么（因此要搜索哪个键名）的情况下。 |
关键字 |
related.hosts |
您的事件中看到的所有主机名或其他主机标识符。示例标识符包括 FQDN、域名、工作站名称或别名。 |
关键字 |
related.ip |
您的事件中看到的所有 IP。 |
ip |
related.user |
事件中看到的所有用户名或其他用户标识符。 |
关键字 |
rule.name |
生成事件的规则或签名的名称。 |
关键字 |
service.name |
从中收集数据的服务的名称。服务的名称通常是用户给定的。这允许在多个主机上运行的分布式服务基于名称关联相关实例。在 Elasticsearch 的情况下， |
关键字 |
service.type |
从中收集数据的服务类型。该类型可用于对来自一种服务类型的日志和指标进行分组和关联。示例：如果从 Elasticsearch 收集日志或指标，则 |
关键字 |
source.domain |
源系统的域名。此值可以是主机名、完全限定的域名或其他主机命名格式。该值可能来自原始事件或从增强中添加。 |
关键字 |
source.ip |
源的 IP 地址（IPv4 或 IPv6）。 |
ip |
source.port |
源的端口。 |
long |
sysmon.dns.status |
为 DNS 查询返回的 Windows 状态代码。 |
关键字 |
sysmon.file.archived |
指示删除的文件是否已存档。 |
boolean |
sysmon.file.is_executable |
指示删除的文件是否为可执行文件。 |
boolean |
tags |
用于标记每个事件的关键字列表。 |
关键字 |
user.domain |
用户所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.id |
用户的唯一标识符。 |
关键字 |
user.name |
用户的简称或登录名。 |
关键字 |
user.name.text |
|
仅匹配文本 |
user.target.group.domain |
组所属的目录的名称。例如，LDAP 或 Active Directory 域名。 |
关键字 |
user.target.group.id |
系统/平台上组的唯一标识符。 |
关键字 |
user.target.group.name |
组的名称。 |
关键字 |
user.target.name |
用户的简称或登录名。 |
关键字 |
user.target.name.text |
|
仅匹配文本 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.CallTrace |
关键字 |
|
winlog.event_data.ClientInfo |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.Configuration |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Details |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.EventNamespace |
关键字 |
|
winlog.event_data.EventType |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.GrantedAccess |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.Name |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewThreadId |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.Operation |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.Query |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.Session |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.StartAddress |
关键字 |
|
winlog.event_data.StartFunction |
关键字 |
|
winlog.event_data.StartModule |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetImage |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetProcessGUID |
关键字 |
|
winlog.event_data.TargetProcessId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.Type |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.version |
事件定义的版本号。 |
long |
Windows Defender/Operational
编辑Windows windows_defender 数据流提供来自 Windows Microsoft-Windows-Windows Defender/Operational 事件日志的事件。
示例
windows_defender 的一个示例事件如下所示
{
"@timestamp": "2024-09-25T19:30:20.339Z",
"agent": {
"ephemeral_id": "e9af23ec-c024-4b56-a624-39e242319c16",
"id": "4a0bc7fa-6bfd-41c2-9cb6-17a1560abba7",
"name": "elastic-agent-41982",
"type": "filebeat",
"version": "8.15.2"
},
"data_stream": {
"dataset": "windows.windows_defender",
"namespace": "97455",
"type": "logs"
},
"ecs": {
"version": "8.11.0"
},
"elastic_agent": {
"id": "4a0bc7fa-6bfd-41c2-9cb6-17a1560abba7",
"snapshot": false,
"version": "8.15.2"
},
"event": {
"action": "malware-quarantined",
"agent_id_status": "verified",
"category": [
"malware"
],
"code": "1117",
"created": "2024-11-04T23:00:42.213Z",
"dataset": "windows.windows_defender",
"ingested": "2024-11-04T23:00:45Z",
"kind": "event",
"original": "<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System><Provider Name='Microsoft-Windows-Windows Defender' Guid='{11cd958a-c507-4ef3-b3f2-5fd9dfbd2c78}'/><EventID>1117</EventID><Version>0</Version><Level>4</Level><Task>0</Task><Opcode>0</Opcode><Keywords>0x8000000000000000</Keywords><TimeCreated SystemTime='2024-09-25T19:30:20.3397185Z'/><EventRecordID>22399</EventRecordID><Correlation ActivityID='{e8e94442-2856-4bab-a775-454654f7ec59}'/><Execution ProcessID='3168' ThreadID='13904'/><Channel>Microsoft-Windows-Windows Defender/Operational</Channel><Computer>el33t-b00k-1.org.local</Computer><Security