收集 osquery 日志
本文档介绍了如何通过配置 osquery 来收集 osquery 日志 和 Google Security Operations 转发器。本文档还列出了支持的日志类型 以及支持的 osquery 版本。
如需了解详情，请参阅将数据注入到 Google Security Operations 中。
概览
以下部署架构图展示了 osquery 代理和舰队服务器如何运行 配置为向 Google Security Operations 发送日志。每个客户部署都可能 与此表示不同，并且可能更复杂。
架构图显示了以下组件：
Linux 系统：要监控的 Linux 系统（其中安装了 osquery 代理）
Microsoft Windows 系统：要监控的 Microsoft Windows 系统（其中安装了 osquery 代理）
Mac 系统：要监控的 Mac 系统，其中 osquery 代理 已安装
osquery 代理：从 Microsoft Windows、Linux 或 Mac 收集信息 并将信息转发到舰队服务器
舰队服务器：监控和接收来自 osquery 代理、分析日志并将日志转发到 Google Security Operations 转发器
Google Security Operations 转发器：一个轻量级 软件组件部署在客户的网络中，用于将日志转发到 Google Security Operations
Google Security Operations：保留和分析来自 Fleet 服务器的日志
提取标签用于标识将原始日志数据标准化的解析器
结构化 UDM 格式本文档中的信息适用于解析器
提取标签为 OSQUERY_EDR。
准备工作
安装 Fleet 服务器。如需安装 Fleet 服务器，请执行以下操作：
使用 Google Security Operations 解析器支持的 osquery 版本，即 5.2.3 和 5.3.0。
确保已配置部署架构中的所有系统 （采用世界协调时间 [UTC] 时区）。
确保舰队中的表名称与官方舰队文档一致。
配置 osquery 代理、服务器和 Google 安全运营转发器
如需配置舰队服务器和 Google Security Operations 转发器，请执行以下操作：
如需配置 Fleet 服务器，请执行以下操作：
将主机添加到 Fleet 服务器并安装 osquery 代理。 您可以使用 osquery 安装程序将主机添加到 Fleet 服务器。舰队服务器通过 audiencectl 软件包命令帮助生成 osquery 安装程序。
- 通过安装 fleetctl 命令行工具来执行 fleetctl 软件包命令。
- 使用 teamctl package 命令安装 osquery 代理。
在主机上安装生成的 osquery 安装程序时，主机会自动在指定的舰队实例中注册。
在中央 Linux 设备上配置 Google Security Operations 转发器，以将日志推送到 Google Security Operations 系统。如需了解详情，请参阅在 Linux 上安装和配置转发器。以下是 Google SecOps 转发器配置示例：
- file: common: enabled: true data_type: OSQUERY_EDR batch_n_seconds: 10 batch_n_bytes: 1048576 skip_seek_to_end: true file_path: <log_file_path>
字段映射参考文档
本部分介绍了 Google 安全运营解析器如何将 osquery 日志字段映射到架构和操作系统的 Google 安全运营统一数据模型 (UDM) 字段。如需了解详情，请参阅 5.2.3 版和 5.3.0 版的 osquery 架构。
account_policy_data
下表列出了架构 account_policy_data 和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| creation_time | principal.user.attribute.creation_time |
| failed_login_count | principal.user.attribute.labels.key/value |
| failed_login_timestamp | principal.user.attribute.labels.key/value |
| password_last_set_time | principal.user.attribute.labels.key/value |
ad_config
下表列出了架构 ad_config 和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 网域 | target.administrative_domain |
| 选项 | about.labels.key（已废弃） additional.fields.key |
| 值 | about.labels.value（已弃用） additional.fields.value.string_value |
alf
下表列出了架构 alf 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| allow_signed_enabled | about.labels.key/value（已弃用） additional.fields |
| firewall_unload | about.labels.key/value（已弃用） additional.fields |
| global_state | about.labels.key/value（已废弃） additional.fields |
| logging_enabled | about.labels.key/value（已弃用） additional.fields |
| logging_option | about.labels.key/value（已弃用） additional.fields |
| stealth_enabled | about.labels.key/value（已弃用） additional.fields |
| version | target.platform_version |
alf_exceptions
下表列出了架构 alf_exceptions 和 OS macOS 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| state | about.labels.key/value（已弃用） additional.fields |
alf_explicit_auths
下表列出了架构 alf_显式_auths 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 原始事件 | target.process.pid |
app_schemes
下表列出了架构 app_schemes 和 OS macOS 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| scheme | about.labels.key/value（已弃用） additional.fields |
| handler | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| 外部 | about.labels.key/value（已废弃） additional.fields |
| 受保护 | about.labels.key/value（已弃用） additional.fields |
apparmor_events
下表列出了架构 apparmor_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | security_result.rule_id |
| Apparmor | security_result.action |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| 父级 | target.process.parent_process.pid |
| 资料 | about.labels.key/value（已废弃） additional.fields |
| name | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| comm | target.process.command_line |
| denied_mask | about.labels.key/value（已废弃） additional.fields |
| capname | about.labels.key/value（已弃用） additional.fields |
| fsuid | target.user.attribute.labels.key/value |
| 乌伊德 | target.user.attribute.labels.key/value |
| capability | about.labels.key/value（已废弃） additional.fields |
