Zeek 集成

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.capture_loss.acks

在之前的测量间隔中看到的 ACK 总数。

integer

zeek.capture_loss.gaps

在之前的测量间隔中错过的 ACK 数量。

integer

zeek.capture_loss.peer

如果多个 Bro 实例登录到同一主机，则此值会使用其各自的名称来区分每个对等方。

keyword

zeek.capture_loss.percent_lost

看到的数据未被确认的 ACK 百分比。

double

zeek.capture_loss.ts_delta

此测量与上次测量之间的时间延迟。

integer

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.bytes

从目标发送到源的字节数。

long

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.mac

目标的 MAC 地址。建议使用 RFC 7042 中的表示格式：每个八位字节（即 8 位字节）用两个 [大写] 十六进制数字表示，给出该八位字节作为无符号整数的值。连续的八位字节用连字符分隔。

keyword

destination.packets

从目标发送到源的数据包。

long

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则该值应为结束时间和开始时间之差。

long

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.bytes

在两个方向上传输的总字节数。如果已知 source.bytes 和 destination.bytes，则 network.bytes 是它们的总和。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.direction

网络流量的方向。当从基于主机的监视上下文中映射事件时，请从主机的角度使用值“ingress”（入口）或“egress”（出口）填充此字段。当从基于网络或外围的监视上下文中映射事件时，请从网络外围的角度使用值“inbound”（入站）、“outbound”（出站）、“internal”（内部）或“external”（外部）填充此字段。请注意，“internal” 不会跨越外围边界，而是指外围内两台主机之间的通信。另请注意，“external” 是指外围外的两台主机之间的流量。例如，这对于 ISP 或 VPN 服务提供商可能很有用。

keyword

network.packets

在两个方向上传输的总数据包数。如果已知 source.packets 和 destination.packets，则 network.packets 是它们的总和。

long

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.bytes

从源发送到目标的字节数。

long

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.mac

源的 MAC 地址。建议使用 RFC 7042 中的表示格式：每个八位字节（即 8 位字节）用两个 [大写] 十六进制数字表示，给出该八位字节作为无符号整数的值。连续的八位字节用连字符分隔。

keyword

source.packets

从源发送到目标的数据包。

long

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.connection.history

指示会话历史记录的标志。

keyword

zeek.connection.icmp.code

ICMP 消息代码。

integer

zeek.connection.icmp.type

ICMP 消息类型。

integer

zeek.connection.inner_vlan

VLAN 标识符。

integer

zeek.connection.local_orig

指示会话是否在本地发起。

boolean

zeek.connection.local_resp

指示会话是否在本地响应。

boolean

zeek.connection.missed_bytes

会话的丢失字节数。

long

zeek.connection.state

指示会话状态的代码。

keyword

zeek.connection.state_message

会话的状态。

keyword

zeek.connection.vlan

VLAN 标识符。

integer

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.bytes

从目标发送到源的字节数。

long

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.action

事件捕获的操作。这将描述事件中的信息。它比 event.category 更具体。例如，group-add、process-started、file-created。该值通常由实现者定义。

keyword

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.bytes

从源发送到目标的字节数。

long

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.dce_rpc.endpoint

从 uuid 查找的终结点名称。

keyword

zeek.dce_rpc.named_pipe

远程管道名称。

keyword

zeek.dce_rpc.operation

调用中看到的操作。

keyword

zeek.dce_rpc.rtt

从请求到响应的往返时间。如果未看到请求或响应，则此值将为空。

integer

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

client.address

一些事件客户端地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.name

操作员为其网络部分指定的名称。

keyword

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

server.address

一些事件服务器地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.dhcp.address.assigned