UserID='S-1-5-18'/></System><EventData><Data Name='Product Name'>Microsoft Defender Antivirus</Data><Data Name='Product Version'>4.18.24080.9</Data><Data Name='Detection ID'>{4E4D1D41-19CC-4EE2-BDB0-950A07B81378}</Data><Data Name='Detection Time'>2024-09-25T19:29:38.198Z</Data><Data Name='Unused'></Data><Data Name='Unused2'></Data><Data Name='Threat ID'>2147680291</Data><Data Name='Threat Name'>Trojan:Win32/Detplock</Data><Data Name='Severity ID'>5</Data><Data Name='Severity Name'>Severe</Data><Data Name='Category ID'>8</Data><Data Name='Category Name'>Trojan</Data><Data Name='FWLink'>https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Detplock&threatid=2147680291&enterprise=1</Data><Data Name='Status Code'>3</Data><Data Name='Status Description'></Data><Data Name='State'>2</Data><Data Name='Source ID'>3</Data><Data Name='Source Name'>Real-Time Protection</Data><Data Name='Process Name'>C:\\Program Files\\Notepad++\\notepad++.exe</Data><Data Name='Detection User'>ORG\\Topsy</Data><Data Name='Unused3'></Data><Data Name='Path'>file:_C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe</Data><Data Name='Origin ID'>1</Data><Data Name='Origin Name'>Local machine</Data><Data Name='Execution ID'>1</Data><Data Name='Execution Name'>Suspended</Data><Data Name='Type ID'>8</Data><Data Name='Type Name'>FastPath</Data><Data Name='Pre Execution Status'>0</Data><Data Name='Action ID'>2</Data><Data Name='Action Name'>Quarantine</Data><Data Name='Unused4'></Data><Data Name='Error Code'>0x00000000</Data><Data Name='Error Description'>The operation completed successfully. </Data><Data Name='Unused5'></Data><Data Name='Post Clean Status'>0</Data><Data Name='Additional Actions ID'>0</Data><Data Name='Additional Actions String'>No additional actions required</Data><Data Name='Remediation User'>NT AUTHORITY\\SYSTEM</Data><Data Name='Unused6'></Data><Data Name='Security intelligence Version'>AV: 1.419.163.0, AS: 1.419.163.0, NIS: 1.419.163.0</Data><Data Name='Engine Version'>AM: 1.1.24080.9, NIS: 1.1.24080.9</Data></EventData><RenderingInfo Culture='en-US'><Message>Microsoft Defender Antivirus has taken action to protect this machine from malware or other potentially unwanted software. For more information please see the following: https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Detplock&threatid=2147680291&enterprise=1 	Name: Trojan:Win32/Detplock 	ID: 2147680291 	Severity: Severe 	Category: Trojan 	Path: file:_C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe 	Detection Origin: Local machine 	Detection Type: FastPath 	Detection Source: Real-Time Protection 	User: NT AUTHORITY\\SYSTEM 	Process Name: C:\\Program Files\\Notepad++\\notepad++.exe 	Action: Quarantine 	Action Status: No additional actions required 	Error Code: 0x00000000 	Error description: The operation completed successfully. 	Security intelligence Version: AV: 1.419.163.0, AS: 1.419.163.0, NIS: 1.419.163.0 	Engine Version: AM: 1.1.24080.9, NIS: 1.1.24080.9</Message><Level>Information</Level><Opcode>Info</Opcode><Provider>Microsoft-Windows-Windows Defender</Provider></RenderingInfo></Event>",
"outcome": "success",
"provider": "Microsoft-Windows-Windows Defender",
"reference": "https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Detplock&threatid=2147680291&enterprise=1",
"type": [
"info"
]
},
"file": {
"extension": "exe",
"name": "eat_dem_yams.exe",
"path": "C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe"
},
"host": {
"name": "el33t-b00k-1.org.local"
},
"input": {
"type": "httpjson"
},
"log": {
"level": "information"
},