| requested_mask | target.process.access_mask |
| 信息 | about.labels.key/value（已废弃） additional.fields |
| 错误 | security_result.summary |
| 命名空间 | about.labels.key/value（已弃用） additional.fields |
| 标签 | about.labels.key/value（已弃用） additional.fields |
apparmor_profiles
下表列出了架构 apparmor_profiles 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| name | target.resource.name |
| 挂接 | about.labels.key/value（已弃用） additional.fields |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| sha1 | target.file.sha1 |
应用
下表列出了架构应用和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | target.application |
| 路径 | target.file.full_path |
| bundle_executable | about.labels.key/value（已弃用） additional.fields |
| bundle_identifier | target.resource.product_object_id |
| bundle_name | target.resource.name |
| bundle_short_version | target.resource.attribute.labels.key/value |
| bundle_version | target.resource.attribute.labels.key/value |
| bundle_package_type | about.labels.key/value（已废弃） additional.fields |
| 环境 | about.labels.key/value（已弃用） additional.fields |
| 元素 | about.labels.key/value（已废弃） additional.fields |
| 编译器 | about.labels.key/value（已弃用） additional.fields |
| development_region | about.location.country_or_region |
| display_name | about.labels.key/value（已弃用） additional.fields |
| info_string | about.labels.key/value（已废弃） additional.fields |
| minimum_system_version | about.labels.key/value（已弃用） additional.fields |
| category | about.labels.key/value（已废弃） additional.fields |
| applescript_enabled | about.labels.key/value（已弃用） additional.fields |
| 版权 | about.labels.key/value（已弃用） additional.fields |
| last_opened_time | target.file.last_seen_time |
asl
下表列出了架构 asl 和操作系统 macOS 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| time_nano_sec | about.labels.key/value（已废弃） additional.fields |
| 主机 | target.hostname |
| sender | about.labels.key/value（已废弃） additional.fields |
| 设施 | about.labels.key/value（已废弃） additional.fields |
| pid | target.process.pid |
| GID | target.user.group_identifiers |
| uid | target.user.userid |
| level | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| ref_pid | about.labels.key/value（已弃用） additional.fields |
| ref_proc | about.labels.key/value（已弃用） additional.fields |
| extra | about.labels.key/value（已弃用） additional.fields |
authenticode
下表列出了架构授权码和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| original_program_name | about.labels.key/value（已废弃） additional.fields |
| serial_number | network.tls.client.certificate.serial |
| issuer_name | network.tls.client.certificate.issuer |
| subject_name | network.tls.client.certificate.subject |
| 结果 | security_result.summary |
authorization_mechanisms
下表列出了架构 authorization_mechanisms 和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 标签 | about.labels.key/value（已弃用） additional.fields |
| plugin | about.labels.key/value（已弃用） additional.fields |
| 机制 | about.labels.key/value（已弃用） additional.fields |
| 特权 | 具有特权的 | about.labels.key/value（已弃用） additional.fields |
| 入口 | about.labels.key/value（已弃用） additional.fields |
授权
下表列出了架构授权和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 标签 | about.labels.key/value（已弃用） additional.fields |
| 修改 | about.labels.key/value（已废弃） additional.fields |
| allow_root | about.labels.key/value（已废弃） additional.fields |
| timeout | about.labels.key/value（已弃用） additional.fields |
| version | about.labels.key/value（已弃用） additional.fields |
| 尝试 | about.labels.key/value（已弃用） additional.fields |
| authenticate_user | about.labels.key/value（已弃用） additional.fields |
| 共享 | about.labels.key/value（已弃用） additional.fields |
| 评论 | about.labels.key/value（已废弃） additional.fields |
| 创建时间 | about.labels.key/value（已弃用） additional.fields |
| class | about.labels.key/value（已废弃） additional.fields |
| session_owner | about.labels.key/value（已弃用） additional.fields |
autoexec
下表列出了架构 autoexec 和操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| name | target.application |
| 来源 | target.resource.name |
bitlocker_info
下表列出了架构 bitlocker_info 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| device_id | target.resource.product_object_id |