服务器分配的 IP 地址。

ip

zeek.dhcp.address.client

客户端的 IP 地址。如果事务只是客户端发送 INFORM 消息，则不会交换租用信息，因此了解谁发送了消息会有所帮助。在此字段中获取地址需要客户端至少使用非广播地址发起一条 DHCP 消息。

ip

zeek.dhcp.address.mac

客户端的硬件地址。

keyword

zeek.dhcp.address.requested

客户端请求的 IP 地址。

ip

zeek.dhcp.address.server

DHCP 服务器的 IP 地址。

ip

zeek.dhcp.client_fqdn

客户端在客户端 FQDN 选项 81 中给出的 FQDN。

keyword

zeek.dhcp.domain

服务器在选项 15 中给出的域。

keyword

zeek.dhcp.duration

DHCP 会话的持续时间，表示从第一条消息到最后一条消息的时间，以秒为单位。

double

zeek.dhcp.hostname

客户端在主机名选项 12 中给出的名称。

keyword

zeek.dhcp.id.circuit

（如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在）由终止交换或永久电路的 DHCP 中继代理添加。它对收到 DHCP 客户端到服务器数据包的电路的代理本地标识符进行编码。通常，它应表示路由器或交换机接口编号。

keyword

zeek.dhcp.id.remote_agent

（如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在）由中继代理添加的全局唯一标识符，用于标识电路的远程主机端。

keyword

zeek.dhcp.id.subscriber

（如果加载了 policy/protocols/dhcp/sub-opts.bro，则存在）订阅者 ID 是独立于物理网络配置的值，以便客户的 DHCP 配置可以正确地提供给他们，无论他们实际连接到哪里。

keyword

zeek.dhcp.lease_time

IP 地址租用间隔，以秒为单位。

integer

zeek.dhcp.msg.client

通常伴随 DHCP_DECLINE 的消息，因此客户端可以告知服务器它拒绝地址的原因。

keyword

zeek.dhcp.msg.origin

（如果加载了 policy/protocols/dhcp/msg-orig.bro，则存在）来自 msg.types 字段的每条消息的来源地址。

ip

zeek.dhcp.msg.server

通常伴随 DHCP_NAK 的消息，以告知客户端它拒绝请求的原因。

keyword

zeek.dhcp.msg.types

在此交换中看到的 DHCP 消息类型列表。

keyword

zeek.dhcp.software.client

（如果加载了 policy/protocols/dhcp/software.bro，则存在）客户端在 vendor_class 选项中报告的软件。

keyword

zeek.dhcp.software.server

（如果加载了 policy/protocols/dhcp/software.bro，则存在）客户端在 vendor_class 选项中报告的软件。

keyword

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.bytes

从目标发送到源的字节数。

long

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.action

事件捕获的操作。这将描述事件中的信息。它比 event.category 更具体。例如，group-add、process-started、file-created。该值通常由实现者定义。

keyword

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.bytes

从源发送到目标的字节数。

long

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.dnp3.function.reply

回复中函数消息的名称。

keyword

zeek.dnp3.function.request

请求中函数消息的名称。

keyword

zeek.dnp3.id

响应的内部指示编号。

integer

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

dns.answers

一个数组，其中包含服务器返回的每个应答部分的 object。这些 object 中应存在的主要键由 ECS 定义。包含更多信息的记录可能包含比 ECS 定义的更多的键。并非所有 DNS 数据源都提供有关 DNS 应答的所有详细信息。至少，应答 object 必须包含 data 键。如果提供了更多信息，请尽可能将其映射到 ECS，并将任何其他字段作为自定义字段添加到应答 object 中。

group

dns.answers.class

此资源记录中包含的 DNS 数据的类。

keyword

dns.answers.data

描述资源的 data。此 data 的含义取决于资源记录的类型和类。

keyword

dns.answers.name

此资源记录所属的域名。如果要解析 CNAME 链，则每个应答的 name 应是与该应答的 data 相对应的名称。它不应只是重复原始的 question.name。

keyword

dns.answers.ttl

此资源记录在被丢弃之前可以缓存的时间间隔（以秒为单位）。零值表示 data 不应缓存。

long

dns.answers.type

此资源记录中包含的数据类型。

keyword

dns.header_flags

由两个字母组成的 DNS 头部标志数组。

keyword

dns.id

生成查询的程序分配的 DNS 数据包标识符。该标识符会被复制到响应中。

keyword

dns.question.class

正在查询的记录的类别。

keyword

dns.question.name

正在查询的名称。如果名称字段包含不可打印字符（低于 32 或高于 126），则这些字符应表示为转义的十进制整数 (\DDD)。反斜杠和引号应被转义。制表符、回车符和换行符应分别转换为 \t、\r 和 \n。