"message": "Microsoft Defender Antivirus has taken action to protect this machine from malware or other potentially unwanted software.\n For more information please see the following:\nhttps://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Detplock&threatid=2147680291&enterprise=1\n \tName: Trojan:Win32/Detplock\n \tID: 2147680291\n \tSeverity: Severe\n \tCategory: Trojan\n \tPath: file:_C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe\n \tDetection Origin: Local machine\n \tDetection Type: FastPath\n \tDetection Source: Real-Time Protection\n \tUser: NT AUTHORITY\\SYSTEM\n \tProcess Name: C:\\Program Files\\Notepad++\\notepad++.exe\n \tAction: Quarantine\n \tAction Status: No additional actions required\n \tError Code: 0x00000000\n \tError description: The operation completed successfully. \n \tSecurity intelligence Version: AV: 1.419.163.0, AS: 1.419.163.0, NIS: 1.419.163.0\n \tEngine Version: AM: 1.1.24080.9, NIS: 1.1.24080.9",
"process": {
"executable": "C:\\Program Files\\Notepad++\\notepad++.exe",
"name": "notepad++.exe"
},
"tags": [
"forwarded",
"preserve_original_event"
],
"user": {
"domain": "ORG",
"name": "Topsy"
},
"windows_defender": {
"evidence_paths": [
"C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe"
]
},
"winlog": {
"activity_id": "{e8e94442-2856-4bab-a775-454654f7ec59}",
"channel": "Microsoft-Windows-Windows Defender/Operational",
"computer_name": "el33t-b00k-1.org.local",
"event_data": {
"Action_ID": "2",
"Action_Name": "Quarantine",
"Additional_Actions_ID": "0",
"Additional_Actions_String": "No additional actions required",
"Category_ID": "8",
"Category_Name": "Trojan",
"Detection_ID": "{4E4D1D41-19CC-4EE2-BDB0-950A07B81378}",
"Detection_Time": "2024-09-25T19:29:38.198Z",
"Detection_User": "ORG\\Topsy",
"Engine_Version": "AM: 1.1.24080.9, NIS: 1.1.24080.9",
"Error_Code": "0x00000000",
"Error_Description": "The operation completed successfully. ",
"Execution_ID": "1",
"Execution_Name": "Suspended",
"FWLink": "https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Detplock&threatid=2147680291&enterprise=1",
"Origin_ID": "1",
"Origin_Name": "Local machine",
"Path": "file:_C:\\Users\\Topsy\\Desktop\\eat_dem_yams.exe",
"Post_Clean_Status": "0",
"Pre_Execution_Status": "0",
"Product_Name": "Microsoft Defender Antivirus",
"Product_Version": "4.18.24080.9",
"Remediation_User": "NT AUTHORITY\\SYSTEM",
"Security_intelligence_Version": "AV: 1.419.163.0, AS: 1.419.163.0, NIS: 1.419.163.0",
"Severity_ID": "5",
"Severity_Name": "Severe",
"Source_ID": "3",
"Source_Name": "Real-Time Protection",
"State": "2",
"Status_Code": "3",
"Threat_ID": "2147680291",
"Threat_Name": "Trojan:Win32/Detplock",
"Type_ID": "8",
"Type_Name": "FastPath"
},
"event_id": "1117",
"level": "information",
"opcode": "Info",
"process": {
"pid": 3168,
"thread": {
"id": 13904
}
},
"provider_guid": "{11cd958a-c507-4ef3-b3f2-5fd9dfbd2c78}",
"provider_name": "Microsoft-Windows-Windows Defender",
"record_id": "22399",
"task": "None",
"time_created": "2024-09-25T19:30:20.339Z",
"user": {
"identifier": "S-1-5-18"
}
}
}
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
dataset.name |
数据集名称。 |
常量关键字 |
dataset.namespace |
数据集命名空间。 |
常量关键字 |
dataset.type |
数据集类型。 |
常量关键字 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
input.type |
Filebeat 输入类型。 |
关键字 |
windows_defender.evidence_paths |
事件中找到的一个或多个路径。 |
关键字 |
winlog.activity_id |
一个全局唯一标识符，用于标识当前活动。使用此标识符发布的事件是同一活动的一部分。 |
关键字 |
winlog.api |
用于读取记录的事件日志 API 类型。可能的值为 Windows 事件日志 API 的“wineventlog”或事件日志记录 API 的“eventlogging”。事件日志记录 API 专为 Windows Server 2003 或 Windows 2000 操作系统设计。在 Windows Vista 中，事件日志记录基础结构经过重新设计。在 Windows Vista 或更高版本的操作系统上，使用 Windows 事件日志 API。Winlogbeat 会自动检测使用哪个 API 来读取事件日志。 |
关键字 |
winlog.channel |
从中读取此记录的通道的名称。此值是配置中 |
关键字 |
winlog.computer_name |
生成记录的计算机的名称。使用 Windows 事件转发时，此名称可能与 |
关键字 |
winlog.event_data |
事件特定数据。此字段与 |
对象 |
winlog.event_data.AS_security_intelligence_creation_time |
日期 |
|
winlog.event_data.AS_security_intelligence_version |
关键字 |