| drive_letter | target.resource.name |
| persistent_volume_id | about.labels.key/value（已弃用） additional.fields |
| conversion_status | target.resource.attirbute.labels.key/value |
| protection_status | target.resource.attirbute.labels.key/value |
| encryption_method | target.resource.attirbute.labels.key/value |
| version | metadata.product_version |
| percentage_encrypted | target.resource.attirbute.labels.key/value |
| lock_status | target.resource.attirbute.labels.key/value |
bpf_process_events
下表列出了架构 bpf_process_events 和操作系统 Linux 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| tid | about.labels.key/value（已废弃） additional.fields |
| pid | target.process.pid |
| 父级 | target.process.parent_process.pid |
| uid | principal.user.userid |
| GID | principal.group.product_object_id |
| cid | about.labels.key/value（已废弃） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| probe_error | about.labels.key/value（已弃用） additional.fields |
| syscall | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| cwd | about.labels.key/value（已废弃） additional.fields |
| cmdline | target.process.command_line |
| 时长 | about.labels.key/value（已弃用） additional.fields |
| json_cmdline | about.labels.key/value（已弃用） additional.fields |
| ntime | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
bpf_socket_events
下表列出了架构 bpf_socket_events 和操作系统 Linux 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| tid | about.labels.key/value（已废弃） additional.fields |
| pid | principal.process.pid |
| 父级 | principal.process.parent_process.pid |
| uid | principal.user.userid |
| GID | principal.group.product_object_id |
| cid | about.labels.key/value（已废弃） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| probe_error | about.labels.key/value（已弃用） additional.fields |
| syscall | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| 文件描述符 | about.labels.key/value（已废弃） additional.fields |
| 系列 | about.labels.key/value（已废弃） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| 时长 | about.labels.key/value（已弃用） additional.fields |
| ntime | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
certificates
下表列出了架构证书和 OS macOS 和 Windows 操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| common_name | about.labels.key/value（已废弃） additional.fields |
| subject | network.tls.client.certificate.subject |
| issuer | network.tls.client.certificate.issuer |
| ca | about.labels.key/value（已弃用） additional.fields |
| self_signed | about.labels.key/value（已弃用） additional.fields |
| not_valid_before | network.tls.client.certificate.not_before |
| not_valid_after | network.tls.client.certificate.not_after |
| signing_algorithm | about.labels.key/value（已弃用） additional.fields |
| key_algorithm | about.labels.key/value（已弃用） additional.fields |
| key_strength | about.labels.key/value（已弃用） additional.fields |
| key_usage | about.labels.key/value（已弃用） additional.fields |
| subject_key_id | about.labels.key/value（已废弃） additional.fields |
| authority_key_id | about.labels.key/value（已弃用） additional.fields |
| sha1 | network.tls.client.certificate.sha1 |
| 路径 | about.labels.key/value（已弃用） additional.fields |
| serial | network.tls.client.certificate.serial |
| SID | about.labels.key/value（已废弃） additional.fields |
| store_location | about.labels.key/value（已弃用） additional.fields |
| 存储区 | about.labels.key/value（已废弃） additional.fields |
| 用户名 | principal.user.user_display_name |
| store_id | about.labels.key/value（已废弃） additional.fields |
chassis_info
下表列出了架构 chassis_info 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| audible_alarm | about.labels.key/value（已废弃） additional.fields |
| breach_description | security_result.description |
| chassis_types | about.labels.key/value（已弃用） additional.fields |
| 说明 | metadata.description |
| 锁定 | about.labels.key/value（已弃用） additional.fields |
| 制造商 | principal.asset.hardware.manufacturer |
| 模型 | principal.asset.hardware.model |
| security_breach | security_result.detection_fields.key/value |
| serial | principal.asset.hardware.serial_number |
| smbios_tag | about.labels.key/value（已弃用） additional.fields |