keyword

dns.question.registered_domain

已注册的最高级域名，不包含子域名。例如，“foo.example.com”的已注册域名是“example.com”。此值可以通过公共后缀列表 (http://publicsuffix.org) 精确确定。尝试仅取最后两个标签来近似此值，对于像“co.uk”这样的 TLD 来说效果不佳。

keyword

dns.question.subdomain

子域名是 registered_domain 下的所有标签。如果域名有多个级别的子域名，例如“sub2.sub1.example.com”，则子域名字段应包含“sub2.sub1”，不带尾随句点。

keyword

dns.question.top_level_domain

有效顶级域名 (eTLD)，也称为域名后缀，是域名中的最后一部分。例如，example.com 的顶级域名是“com”。此值可以通过公共后缀列表 (http://publicsuffix.org) 精确确定。尝试仅取最后一个标签来近似此值，对于像“co.uk”这样的有效 TLD 来说效果不佳。

keyword

dns.question.type

正在查询的记录类型。

keyword

dns.resolved_ip

包含在 answers.data 中看到的所有 IP 的数组。由于 answers 数组可以包含多种数据格式，因此可能难以使用。将其中看到的所有 IP 地址提取到 dns.resolved_ip 中，可以将其索引为 IP 地址，并使其更容易可视化和查询。

ip

dns.response_code

DNS 响应代码。

keyword

dns.type

捕获的 DNS 事件类型，查询或应答。如果您的 DNS 事件来源仅提供 DNS 查询，则您应仅创建 dns.type:query 类型的 dns 事件。如果您的 DNS 事件来源也提供应答，则您应为每个查询创建一个事件（可选，在看到查询时立即创建）。以及第二个事件，包含所有查询详细信息以及应答数组。

keyword

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.duration

事件的持续时间，以纳秒为单位。如果知道 event.start 和 event.end，则该值应为结束时间和开始时间之差。

long

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.original

整个事件的原始文本消息。用于证明日志的完整性，或者在需要完整的日志消息（在将其拆分为多个部分之前）时，例如用于重新索引。此字段未编制索引，并且禁用了 doc_values。它不能被搜索，但可以从 _source 中检索。如果用户希望覆盖此设置并索引此字段，请参阅 Elasticsearch 参考中的 字段数据类型。

keyword

event.outcome

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。event.outcome 仅表示从生成事件的实体的角度来看，事件是表示成功还是失败。请注意，当单个事务在多个事件中描述时，每个事件可以根据其角度填充不同的 event.outcome 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，此字段应填充最能捕获事件生产者角度的总体成功或失败的值。此外，并非所有事件都具有关联的结果。例如，此字段通常不为度量事件、具有 event.type:info 的事件或任何结果不具有逻辑意义的事件填充。

keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.dns.AA

响应消息的授权应答位指定响应名称服务器是问题部分中域名的权威。

boolean

zeek.dns.RA

响应消息中的递归可用位指示名称服务器支持递归查询。

boolean

zeek.dns.RD

请求消息中的递归期望位指示客户端希望为此查询提供递归服务。

boolean

zeek.dns.TC

截断位指定消息已被截断。

boolean

zeek.dns.TTLs

answers 字段描述的相关 RR 的缓存间隔。

double

zeek.dns.answers

查询应答中的资源描述集。

keyword

zeek.dns.qclass

指定查询类别的 QCLASS 值。

long

zeek.dns.qclass_name

查询类别的描述性名称。

keyword

zeek.dns.qtype

指定查询类型的 QTYPE 值。

long

zeek.dns.qtype_name

查询类型的描述性名称。

keyword

zeek.dns.query

作为 DNS 查询主题的域名。

keyword

zeek.dns.rcode

DNS 响应消息中的响应代码值。

long

zeek.dns.rcode_name

响应代码值的描述性名称。

keyword

zeek.dns.rejected

指示 DNS 查询是否被服务器拒绝。

boolean

zeek.dns.rtt

查询和响应的往返时间。

double

zeek.dns.saw_query

是否已看到完整的 DNS 查询。

boolean

zeek.dns.saw_reply

是否已看到完整的 DNS 回复。

boolean

zeek.dns.total_answers

回复中资源记录的总数。

integer

zeek.dns.total_replies

回复消息中资源记录的总数。

integer

zeek.dns.trans_id

DNS 事务标识符。

keyword

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

zeek.dpd.analyzer

生成违规的分析器。

keyword

zeek.dpd.failure_reason

分析失败的文本原因。

keyword

zeek.dpd.packet_segment

（如果加载了 policy/frameworks/dpd/packet-segment-logging.bro，则存在）最有可能导致协议违规的有效负载的一部分。

keyword

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

client.ip

客户端的 IP 地址（IPv4 或 IPv6）。

ip

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

file.hash.md5

MD5 哈希。

keyword

file.hash.sha1

SHA1 哈希。

keyword

file.hash.sha256

SHA256 哈希。

keyword

file.mime_type

MIME 类型应尽可能使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型]来标识文件或字节流的格式。当适用多个类型时，应使用最具体的类型。

keyword

file.name

文件名，包括扩展名，不包含目录。

keyword

file.size

文件大小，以字节为单位。仅在 file.type 为“file”时相关。

long

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

related.hash

事件中看到的所有哈希。填充此字段，然后使用它搜索哈希，可以在不确定哈希算法是什么（以及因此搜索哪个键名称）的情况下提供帮助。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

server.ip

服务器的 IP 地址（IPv4 或 IPv6）。

ip

tags

用于标记每个事件的关键字列表。

keyword

zeek.files.analyzers

文件分析期间完成的一组分析类型。

keyword

zeek.files.depth

一个值，表示此文件相对于其源的深度。在 SMTP 中，它是消息中 MIME 附件的深度。在 HTTP 中，它是 TCP 连接中请求的深度。

long

zeek.files.duration

分析文件所用的持续时间。而不是会话的持续时间。

double

zeek.files.entropy

文件内容的信息密度。

double

zeek.files.extracted

提取的文件的本地文件名。

keyword

zeek.files.extracted_cutoff

指示正在提取的文件是否被截断，因此没有完全提取。

boolean

zeek.files.extracted_size

提取到磁盘的字节数。

long

zeek.files.filename

文件名（如果可用）。

keyword

zeek.files.fuid

文件唯一标识符。

keyword

zeek.files.is_orig

如果此文件的源是网络连接，则此字段指示该文件是由连接的发起者还是响应者发送的。

boolean

zeek.files.local_orig

如果此文件的源是网络连接，则此字段指示数据是否来自本地网络。

boolean

zeek.files.md5

文件内容的 MD5 摘要。

keyword

zeek.files.mime_type

文件的 MIME 类型。

keyword

zeek.files.missing_bytes

在分析过程中完全丢失的文件流中的字节数。

long

zeek.files.overflow_bytes

文件流中未传递到流文件分析器的字节数。这可能是重叠的字节或无法重新组装的字节。

long

zeek.files.parent_fuid

与容器文件关联的标识符，该文件作为文件分析的一部分从中提取。

keyword

zeek.files.rx_host

接收该文件的主机。

ip

zeek.files.seen_bytes

提供给文件分析引擎的文件字节数。

long

zeek.files.session_ids

具有此文件的会话。

keyword

zeek.files.sha1

文件内容的 SHA1 摘要。

keyword

zeek.files.sha256

文件内容的 SHA256 摘要。

keyword

zeek.files.source

文件数据来源的标识。例如，它可能是传输文件的网络协议，或者是读取的本地文件路径，或其他输入源。

keyword

zeek.files.timedout

文件分析是否至少超时一次。

boolean

zeek.files.total_bytes

组成完整文件的总字节数。

long

zeek.files.tx_host

传输该文件的主机。

ip

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.action

事件捕获的操作。这将描述事件中的信息。它比 event.category 更具体。例如，group-add、process-started、file-created。该值通常由实现者定义。

keyword

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

file.mime_type

MIME 类型应尽可能使用 IANA[https://www.iana.org/assignments/media-types/media-types.xhtml[IANA 官方类型]来标识文件或字节流的格式。当适用多个类型时，应使用最具体的类型。