|
winlog.event_data.AV_security_intelligence_creation_time |
日期 |
|
winlog.event_data.AV_security_intelligence_version |
关键字 |
|
winlog.event_data.Action_ID |
关键字 |
|
winlog.event_data.Action_Name |
关键字 |
|
winlog.event_data.Additional_Actions_ID |
关键字 |
|
winlog.event_data.Additional_Actions_String |
关键字 |
|
winlog.event_data.AuthenticationPackageName |
关键字 |
|
winlog.event_data.BM_state |
关键字 |
|
winlog.event_data.Binary |
关键字 |
|
winlog.event_data.BitlockerUserInputTime |
关键字 |
|
winlog.event_data.BootMode |
关键字 |
|
winlog.event_data.BootType |
关键字 |
|
winlog.event_data.BuildVersion |
关键字 |
|
winlog.event_data.Category_ID |
关键字 |
|
winlog.event_data.Category_Name |
关键字 |
|
winlog.event_data.Company |
关键字 |
|
winlog.event_data.CorruptionActionState |
关键字 |
|
winlog.event_data.CreationUtcTime |
关键字 |
|
winlog.event_data.Current_Engine_Version |
关键字 |
|
winlog.event_data.Current_security_intelligence_Version |
关键字 |
|
winlog.event_data.Description |
关键字 |
|
winlog.event_data.Detail |
关键字 |
|
winlog.event_data.Detection_ID |
关键字 |
|
winlog.event_data.Detection_Time |
日期 |
|
winlog.event_data.Detection_User |
关键字 |
|
winlog.event_data.DeviceName |
关键字 |
|
winlog.event_data.DeviceNameLength |
关键字 |
|
winlog.event_data.DeviceTime |
关键字 |
|
winlog.event_data.DeviceVersionMajor |
关键字 |
|
winlog.event_data.DeviceVersionMinor |
关键字 |
|
winlog.event_data.Domain |
关键字 |
|
winlog.event_data.DriveName |
关键字 |
|
winlog.event_data.DriverName |
关键字 |
|
winlog.event_data.DriverNameLength |
关键字 |
|
winlog.event_data.DwordVal |
关键字 |
|
winlog.event_data.Engine_Version |
关键字 |
|
winlog.event_data.Engine_up-to-date |
关键字 |
|
winlog.event_data.Engine_version |
关键字 |
|
winlog.event_data.EntryCount |
关键字 |
|
winlog.event_data.Error_Code |
关键字 |
|
winlog.event_data.Error_Description |
关键字 |
|
winlog.event_data.Execution_ID |
关键字 |
|
winlog.event_data.Execution_Name |
关键字 |
|
winlog.event_data.ExtraInfo |
关键字 |
|
winlog.event_data.FWLink |
关键字 |
|
winlog.event_data.FailureName |
关键字 |
|
winlog.event_data.FailureNameLength |
关键字 |
|
winlog.event_data.FileVersion |
关键字 |
|
winlog.event_data.FinalStatus |
关键字 |
|
winlog.event_data.Group |
关键字 |
|
winlog.event_data.IOAV_state |
关键字 |
|
winlog.event_data.IdleImplementation |
关键字 |
|
winlog.event_data.IdleStateCount |
关键字 |
|
winlog.event_data.ImpersonationLevel |
关键字 |
|
winlog.event_data.IntegrityLevel |
关键字 |
|
winlog.event_data.IpAddress |
关键字 |
|
winlog.event_data.IpPort |
关键字 |
|
winlog.event_data.KeyLength |
关键字 |
|
winlog.event_data.LastBootGood |
关键字 |
|
winlog.event_data.LastShutdownGood |
关键字 |
|
winlog.event_data.Last_AS_security_intelligence_age |
关键字 |
|
winlog.event_data.Last_AV_security_intelligence_age |
关键字 |
|
winlog.event_data.Last_full_scan_age |
关键字 |
|
winlog.event_data.Last_full_scan_end_time |
日期 |
|
winlog.event_data.Last_full_scan_source |
关键字 |
|
winlog.event_data.Last_full_scan_start_time |
日期 |
|
winlog.event_data.Last_quick_scan_age |
关键字 |
|
winlog.event_data.Last_quick_scan_end_time |
日期 |
|
winlog.event_data.Last_quick_scan_source |
关键字 |
|
winlog.event_data.Last_quick_scan_start_time |
日期 |
|
winlog.event_data.Latest_engine_version |
关键字 |
|
winlog.event_data.Latest_platform_version |
关键字 |
|
winlog.event_data.LmPackageName |
关键字 |
|
winlog.event_data.LogonGuid |
关键字 |
|
winlog.event_data.LogonId |
关键字 |
|
winlog.event_data.LogonProcessName |
关键字 |
|
winlog.event_data.LogonType |
关键字 |
|
winlog.event_data.MajorVersion |
关键字 |
|
winlog.event_data.MaximumPerformancePercent |
关键字 |
|
winlog.event_data.MemberName |
关键字 |
|
winlog.event_data.MemberSid |
关键字 |
|
winlog.event_data.MinimumPerformancePercent |
关键字 |
|
winlog.event_data.MinimumThrottlePercent |
关键字 |
|
winlog.event_data.MinorVersion |
关键字 |
|
winlog.event_data.NRI_engine_version |
关键字 |
|