| SKU | about.labels.key/value（已废弃） additional.fields |
| 状态 | about.labels.key/value（已弃用） additional.fields |
| visible_alarm | about.labels.key/value（已弃用） additional.fields |
chrome_extensions
下表列出了架构 chrome_extensions 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| browser_type | target.resource.attribute.labels.key/value |
| uid | principal.user.userid |
| name | target.resource.name |
| 资料 | target.resource.attribute.labels.key/value |
| profile_path | target.resource.attribute.labels.key/value |
| referenced_identifier | target.resource.attribute.labels.key/value |
| identifier | target.resource.attribute.labels.key/value |
| version | target.resource.attribute.labels.key/value |
| 说明 | target.resource.attribute.labels.key/value |
| default_locale | target.resource.attribute.labels.key/value |
| current_locale | target.resource.attribute.labels.key/value |
| update_url | network.http.referral_url |
| 作者 | target.resource.attribute.labels.key/value |
| 永久 | target.resource.attribute.labels.key/value |
| 路径 | target.file.full_path |
| 权限 | target.resource.attribute.labels.key/value |
| permissions_json | target.resource.attribute.labels.key/value |
| optional_permissions | target.resource.attribute.labels.key/value |
| optional_permissions_json | target.resource.attribute.labels.key/value |
| manifest_hash | target.resource.attribute.labels.key/value |
| 引用的 | target.resource.attribute.labels.key/value |
| from_webstore | target.resource.attribute.labels.key/value |
| state | target.resource.attribute.labels.key/value |
| install_time | target.resource.attribute.labels.key/value |
| install_timestamp | target.resource.attribute.labels.key/value |
| manifest_json | target.resource.attribute.labels.key/value |
| 键 | target.resource.attribute.labels.key/value |
连接性
下表列出了架构连接性和操作系统 Windows 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 已断开连接 | about.labels.key/value（已废弃） additional.fields |
| ipv4_no_traffic | about.labels.key/value（已废弃） additional.fields |
| ipv6_no_traffic | about.labels.key/value（已弃用） additional.fields |
| ipv4_subnet | about.labels.key/value（已废弃） additional.fields |
| ipv4_local_network | about.labels.key/value（已废弃） additional.fields |
| ipv4_internet | about.labels.key/value（已弃用） additional.fields |
| ipv6_subnet | about.labels.key/value（已弃用） additional.fields |
| ipv6_local_network | about.labels.key/value（已弃用） additional.fields |
| ipv6_internet | about.labels.key/value（已弃用） additional.fields |
cpu_info
下表列出了架构 cpu_info 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| device_id | principal.asset.product_object_id |
| 模型 | principal.asset.hardware.model |
| 制造商 | principal.asset.hardware.manufacturer |
| processor_type | about.labels.key/value（已废弃） additional.fields |
| 库存状况 | about.labels.key/value（已废弃） additional.fields |
| cpu_status | about.labels.key/value（已废弃） additional.fields |
| number_of_cores | principal.asset.hardware.cpu_number_cores |
| logical_processors | about.labels.key/value（已弃用） additional.fields |
| address_width | about.labels.key/value（已废弃） additional.fields |
| current_clock_speed | principal.asset.hardware.cpu_clock_speed |
| max_clock_speed | principal.asset.hardware.cpu_max_clock_speed |
| socket_designation | about.labels.key/value（已废弃） additional.fields |
崩溃
下表列出了架构崩溃和操作系统 macOS 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| crash_path | target.file.full_path |
| identifier | about.labels.key/value（已弃用） additional.fields |
| version | about.labels.key/value（已弃用） additional.fields |
| 父级 | target.process.parent_process.pid |
| 负责 | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| 日期时间 | metadata.event_timestamp |
| crashed_thread | about.labels.key/value（已弃用） additional.fields |
| stack_trace | about.labels.key/value（已弃用） additional.fields |
| exception_type | about.labels.key/value（已弃用） additional.fields |
| exception_codes | about.labels.key/value（已弃用） additional.fields |
| exception_notes | about.labels.key/value（已废弃） additional.fields |
| 寄存器 | about.labels.key/value（已废弃） additional.fields |
crontab