keyword

file.size

文件大小，以字节为单位。仅在 file.type 为“file”时相关。

long

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.protocol

在 OSI 模型中，这将是应用层协议。例如，http、dns 或 ssh。字段值必须标准化为小写以进行查询。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

related.user

事件中看到的所有用户名或其他用户标识符。

keyword

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

user.name

用户的简称或登录名。

keyword

user.name.text

user.name 的多字段。

match_only_text

zeek.ftp.arg

命令的参数（如果给定）。

keyword

zeek.ftp.capture_password

确定是否捕获此请求的密码。

boolean

zeek.ftp.cmdarg.arg

命令的参数（如果给定）。

keyword

zeek.ftp.cmdarg.cmd

命令。

keyword

zeek.ftp.cmdarg.seq

用于跟踪已执行命令数的计数器。

integer

zeek.ftp.command

客户端给出的命令。

keyword

zeek.ftp.cwd

此会话所在的当前工作目录。通过将默认值设置为 .，我们可以表示，除非发现更具体的内容，否则可以使用现有但未知的目录。

keyword

zeek.ftp.data_channel.originating_host

将启动数据连接的主机。

ip

zeek.ftp.data_channel.passive

是否为控制通道切换了 PASV 模式。

boolean

zeek.ftp.data_channel.response_host

将接受数据连接的主机。

ip

zeek.ftp.data_channel.response_port

接收器正在侦听数据连接的端口。

integer

zeek.ftp.file.fuid

（如果加载了 base/protocols/ftp/files.bro，则存在）文件唯一 ID。

keyword

zeek.ftp.file.mime_type

嗅探到的文件 MIME 类型。

keyword

zeek.ftp.file.size

如果命令指示文件传输，则文件的大小。

long

zeek.ftp.last_auth_requested

如果加载了 base/protocols/ftp/gridftp.bro，则存在。上次使用的身份验证/安全机制。

keyword

zeek.ftp.passive

指示会话是处于主动模式还是被动模式。

boolean

zeek.ftp.password

如果捕获到当前 FTP 会话的密码，则会显示在此处。

keyword

zeek.ftp.pending_commands

此处跟踪已发送但尚未收到响应的命令队列。

integer

zeek.ftp.reply.code

服务器响应命令的回复代码。

integer

zeek.ftp.reply.msg

服务器响应命令的回复消息。

keyword

zeek.ftp.user

当前 FTP 会话的用户名。

keyword

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.action

事件捕获的操作。这将描述事件中的信息。它比 event.category 更具体。例如，group-add、process-started、file-created。该值通常由实现者定义。

keyword

event.category

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构的第二层。 event.category 表示 ECS 类别的“大类”。例如，筛选 event.category:process 将生成所有与进程活动相关的事件。此字段与用作子类别的 event.type 密切相关。此字段是一个数组。这将允许对一些属于多个类别的事件进行正确的分类。

keyword

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.id

用于描述事件的唯一 ID。

keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.outcome

这是四个 ECS 分类字段之一，表示 ECS 类别层次结构中的最低级别。event.outcome 仅表示从生成事件的实体的角度来看，事件是表示成功还是失败。请注意，当单个事务在多个事件中描述时，每个事件可以根据其角度填充不同的 event.outcome 值。另请注意，在复合事件（包含多个逻辑事件的单个事件）的情况下，此字段应填充最能捕获事件生产者角度的总体成功或失败的值。此外，并非所有事件都具有关联的结果。例如，此字段通常不为度量事件、具有 event.type:info 的事件或任何结果不具有逻辑意义的事件填充。

keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

http.request.body.bytes

请求正文的大小（以字节为单位）。

long

http.request.method

HTTP 请求方法。该值应保留原始事件中的大小写。例如，GET、get 和 GeT 都被视为此字段的有效值。

keyword

http.request.referrer

此 HTTP 请求的引用页。

keyword

http.response.body.bytes

响应正文的大小（以字节为单位）。

long

http.response.status_code

HTTP 响应状态代码。

long

http.version

HTTP 版本。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

network.transport

与 network.iana_number 相同，但改为使用传输层的关键字名称 (udp、tcp、ipv6-icmp 等)。字段值必须标准化为小写以进行查询。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