winlog.event_data.NRI_security_intelligence_version |
关键字 |
|
winlog.event_data.NewProcessId |
关键字 |
|
winlog.event_data.NewProcessName |
关键字 |
|
winlog.event_data.NewSchemeGuid |
关键字 |
|
winlog.event_data.NewTime |
关键字 |
|
winlog.event_data.NominalFrequency |
关键字 |
|
winlog.event_data.Number |
关键字 |
|
winlog.event_data.OA_state |
关键字 |
|
winlog.event_data.OldSchemeGuid |
关键字 |
|
winlog.event_data.OldTime |
关键字 |
|
winlog.event_data.Origin_ID |
关键字 |
|
winlog.event_data.Origin_Name |
关键字 |
|
winlog.event_data.OriginalFileName |
关键字 |
|
winlog.event_data.Path |
关键字 |
|
winlog.event_data.PerformanceImplementation |
关键字 |
|
winlog.event_data.Platform_up-to-date |
关键字 |
|
winlog.event_data.Platform_version |
关键字 |
|
winlog.event_data.Post_Clean_Status |
关键字 |
|
winlog.event_data.Pre_Execution_Status |
关键字 |
|
winlog.event_data.PreviousCreationUtcTime |
关键字 |
|
winlog.event_data.PreviousTime |
关键字 |
|
winlog.event_data.Previous_Engine_Version |
关键字 |
|
winlog.event_data.Previous_security_intelligence_Version |
关键字 |
|
winlog.event_data.PrivilegeList |
关键字 |
|
winlog.event_data.ProcessId |
关键字 |
|
winlog.event_data.ProcessName |
关键字 |
|
winlog.event_data.ProcessPath |
关键字 |
|
winlog.event_data.ProcessPid |
关键字 |
|
winlog.event_data.Product |
关键字 |
|
winlog.event_data.Product_Name |
关键字 |
|
winlog.event_data.Product_Version |
关键字 |
|
winlog.event_data.Product_status |
关键字 |
|
winlog.event_data.PuaCount |
关键字 |
|
winlog.event_data.PuaPolicyId |
关键字 |
|
winlog.event_data.QfeVersion |
关键字 |
|
winlog.event_data.RTP_state |
关键字 |
|
winlog.event_data.Reason |
关键字 |
|
winlog.event_data.Remediation_User |
关键字 |
|
winlog.event_data.SID |
关键字 |
|
winlog.event_data.Scan_ID |
关键字 |
|
winlog.event_data.Scan_Parameters |
关键字 |
|
winlog.event_data.Scan_Parameters_Index |
关键字 |
|
winlog.event_data.Scan_Type |
关键字 |
|
winlog.event_data.Scan_Type_Index |
关键字 |
|
winlog.event_data.SchemaVersion |
关键字 |
|
winlog.event_data.ScriptBlockText |
关键字 |
|
winlog.event_data.Security_intelligence_Type |
关键字 |
|
winlog.event_data.Security_intelligence_Type_Index |
关键字 |
|
winlog.event_data.Security_intelligence_Version |
关键字 |
|
winlog.event_data.Security_intelligence_version |
关键字 |
|
winlog.event_data.ServiceName |
关键字 |
|
winlog.event_data.ServiceVersion |
关键字 |
|
winlog.event_data.Severity_ID |
关键字 |
|
winlog.event_data.Severity_Name |
关键字 |
|
winlog.event_data.ShutdownActionType |
关键字 |
|
winlog.event_data.ShutdownEventCode |
关键字 |
|
winlog.event_data.ShutdownReason |
关键字 |
|
winlog.event_data.Signature |
关键字 |
|
winlog.event_data.SignatureStatus |
关键字 |
|
winlog.event_data.Signed |
关键字 |
|
winlog.event_data.Source_ID |
关键字 |
|
winlog.event_data.Source_Name |
关键字 |
|
winlog.event_data.StartTime |
关键字 |
|
winlog.event_data.State |
关键字 |
|
winlog.event_data.Status |
关键字 |
|
winlog.event_data.Status_Code |
关键字 |
|
winlog.event_data.StopTime |
关键字 |
|
winlog.event_data.SubjectDomainName |
关键字 |
|
winlog.event_data.SubjectLogonId |
关键字 |
|
winlog.event_data.SubjectUserName |
关键字 |
|
winlog.event_data.SubjectUserSid |
关键字 |
|
winlog.event_data.TSId |
关键字 |
|
winlog.event_data.TargetDomainName |
关键字 |
|
winlog.event_data.TargetInfo |
关键字 |
|
winlog.event_data.TargetLogonGuid |
关键字 |
|
winlog.event_data.TargetLogonId |
关键字 |
|
winlog.event_data.TargetServerName |
关键字 |
|
winlog.event_data.TargetUserName |
关键字 |
|
winlog.event_data.TargetUserSid |
关键字 |
|
winlog.event_data.TerminalSessionId |
关键字 |
|
winlog.event_data.Threat_ID |
关键字 |
|
winlog.event_data.Threat_Name |
关键字 |
|
winlog.event_data.TokenElevationType |
关键字 |
|
winlog.event_data.TransmittedServices |
关键字 |
|
winlog.event_data.Type_ID |
关键字 |
|
winlog.event_data.Type_Name |
关键字 |
|
winlog.event_data.Update_Type |
关键字 |
|
winlog.event_data.Update_Type_Index |
关键字 |
|
winlog.event_data.User |
关键字 |
|
winlog.event_data.UserSid |