下表列出了架构 crontab 和操作系统 Linux、macOS、freebsd 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 事件 | about.labels.key/value（已弃用） additional.fields |
| 分钟 | about.labels.key/value（已废弃） additional.fields |
| 小时 | about.labels.key/value（已弃用） additional.fields |
| day_of_month | about.labels.key/value（已弃用） additional.fields |
| 月 | about.labels.key/value（已弃用） additional.fields |
| day_of_week | about.labels.key/value（已废弃） additional.fields |
| command | principal.process.command_line |
| 路径 | principal.process.file.full_path |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
curl
下表列出了架构 curl 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 网址 | network.http.referral_url |
| method | network.http.method |
| user_agent | network.http.user_agent |
| response_code | network.http.response_code |
| round_trip_time | network.session_duration |
| 字节 | network.received_bytes |
| 结果 | about.labels.key/value（已弃用） additional.fields |
curl_certificate
下表列出了架构 curl_certificate 以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 主机名 | principal.hostname |
| common_name | about.labels.key/value（已废弃） additional.fields |
| 组织 | network.organization_name |
| organization_unit | about.labels.key/value（已弃用） additional.fields |
| serial_number | network.tls.server.certificate.serial |
| issuer_common_name | about.labels.key/value（已弃用） additional.fields |
| issuer_organization | network.tls.server.certificate.issuer |
| issuer_organization_unit | about.labels.key/value（已废弃） additional.fields |
| valid_from | network.tls.server.certificate.not_before |
| valid_to | network.tls.server.certificate.not_after |
| sha256_fingerprint | network.tls.server.certificate.sha256 |
| sha1_fingerprint | network.tls.server.certificate.sha1 |
| version | network.tls.server.certificate.version |
| signature_algorithm | about.labels.key/value（已废弃） additional.fields |
| signature | about.labels.key/value（已废弃） additional.fields |
| subject_key_identifier | about.labels.key/value（已弃用） additional.fields |
| authority_key_identifier | about.labels.key/value（已弃用） additional.fields |
| key_usage | about.labels.key/value（已弃用） additional.fields |
| extended_key_usage | about.labels.key/value（已废弃） additional.fields |
| 政策 | about.labels.key/value（已废弃） additional.fields |
| subject_alternative_names | about.labels.key/value（已弃用） additional.fields |
| issuer_alternative_names | about.labels.key/value（已弃用） additional.fields |
| info_access | about.labels.key/value（已废弃） additional.fields |
| subject_info_access | about.labels.key/value（已废弃） additional.fields |
| policy_mappings | about.labels.key/value（已废弃） additional.fields |
| has_expired | about.labels.key/value（已弃用） additional.fields |
| basic_constraint | about.labels.key/value（已弃用） additional.fields |
| name_constraints | about.labels.key/value（已废弃） additional.fields |
| policy_constraints | about.labels.key/value（已废弃） additional.fields |
| dump_certificate | about.labels.key/value（已弃用） additional.fields |
| timeout | about.labels.key/value（已弃用） additional.fields |
| pem | about.labels.key/value（已废弃） additional.fields |
device_file
下表列出了架构 device_file 和 OS Linux、macOS、freebsd 和 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device | about.labels.key/value（已废弃） additional.fields |
| partition | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| filename | target.file.names |
| inode | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| 大小 | target.file.size |
| block_size | about.labels.key/value（已弃用） additional.fields |
| 每次 | about.labels.key/value（已废弃） additional.fields |
| Mtime | target.file.last_modification_time |
| ctime | about.labels.key/value（已弃用） additional.fields |
| hard_links | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
device_hash
下表列出了架构 device_hash 和操作系统 Linux、macOS、freebsd、Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device | target.file.full_path |
| partition | about.labels.key/value（已弃用） additional.fields |
| inode | about.labels.key/value（已弃用） additional.fields |
| md5 | target.file.md5 |
| sha1 | target.file.sha1 |
| sha256 | target.file.sha56 |
disk_info
下表列出了架构 disk_info 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 分区 | principal.asset.attribute.labels.key/value |
