查询告警索引

本页解释了如何查询告警索引，例如，在构建规则查询、自定义仪表板或可视化时。有关告警事件字段定义的更多信息，请查看告警模式。

我们建议查询以下索引别名：

无论您查询哪个别名，都不应在空间 ID 后面包含短横线或通配符。要查询所有空间，请使用以下语法：.alerts-security.alerts-* 或 .siem-signals-*。

为了提供更多上下文，告警事件存储在隐藏的 Elasticsearch 索引中。我们不建议直接查询它们。这些索引及其别名的命名约定取决于您运行的 Elastic Stack 版本。