关键字 |
|
winlog.event_data.Version |
关键字 |
|
winlog.event_data.Workstation |
关键字 |
|
winlog.event_data.param1 |
关键字 |
|
winlog.event_data.param2 |
关键字 |
|
winlog.event_data.param3 |
关键字 |
|
winlog.event_data.param4 |
关键字 |
|
winlog.event_data.param5 |
关键字 |
|
winlog.event_data.param6 |
关键字 |
|
winlog.event_data.param7 |
关键字 |
|
winlog.event_data.param8 |
关键字 |
|
winlog.event_id |
事件标识符。该值特定于事件的来源。 |
关键字 |
winlog.keywords |
关键字用于对事件进行分类。 |
关键字 |
winlog.level |
分配给事件的级别，例如信息、警告或严重。 |
关键字 |
winlog.opcode |
事件中定义的操作码。任务和操作码通常用于标识应用程序中记录事件的位置。 |
关键字 |
winlog.process.pid |
客户端服务器运行时进程的 process_id。 |
long |
winlog.process.thread.id |
long |
|
winlog.provider_guid |
全局唯一标识符，用于标识记录事件的提供程序。 |
关键字 |
winlog.provider_name |
事件日志记录的来源（记录日志的应用程序或服务）。 |
关键字 |
winlog.record_id |
事件日志记录的记录 ID。写入事件日志的第一条记录的记录号为 1，其他记录按顺序编号。如果记录号达到最大值（对于事件日志 API 为 232，对于 Windows 事件日志 API 为 264），则下一个记录号将为 0。 |
关键字 |
winlog.related_activity_id |
全局唯一标识符，用于标识控制转移到的活动。然后，相关事件将此标识符作为其 |
关键字 |
winlog.task |
事件中定义的任务。任务和操作码通常用于标识应用程序中记录事件的位置。事件日志 API（在 Windows Vista 之前的操作系统上）使用的类别将写入此字段。 |
关键字 |
winlog.time_created |
创建事件的时间。 |
日期 |
winlog.user.domain |
与此事件关联的帐户所属的域。 |
关键字 |
winlog.user.identifier |
与此事件关联的帐户的 Windows 安全标识符 (SID)。如果 Winlogbeat 无法将 SID 解析为名称，则将从事件中省略 |
关键字 |
winlog.user.name |
与此事件关联的用户的名称。 |
关键字 |
winlog.user.type |
与此事件关联的帐户类型。 |
关键字 |
winlog.user_data |
事件特定数据。此字段与 |
对象 |
winlog.user_data.FileHash |
关键字 |
|
winlog.user_data.FileHashLength |
long |
|
winlog.user_data.FilePath |
关键字 |
|
winlog.user_data.FilePathLength |
long |
|
winlog.user_data.Fqbn |
关键字 |
|
winlog.user_data.FqbnLength |
long |
|
winlog.user_data.FullFilePath |
关键字 |
|
winlog.user_data.FullFilePathLength |
long |
|
winlog.user_data.PolicyName |
关键字 |
|
winlog.user_data.PolicyNameLength |
long |
|
winlog.user_data.RuleId |
关键字 |
|
winlog.user_data.RuleName |
关键字 |
|
winlog.user_data.RuleNameLength |
long |
|
winlog.user_data.RuleSddl |
关键字 |
|
winlog.user_data.RuleSddlLength |
long |
|
winlog.user_data.TargetLogonId |
关键字 |
|
winlog.user_data.TargetProcessId |
long |
|
winlog.user_data.TargetUser |
关键字 |
|
winlog.user_data.xml_name |
关键字 |
|
winlog.version |
事件定义的版本号。 |
long |
指标参考
编辑这两个数据流仅在 Windows 上可用。
服务
编辑Windows service 数据流提供服务详细信息。
导出的字段
| 字段 | 描述 | 类型 | 指标类型 |
|---|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
|
agent.id |
此代理的唯一标识符（如果存在）。示例：对于 Beats，这将是 beat.id。 |
关键字 |
|
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
|
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
|
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
|
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
|
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
|
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
|
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
|
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
|
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
|
container.id |
唯一的容器 ID。 |
关键字 |
|
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
|
container.labels |
镜像标签。 |
对象 |
|
container.name |
容器名称。 |
关键字 |
|
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
|
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
|
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
|
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
|
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
|
host.architecture |
操作系统架构。 |
关键字 |
|
host.containerized |
主机是否为容器。 |
boolean |
|
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
|
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
|
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
|
host.ip |
主机 IP 地址。 |
ip |
|
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
|
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
|
host.os.build |
操作系统构建信息。 |
关键字 |
|
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