related.user

事件中看到的所有用户名或其他用户标识符。

keyword

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。

geo_point

source.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

source.geo.region_iso_code

区域 ISO 代码。

keyword

source.geo.region_name

区域名称。

keyword

source.ip

源的 IP 地址 (IPv4 或 IPv6)。

ip

source.port

源的端口。

long

tags

用于标记每个事件的关键字列表。

keyword

url.domain

URL 的域名，例如“https://elastic.ac.cn[www.elastic.co]”。在某些情况下，URL 可能直接引用 IP 和/或端口，而没有域名。在这种情况下，IP 地址将进入 domain 字段。如果 URL 包含用 [ 和 ]（IETF RFC 2732）括起来的文字 IPv6 地址，则 [ 和 ] 字符也应捕获在 domain 字段中。

keyword

url.original

事件源中看到的未经修改的原始 URL。请注意，在网络监控中，观察到的 URL 可能是完整的 URL，而在访问日志中，URL 通常仅表示为路径。此字段旨在表示观察到的 URL，无论是否完整。

wildcard

url.original.text

url.original 的多字段。

match_only_text

url.password

请求的密码。

keyword

url.path

请求的路径，例如“/search”。

wildcard

url.port

请求的端口，例如 443。

long

url.scheme

请求的方案，例如“https”。注意：: 不是方案的一部分。

keyword

url.username

请求的用户名。

keyword

user.name

用户的简称或登录名。

keyword

user.name.text

user.name 的多字段。

match_only_text

user_agent.device.name

设备的名称。

keyword

user_agent.name

用户代理的名称。

keyword

user_agent.original

未解析的 user_agent 字符串。

keyword

user_agent.original.text

user_agent.original 的多字段。

match_only_text

user_agent.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

user_agent.os.full

操作系统名称，包括版本或代码名称。

keyword

user_agent.os.full.text

user_agent.os.full 的多字段。

match_only_text

user_agent.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

user_agent.os.name

操作系统名称，不带版本。

keyword

user_agent.os.name.text

user_agent.os.name 的多字段。

match_only_text

user_agent.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

user_agent.os.version

操作系统版本（原始字符串形式）。

keyword

user_agent.version

用户代理的版本。

keyword

zeek.http.captured_password

确定是否捕获此请求的密码。

boolean

zeek.http.client_header_names

客户端发送的 HTTP 标头名称的向量。此处不包含标头值，仅包含标头名称。

keyword

zeek.http.host

如果与从 Zeek URI 中提取的域名不同，则为 Zeek 主机。

keyword

zeek.http.info_code

服务器返回的最后看到的 1xx 信息性回复代码。

integer

zeek.http.info_msg

服务器返回的最后看到的 1xx 信息性回复消息。

keyword

zeek.http.orig_filenames

来自发起者的文件名有序向量。

keyword

zeek.http.orig_fuids

来自发起者的文件唯一 ID 有序向量。

keyword

zeek.http.orig_mime_depth

HTTP 请求消息正文中当前 MIME 实体数。

integer

zeek.http.orig_mime_types

来自发起者的 mime 类型有序向量。

keyword

zeek.http.password

如果对请求执行基本身份验证，则为密码。

keyword

zeek.http.proxied

所有可能指示 HTTP 请求是否被代理的标头。

keyword

zeek.http.range_request

指示此请求是否可以假定响应中的 206 部分内容。

boolean

zeek.http.resp_filenames

来自响应者的文件名有序向量。

keyword

zeek.http.resp_fuids

来自响应者的文件唯一 ID 有序向量。

keyword

zeek.http.resp_mime_depth

HTTP 响应消息正文中当前 MIME 实体数。

integer

zeek.http.resp_mime_types

来自响应者的 mime 类型有序向量。

keyword

zeek.http.server_header_names

服务器发送的 HTTP 标头名称的向量。此处不包含标头值，仅包含标头名称。

keyword

zeek.http.status_msg

服务器返回的状态消息。

keyword

zeek.http.tags

一组指标，指示已发现并与特定请求/响应对相关的各种属性。

keyword

zeek.http.trans_depth

表示此请求/响应事务的连接管道深度。

integer

zeek.session_id

会话的唯一标识符

keyword

@timestamp

事件发生时的日期/时间。这是从事件中提取的日期/时间，通常表示事件由源生成的时间。如果事件源没有原始时间戳，则此值通常由管道首次接收到事件的时间填充。所有事件的必填字段。

