在 Elastic Security 中创建运行时字段

运行时字段是在您摄取数据后可以添加到文档中的字段。例如，您可以组合两个字段并将它们作为一个字段处理，或者对现有数据执行计算并将结果用作单独的字段。运行时字段在运行查询时进行评估。

您可以在任何列出数据网格表中警报或事件的页面（例如警报、时间线、主机和用户）中创建运行时字段并将其添加到您的检测警报或事件中。创建后，新字段将添加到当前的数据视图中，并可用于数据视图中的所有 Elastic Security 警报和事件。

运行时字段可能会影响性能，因为它们在每次运行查询时都会进行评估。有关更多信息，请参阅运行时字段。

创建运行时字段

转到列出警报或事件的页面（例如，警报或 时间线 → 时间线名称）。
执行以下操作之一
- 在“警报”表中，单击表左上角的字段工具栏按钮。在字段浏览器中，单击 创建字段。创建字段 浮出层将打开。
- 在时间线中，转到侧边栏底部，然后单击 添加字段。创建字段 浮出层将打开。
输入新字段的名称。
选择字段数据类型的类型。
打开 设置值 切换开关，并输入 Painless 脚本来定义字段的值。脚本必须与所选类型匹配。有关添加字段和 Painless 脚本示例的更多信息，请参阅使用运行时字段探索您的数据。
使用预览来帮助您构建脚本，以便它返回预期的字段值。
根据需要配置其他字段设置。

某些运行时字段设置（例如自定义标签和显示格式）显示在 Kibana 的其他区域中，但可能不会显示在 Elastic Security 应用程序中。
单击保存。新字段将作为数据网格中的新列出现。

您可以从警报、时间线、主机和用户页面编辑或删除现有运行时字段。