|
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
|
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
|
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
|
host.os.name.text |
|
仅匹配文本 |
|
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
|
host.os.type |
使用 |
关键字 |
|
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
|
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
|
windows.service.display_name |
服务的显示名称。 |
关键字 |
|
windows.service.exit_code |
对于 |
关键字 |
|
windows.service.id |
服务的唯一 ID。它是计算机 GUID 和服务名称的哈希值。 |
关键字 |
|
windows.service.name |
服务名称。 |
关键字 |
|
windows.service.path_name |
实现服务的文件的完全限定路径，包括参数。 |
关键字 |
|
windows.service.pid |
对于 |
long |
|
windows.service.start_name |
服务在其下运行的帐户名称。 |
关键字 |
|
windows.service.start_type |
服务的启动类型。可能的值为 |
关键字 |
|
windows.service.state |
服务的实际状态。可能的值为 |
关键字 |
|
windows.service.uptime.ms |
服务的正常运行时间，以毫秒为单位指定。 |
long |
gauge |
Perfmon
编辑Windows perfmon 数据流提供性能计数器值。
导出的字段
| 字段 | 描述 | 类型 |
|---|---|---|
@timestamp |
事件发生的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。 |
日期 |
cloud.account.id |
云帐户或组织 ID，用于在多租户环境中标识不同的实体。示例：AWS 帐户 ID、Google Cloud ORG ID 或其他唯一标识符。 |
关键字 |
cloud.availability_zone |
此主机、资源或服务所在的可用区。 |
关键字 |
cloud.image.id |
云实例的镜像 ID。 |
关键字 |
cloud.instance.id |
主机机器的实例 ID。 |
关键字 |
cloud.instance.name |
主机机器的实例名称。 |
关键字 |
cloud.machine.type |
主机机器的机器类型。 |
关键字 |
cloud.project.id |
云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。 |
关键字 |
cloud.provider |
云提供商的名称。示例值有 aws、azure、gcp 或 digitalocean。 |
关键字 |
cloud.region |
此主机、资源或服务所在的区域。 |
关键字 |
container.id |
唯一的容器 ID。 |
关键字 |
container.image.name |
构建容器所依据的镜像的名称。 |
关键字 |
container.labels |
镜像标签。 |
对象 |
container.name |
容器名称。 |
关键字 |
data_stream.dataset |
该字段可以包含任何有意义的用于表示数据来源的内容。示例包括 |
常量关键字 |
data_stream.namespace |
用户定义的命名空间。命名空间对于允许对数据进行分组非常有用。许多用户已经以这种方式组织他们的索引，而数据流命名方案现在提供了这种最佳实践作为默认设置。许多用户将使用 |
常量关键字 |
data_stream.type |
数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。 |
常量关键字 |
event.dataset |
数据集的名称。如果某个事件源发布多种类型的日志或事件（例如，访问日志、错误日志），则使用数据集来指定事件的来源。建议（但不是必须）数据集名称以模块名称开头，后跟一个点，然后是数据集名称。 |
常量关键字 |
event.module |
此数据来自的模块的名称。如果您的监控代理支持使用模块或插件来处理给定来源的事件（例如，Apache 日志），则 |
常量关键字 |
host.architecture |
操作系统架构。 |
关键字 |
host.containerized |
主机是否为容器。 |
boolean |
host.domain |
主机所属的域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。 |
关键字 |
host.hostname |
主机的 hostname。它通常包含主机上的 |
关键字 |
host.id |
唯一的主机 ID。由于主机名并非始终唯一，因此请使用在您的环境中具有意义的值。例如：当前 |
关键字 |
host.ip |
主机 IP 地址。 |
ip |
host.mac |
主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。 |
关键字 |
host.name |
主机的名称。它可以包含 Unix 系统上 hostname 返回的内容、完全限定域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。 |
关键字 |
host.os.build |
操作系统构建信息。 |
关键字 |
host.os.codename |
操作系统代号（如果有）。 |
关键字 |
host.os.family |
操作系统系列（例如 redhat、debian、freebsd、windows）。 |
关键字 |
host.os.kernel |
操作系统的内核版本（原始字符串）。 |
关键字 |
host.os.name |
操作系统名称，不包含版本。 |
关键字 |
host.os.name.text |
|
仅匹配文本 |
host.os.platform |
操作系统平台（例如 centos、ubuntu、windows）。 |
关键字 |
host.os.type |
使用 |
关键字 |
host.os.version |
操作系统版本（原始字符串）。 |
关键字 |
host.type |
主机类型。对于云提供商，这可以是机器类型，例如 |
关键字 |
windows.perfmon.instance |
实例值。 |
关键字 |
windows.perfmon.metrics.. |
返回的指标值。 |
|
windows.perfmon.object |
对象值。 |
关键字 |
更新日志
编辑更新日志
| 版本 | 详细信息 | Kibana 版本 |
|---|---|---|
2.3.2 |
错误修复 (查看拉取请求) |
8.14.0 或更高版本 |
2.3.1 |
错误修复 (查看拉取请求) |
8.14.0 或更高版本 |
2.3.0 |
增强功能 (查看拉取请求) |
8.14.0 或更高版本 |
2.2.0 |
错误修复 (查看拉取请求) |
8.14.0 或更高版本 |
2.1.0 |
增强功能 (查看拉取请求) |
8.14.0 或更高版本 |
2.0.2 |
错误修复 (查看拉取请求) |
8.14.0 或更高版本 |
2.0.1 |
错误修复 (查看拉取请求) |
8.14.0 或更高版本 |
2.0.0 |
增强功能 (查看拉取请求) |
8.14.0 或更高版本 |