date

cloud.account.id

云账户或组织 ID，用于标识多租户环境中的不同实体。示例：AWS 账户 ID、Google Cloud ORG ID 或其他唯一标识符。

keyword

cloud.availability_zone

此主机、资源或服务所在的可用区。

keyword

cloud.image.id

云实例的镜像 ID。

keyword

cloud.instance.id

主机机器的实例 ID。

keyword

cloud.instance.name

主机机器的实例名称。

keyword

cloud.machine.type

主机机器的机器类型。

keyword

cloud.project.id

云项目标识符。示例：Google Cloud 项目 ID、Azure 项目 ID。

keyword

cloud.provider

云提供商的名称。示例值包括 aws、azure、gcp 或 digitalocean。

keyword

cloud.region

此主机、资源或服务所在的区域。

keyword

container.id

唯一的容器 ID。

keyword

container.image.name

容器构建所基于的镜像名称。

keyword

container.labels

镜像标签。

object

container.name

容器名称。

keyword

data_stream.dataset

该字段可以包含任何对表示数据源有意义的内容。示例包括 nginx.access、prometheus、endpoint 等。对于其他符合条件但未设置数据集的数据流，我们使用值“generic”作为数据集值。event.dataset 的值应与 data_stream.dataset 相同。除了上面提到的 Elasticsearch 数据流命名条件外，dataset 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。命名空间对于允许数据分组很有用。许多用户已经以这种方式组织他们的索引，并且数据流命名方案现在将此最佳实践作为默认值提供。许多用户将使用 default 填充此字段。如果未使用任何值，则默认为 default。除了上面提到的 Elasticsearch 索引命名条件外，namespace 值还有其他限制：* 不得包含 - * 不得超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。当前允许的值为“logs”和“metrics”。我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

destination.address

某些事件目标地址的定义不明确。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后，应将其复制到 .ip 或 .domain，具体取决于它是哪个。

keyword

destination.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

destination.as.organization.name

组织名称。

keyword

destination.as.organization.name.text

destination.as.organization.name 的多字段。

match_only_text

destination.geo.city_name

城市名称。

keyword

destination.geo.continent_name

洲名称。

keyword

destination.geo.country_iso_code

国家/地区 ISO 代码。

keyword

destination.geo.country_name

国家/地区名称。

keyword

destination.geo.location

经度和纬度。

geo_point

destination.geo.name

用户自定义的位置描述，粒度级别由用户决定。可以是他们的数据中心名称、楼层号（如果描述的是本地物理实体）或城市名称。通常不用于自动化地理定位。

keyword

destination.geo.region_iso_code

区域 ISO 代码。

keyword

destination.geo.region_name

区域名称。

keyword

destination.ip

目标 IP 地址 (IPv4 或 IPv6)。

ip

destination.port

目标的端口。

long

ecs.version

此事件符合的 ECS 版本。ecs.version 是必填字段，必须存在于所有事件中。当跨多个索引（可能符合略有不同的 ECS 版本）进行查询时，此字段允许集成调整为事件的架构版本。

keyword

error.message

错误消息。

match_only_text

event.created

event.created 包含代理或管道首次读取事件的日期/时间。此字段与 @timestamp 不同，因为 @timestamp 通常包含从原始事件中提取的时间。在大多数情况下，这两个时间戳会略有不同。可以使用此差异来计算源生成事件与代理首次处理事件的时间之间的延迟。这可用于监视代理或管道跟上事件源的能力。如果这两个时间戳相同，则应使用 @timestamp。

date

event.dataset

事件数据集

constant_keyword

event.ingested

事件到达中央数据存储的时间戳。这与 @timestamp 不同，后者是事件最初发生的时间。它也与 event.created 不同，后者旨在捕获代理首次看到事件的时间。在正常情况下，假设没有篡改，时间戳应该按时间顺序如下所示：@timestamp < event.created < event.ingested。