| disk_index | principal.asset.attribute.labels.key/value |
| 类型 | principal.asset.attribute.labels.key/value |
| id | principal.asset.product_object_id |
| pnp_device_id | about.labels.key/value（已废弃） additional.fields |
| disk_size | principal.asset.attribute.labels.key/value |
| 制造商 | principal.asset.hardware.manufacturer |
| hardware_model | principal.asset.hardware.model |
| name | principal.asset.attribute.labels.key/value |
| serial | principal.asset.hardware.serial_number |
| 说明 | principal.asset.attribute.labels.key/value |
dns_cache
下表列出了架构 dns_cache 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | network.dns.additional.name |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已废弃） additional.fields |
dns_resolvers
下表列出了架构 dns_resolvers 和操作系统 Linux、macOS、freebsd 的日志字段以及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 地址 | principal.ip |
| 网络掩码 | about.labels.key/value（已弃用） additional.fields |
| 选项 | about.labels.key/value（已废弃） additional.fields |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
docker_container_networks
下表列出了架构 docker_container_networks 和操作系统 Linux、macOS、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| name | network.carrier_name |
| network_id | about.labels.key/value（已废弃） additional.fields |
| endpoint_id | about.labels.key/value（已废弃） additional.fields |
| 网关 | about.labels.key/value（已废弃） additional.fields |
| ip_address | target.ip |
| ip_prefix_len | about.labels.key/value（已废弃） additional.fields |
| ipv6_gateway | about.labels.key/value（已弃用） additional.fields |
| ipv6_address | target.ip |
| ipv6_prefix_len | about.labels.key/value（已弃用） additional.fields |
| mac_address | target.mac |
docker_container_ports
下表列出了架构 docker_container_ports 和操作系统 Linux、macOS、freebsd 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| 类型 | network.ip_protocol |
| 端口 | target.port |
| host_ip | principal.ip |
| host_port | principal.port |
docker_container_processes
下表列出了架构 docker_container_processes 以及操作系统 Linux、macOS、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| pid | target.process.pid |
| name | target.process.file.full_path |
| cmdline | target.process.command_line |
| state | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| euid | target.user.attribute.labels.key/value |
| egid | target.group.attribute.labels.key/value |
| suid | target.user.attribute.labels.key/value |
| sgid | target.group.attribute.labels.key/value |
| wired_size | about.labels.key/value（已弃用） additional.fields |
| resident_size | about.labels.key/value（已废弃） additional.fields |
| total_size | about.labels.key/value（已弃用） additional.fields |
| start_time | about.labels.key/value（已废弃） additional.fields |
| 父级 | target.process.parent_process.pid |
| Pgroup | about.labels.key/value（已废弃） additional.fields |
| threads | about.labels.key/value（已废弃） additional.fields |
| nice | about.labels.key/value（已废弃） additional.fields |
| 用户 | target.user.user_display_name |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| CPU | about.labels.key/value（已废弃） additional.fields |
| 内存 | about.labels.key/value（已废弃） additional.fields |
docker_container_stats
下表列出了架构 docker_container_stats 和操作系统 Linux、macOS、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| name | target.resource.name |
| pid | about.labels.key/value（已废弃） additional.fields |
| read | about.labels.key/value（已弃用） additional.fields |
| 预读 | about.labels.key/value（已弃用） additional.fields |
| interval | about.labels.key/value（已废弃） additional.fields |
| disk_read | about.labels.key/value（已废弃） additional.fields |
| disk_write | about.labels.key/value（已弃用） additional.fields |
| num_procs | about.labels.key/value（已废弃） additional.fields |
| cpu_total_usage | about.labels.key/value（已废弃） additional.fields |
| cpu_kernelmode_usage | about.labels.key/value（已弃用） additional.fields |
| cpu_usermode_usage | about.labels.key/value（已弃用） additional.fields |
| system_cpu_usage | about.labels.key/value（已弃用） additional.fields |
| online_cpus | about.labels.key/value（已废弃） additional.fields |
