关于时间线模板
编辑关于时间线模板编辑
您可以将时间线模板附加到检测规则。附加后，规则的警报在时间线中调查时会使用该模板。这使您在开始调查时能够立即查看警报最有趣字段。
模板可以包含两种类型的过滤器
-
常规过滤器: 与其他 Kibana KQL 过滤器一样，定义源事件字段及其值。例如：
host.name : "win-server"。 - 模板过滤器: 只定义事件字段，并使用占位符代替字段值。在时间线中调查警报时，字段值取自警报。
例如，如果您定义了 host.name: "{host.name}" 模板过滤器，那么在时间线中调查由该规则生成的警报时，将使用警报的 host.name 值作为过滤器。如果警报的 host.name 值是 Linux_stafordshire-061，则时间线过滤器为：host.name: "Linux_stafordshire-061"。
有关如何将时间线模板添加到规则的信息，请参阅 创建检测规则。
当您加载 Elastic 安全预建规则时，Elastic 安全也会加载一系列预建时间线模板，您可以将其附加到检测规则。 通用 模板使用广泛的 KQL 查询来检索事件数据，而 综合 模板使用详细的 KQL 查询来检索更多信息。以下预建模板默认情况下会出现
- 涉及单个主机的警报时间线: 调查涉及单个主机的检测警报。
- 涉及单个用户的警报时间线: 调查涉及单个用户的检测警报。
- 通用端点时间线: 调查 Elastic Endpoint 检测警报。
- 通用网络时间线: 调查与网络相关的检测警报。
- 通用进程时间线: 调查与进程相关的检测警报。
- 通用威胁匹配时间线: 调查威胁指标匹配检测警报。
- 综合文件时间线: 调查与文件相关的检测警报。
- 综合网络时间线: 调查与网络相关的检测警报。
- 综合进程时间线: 调查与进程相关的检测警报。
- 综合注册表时间线: 调查与注册表相关的检测警报。
您可以 复制预建模板 并将其用作您自己的自定义模板的起点。
时间线模板图例编辑
在您向时间线模板添加过滤器时，项目会使用颜色编码来指示添加了哪种类型的过滤器。此外，您还可以将时间线过滤器更改为模板过滤器，以便构建您的模板。
- 常规时间线过滤器
-
单击 转换为模板字段 会将过滤器更改为模板过滤器
- 模板过滤器
-
当您 将模板转换为时间线 时，带有占位符的模板过滤器将被禁用
要启用过滤器，请指定一个值或将其更改为字段的现有过滤器（请参阅 编辑现有过滤器）。
创建时间线模板编辑
-
选择以下选项之一
- 转到 时间线 → 模板，然后单击 创建新的时间线模板.
- 转到时间线栏（位于大多数页面的底部），单击
按钮，然后单击 创建新的时间线模板. - 从打开的时间线或时间线模板中，单击 新建 → 新建时间线模板.
-
要添加过滤器，请单击 添加字段，然后选择所需选项
- 添加字段: 添加常规时间线过滤器。
-
添加模板字段: 添加带有值占位符的模板过滤器。
您还可以从 概述、主机、网络 和 警报 页面拖动并发送项目到模板。
- 单击 保存 以为模板命名并添加描述。
示例
要为特定主机的进程相关警报创建模板
- 添加主机名的常规过滤器：
host.name: "Linux_stafordshire-061" - 添加进程名称的模板过滤器：
process.name: "{process.name}"
当调查与该模板关联的规则生成的警报时，主机名为 Linux_stafordshire-061，而进程名称值取自警报的 process.name 字段。
管理现有时间线模板编辑
您可以查看、复制、导出、删除和从现有时间线创建模板
-
转到 时间线 → 模板.
-
单击相关行中的 所有操作 图标，然后选择操作
- 从模板创建时间线（请参阅 创建时间线模板）
- 复制模板
- 导出所选内容（请参阅 导出和导入时间线模板）
- 删除所选内容
- 从时间线创建查询规则（仅在时间线包含 KQL 查询时可用）
- 从时间线创建 EQL 规则（仅在时间线包含 EQL 查询时可用）
要对多个模板执行相同的操作，请选择模板，然后从 批量操作 菜单中选择所需操作。
您无法删除预建模板。
导出和导入时间线模板编辑
您可以导入和导出时间线模板，这使您可以将模板从一个 Kibana 空间或实例导入到另一个空间或实例。导出的模板保存在一个 ndjson 文件中。
- 转到 时间线 → 模板.
-
要导出模板，请执行以下操作之一
- 要导出一个模板，请单击相关行中的 所有操作 图标，然后选择 导出所选内容.
- 要导出多个模板，请选择所有所需模板，然后单击 批量操作 → 导出所选内容.
-
要导入模板，请单击 导入，然后选择或拖放模板
ndjson文件。文件中每个模板对象必须在一行中表示。多个模板对象用换行符分隔。
您无法导出预建模板。