1.47.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.46.1 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.46.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.45.1 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.45.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.5 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.4 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.3 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.2 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.1 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.44.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.43.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.42.1 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.42.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.41.1 |
错误修复 (查看拉取请求) |
8.8.0 或更高版本 |
1.41.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.40.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.39.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.38.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.37.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.36.0 |
增强功能 (查看拉取请求) |
8.8.0 或更高版本 |
1.35.0 |
增强功能 (查看拉取请求) |
8.7.1 或更高版本 |
1.34.1 |
增强功能 (查看拉取请求) |
8.7.1 或更高版本 |
1.34.0 |
增强功能 (查看拉取请求) |
8.7.1 或更高版本 |
1.33.0 |
增强功能 (查看拉取请求) |
8.7.1 或更高版本 |
1.32.0 |
增强功能 (查看拉取请求) |
8.7.1 或更高版本 |
1.31.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.30.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.29.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.28.1 |
错误修复 (查看拉取请求) |
8.7.1 或更高版本 |
1.28.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.27.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.26.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.25.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.24.1 |
错误修复 (查看拉取请求) |
8.7.1 或更高版本 |
1.24.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.23.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.22.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.21.1 |
错误修复 (查看拉取请求) |
8.7.1 或更高版本 |
1.21.0 |
增强 (查看拉取请求) |
8.7.1 或更高版本 |
1.20.1 |
错误修复 (查看拉取请求) |
8.4.0 或更高版本 |
1.20.0 |
增强 (查看拉取请求) |
8.4.0 或更高版本 |
1.19.2 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.19.1 |
错误修复 (查看拉取请求) |
7.16.0 或更高版本 |
1.19.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.18.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.17.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.16.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.15.2 |
错误修复 (查看拉取请求) |
7.16.0 或更高版本 |
1.15.1 |
错误修复 (查看拉取请求) |
7.16.0 或更高版本 |
1.15.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.14.1 |
错误修复 (查看拉取请求) |
7.16.0 或更高版本 |
1.14.0 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.13.0 |
增强 (查看拉取请求) |
— |
1.12.4 |
增强 (查看拉取请求) |
7.16.0 或更高版本 |
1.12.3 |
增强 (查看拉取请求) |
— |
1.12.2 |
错误修复 (查看拉取请求) |
— |
1.12.1 |
错误修复 (查看拉取请求) |
7.16.0 或更高版本 |
1.12.0 |
增强 (查看拉取请求) |
— |
1.11.0 |
增强 (查看拉取请求) |
— |
1.10.1 |
增强 (查看拉取请求) |
— |
1.10.0 |
增强 (查看拉取请求) 增强 (查看拉取请求) |
— |
1.9.0 |
增强 (查看拉取请求) 错误修复 (查看拉取请求) 增强 (查看拉取请求) |
— |
1.8.0 |
增强 (查看拉取请求) |
— |
1.7.0 |
增强 (查看拉取请求) |
— |
1.6.0 |
增强 (查看拉取请求) |
— |
1.5.1 |
错误修复 (查看拉取请求) |
— |
1.5.0 |
增强 (查看拉取请求) |
7.14.0 或更高版本 |
1.4.0 |
增强 (查看拉取请求) |
— |
1.3.3 |
增强 (查看拉取请求) |
— |
1.3.2 |
错误修复 (查看拉取请求) |
— |
1.3.1 |
增强 (查看拉取请求) |
— |
1.3.0 |
错误修复 (查看拉取请求) |
— |
1.2.3 |
错误修复 (查看拉取请求) |
— |
1.2.2 |
错误修复 (查看拉取请求) |
7.14.0 或更高版本 |
1.2.1 |
错误修复 (查看拉取请求) |
— |
1.2.0 |
增强 (查看拉取请求) |
— |
1.1.3 |
增强 (查看拉取请求) |
— |
1.1.2 |
增强 (查看拉取请求) |
— |
1.1.1 |
增强 (查看拉取请求) |
— |
1.1.0 |
增强 (查看拉取请求) |
— |
1.0.0 |
增强 (查看拉取请求) 增强 (查看拉取请求) |
7.14.0 或更高版本 |
0.9.2 |
增强 (查看拉取请求) |
— |
0.9.1 |
增强 (查看拉取请求) |
— |
0.9.0 |
增强 (查看拉取请求) |
— |
0.8.2 |
增强 (查看拉取请求) 错误修复 (查看拉取请求) |
— |
0.8.1 |
错误修复 (查看拉取请求) |
— |
0.8.0 |
增强 (查看拉取请求) |
— |
0.7.0 |
增强 (查看拉取请求) |
— |
0.6.0 |
增强 (查看拉取请求) |
— |
0.5.2 |
增强 (查看拉取请求) |
— |
0.5.1 |
增强 (查看拉取请求) |
— |
0.5.0 |
增强 (查看拉取请求) |
— |
0.4.3 |
增强 (查看拉取请求) 增强 (查看拉取请求) |
— |
0.4.2 |
错误修复 (查看拉取请求) |
— |
0.4.1 |
错误修复 (查看拉取请求) |
— |
0.1.0 |
增强 (查看拉取请求) |
— |