实体存储
编辑实体存储
编辑此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力修复任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 约束。
实体存储允许您查询、协调、维护和持久化实体元数据，例如
- 摄取的日志数据
- 来自集成身份提供商的数据（例如 Active Directory、EntraID 和 Okta）
- 来自内部和外部警报的数据
- 外部资产存储库数据
- 资产重要性数据
- 实体风险评分数据
实体存储可以保存 Elastic Security 观察到的任何实体类型。它允许您查看和查询索引中表示的选定实体，而无需对可观察的数据执行实时搜索。实体存储从 Elastic Security 默认数据视图 中的所有索引提取实体。
启用实体存储时，会为每个实体类型（主机和用户）生成以下资源
- Elasticsearch 资源，例如转换、摄取管道和富集策略。
- 每个实体的数据和字段。
.entities.v1.latest.security_user_<space-id>和.entities.v1.latest.security_host_<space-id>索引，其中分别包含主机和用户的字段映射。您可以查询这些索引以查看实体存储中映射的字段列表。
启用实体存储
编辑要启用实体存储
- 在导航菜单中查找 实体存储，或使用全局搜索字段。
- 在 实体存储 页面上，打开切换开关。
启用实体存储后，实体分析仪表板将显示 实体 部分。
清除实体存储数据
编辑启用实体存储后，您可能想要清除存储的数据并重新开始。例如，如果您标准化了 user.name 或 host.name 字段，清除实体存储数据将允许您使用更新的标准化值重新填充实体存储。此操作会删除之前提取的所有实体信息，从而启用新的数据提取和分析。
清除实体存储数据不会删除您的源数据、分配的实体风险评分或资产重要性分配。
清除实体存储数据会永久删除持久化的用户和主机记录，并且数据不再可用于分析。请谨慎操作，因为此操作无法撤消。
要清除实体数据
- 在导航菜单中查找 实体存储，或使用全局搜索字段。
- 在 实体存储 页面上，选择 清除。