date

event.kind

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的最高级别。event.kind 提供有关事件包含的信息类型的高级信息，而不特定于事件的内容。例如，此字段的值区分警报事件和指标事件。可以使用此字段的值来通知应如何处理这些类型的事件。它们可能需要不同的保留期、不同的访问控制，它也可能有助于了解数据是否以有规律的间隔传入。

keyword

event.module

事件模块

constant_keyword

event.original

整个事件的原始文本消息。用于证明日志的完整性，或者在需要完整的日志消息（在将其拆分为多个部分之前）时，例如用于重新索引。此字段未编制索引，并且禁用了 doc_values。它不能被搜索，但可以从 _source 中检索。如果用户希望覆盖此设置并索引此字段，请参阅 Elasticsearch 参考中的 字段数据类型。

keyword

event.type

这是四个 ECS 分类字段之一，指示 ECS 类别层次结构中的第三级。event.type 表示一个分类“子存储桶”，该存储桶与 event.category 字段值一起使用时，可以将事件过滤到适合单次可视化的级别。此字段是一个数组。这将允许对属于多个事件类型的某些事件进行适当的分类。

keyword

host.architecture

操作系统架构。

keyword

host.containerized

如果主机是容器。

boolean

host.domain

主机所属域的名称。例如，在 Windows 上，这可以是主机的 Active Directory 域或 NetBIOS 域名。对于 Linux，这可以是主机 LDAP 提供程序的域。

keyword

host.hostname

主机的hostname。它通常包含主机机器上 hostname 命令返回的内容。

keyword

host.id

唯一的主机 ID。由于主机名并不总是唯一的，因此请使用在您的环境中具有意义的值。示例：当前使用 beat.name。

keyword

host.ip

主机 IP 地址。

ip

host.mac

主机 MAC 地址。建议使用 RFC 7042 中的表示法格式：每个八位字节（即 8 位字节）由两个[大写]十六进制数字表示，给出八位字节的值作为无符号整数。连续的八位字节用连字符分隔。

keyword

host.name

主机的名称。它可以包含 hostname 在 Unix 系统上返回的内容、完全限定的域名 (FQDN) 或用户指定的名称。建议的值是主机的小写 FQDN。

keyword

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代码名称（如果有）。

keyword

host.os.family

操作系统系列（例如 redhat、debian、freebsd、windows）。

keyword

host.os.kernel

操作系统内核版本（原始字符串形式）。

keyword

host.os.name

操作系统名称，不带版本。

keyword

host.os.name.text

host.os.name 的多字段。

match_only_text

host.os.platform

操作系统平台（例如 centos、ubuntu、windows）。

keyword

host.os.version

操作系统版本（原始字符串形式）。

keyword

host.type

主机类型。对于云提供商，这可以是机器类型，例如 t2.medium。如果为 vm，这可以是容器（例如）或其他在您的环境中具有意义的信息。

keyword

input.type

Filebeat 输入的类型。

keyword

log.file.path

此事件来源的日志文件的完整路径，包括文件名。它应包括驱动器号（如果适用）。如果事件不是从日志文件中读取的，请不要填充此字段。

keyword

log.flags

日志文件的标志。

keyword

log.offset

日志文件中条目的偏移量。

long

network.community_id

源和目标 IP 及端口的哈希值，以及通信中使用的协议。这是一种与工具无关的用于识别流的标准。有关详细信息，请访问 https://github.com/corelight/community-id-spec。

keyword

related.ip

在您的事件中看到的所有 IP。

ip

source.address

一些事件源地址的定义是模糊的。事件有时会列出 IP、域或 Unix 套接字。您应始终将原始地址存储在 .address 字段中。然后应将其复制到 .ip 或 .domain，具体取决于它是哪一个。

keyword

source.as.number

分配给自治系统的唯一编号。自治系统编号 (ASN) 唯一地标识 Internet 上的每个网络。

long

source.as.organization.name

组织名称。

keyword

source.as.organization.name.text

source.as.organization.name 的多字段。

match_only_text

source.geo.city_name

城市名称。

keyword

source.geo.continent_name

洲名称。

keyword

source.geo.country_iso_code

国家/地区 ISO 代码。

keyword

source.geo.country_name

国家/地区名称。

keyword

source.geo.location

经度和纬度。