| pre_cpu_total_usage | about.labels.key/value（已废弃） additional.fields |
| pre_cpu_kernelmode_usage | about.labels.key/value（已废弃） additional.fields |
| pre_cpu_usermode_usage | about.labels.key/value（已弃用） additional.fields |
| pre_system_cpu_usage | about.labels.key/value（已弃用） additional.fields |
| pre_online_cpus | about.labels.key/value（已弃用） additional.fields |
| memory_usage | about.labels.key/value（已弃用） additional.fields |
| memory_max_usage | about.labels.key/value（已废弃） additional.fields |
| memory_limit | about.labels.key/value（已弃用） additional.fields |
| network_rx_bytes | about.labels.key/value（已废弃） additional.fields |
| network_tx_bytes | about.labels.key/value（已弃用） additional.fields |
docker_info
下表列出了架构 docker_info 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| 容器 | about.labels.key/value（已弃用） additional.fields |
| containers_running | about.labels.key/value（已废弃） additional.fields |
| containers_paused | about.labels.key/value（已废弃） additional.fields |
| containers_stopped | about.labels.key/value（已弃用） additional.fields |
| 图片 | about.labels.key/value（已废弃） additional.fields |
| storage_driver | about.labels.key/value（已弃用） additional.fields |
| memory_limit | about.labels.key/value（已弃用） additional.fields |
| swap_limit | about.labels.key/value（已弃用） additional.fields |
| kernel_memory | about.labels.key/value（已废弃） additional.fields |
| cpu_cfs_period | about.labels.key/value（已弃用） additional.fields |
| cpu_cfs_quota | about.labels.key/value（已废弃） additional.fields |
| cpu_shares | about.labels.key/value（已废弃） additional.fields |
| cpu_set | about.labels.key/value（已废弃） additional.fields |
| ipv4_forwarding | about.labels.key/value（已废弃） additional.fields |
| bridge_nf_iptables | about.labels.key/value（已废弃） additional.fields |
| bridge_nf_ip6tables | about.labels.key/value（已弃用） additional.fields |
| oom_kill_disable | about.labels.key/value（已弃用） additional.fields |
| logging_driver | about.labels.key/value（已弃用） additional.fields |
| cgroup_driver | about.labels.key/value（已废弃） additional.fields |
| kernel_version | about.labels.key/value（已弃用） additional.fields |
| os | about.labels.key/value（已弃用） additional.fields |
| os_type | target.platform(enum) |
| 架构 | about.labels.key/value（已弃用） additional.fields |
| CPU | about.labels.key/value（已弃用） additional.fields |
| 内存 | about.labels.key/value（已废弃） additional.fields |
| http_proxy | about.labels.key/value（已弃用） additional.fields |
| https_proxy | about.labels.key/value（已弃用） additional.fields |
| no_proxy | about.labels.key/value（已弃用） additional.fields |
| name | target.hostname |
| server_version | target.platform_version |
| root_dir | target.file.full_path |
docker_network_labels
下表列出了架构 docker_network_labels 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| 键 | target.resource.attribute.labels.key/value |
| 值 | about.labels.key/value（已弃用） additional.fields |
docker_networks
下表列出了架构 docker_networks 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| name | about.labels.key/value（已弃用） additional.fields |
| 司机 | about.labels.key/value（已弃用） additional.fields |
| 创建时间 | target.resource.attribute.creation_time |
| enable_ipv6 | about.labels.key/value（已弃用） additional.fields |
| 子网 | about.labels.key/value（已弃用） additional.fields |
| 网关 | about.labels.key/value（已废弃） additional.fields |
ec2_instance_metadata
下表列出了架构 ec2_instance_metadata 以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| instance_id | target.resource.product_object_id |
| instance_type | about.labels.key/value（已废弃） additional.fields |
| 架构 | about.labels.key/value（已弃用） additional.fields |
| 区域 | target.location.country_or_region |
| availability_zone | about.labels.key/value（已废弃） additional.fields |
| local_hostname | target.hostname |
| local_ipv4 | target.ip |
| mac | target.mac |
| security_groups | about.labels.key/value（已弃用） additional.fields |
| iam_arn | about.labels.key/value（已废弃） additional.fields |
| ami_id | about.labels.key/value（已弃用） additional.fields |
| reservation_id | about.labels.key/value（已弃用） additional.fields |
| account_id | target.user.userid |
| ssh_public_key | about.labels.key/value（已弃用） additional.fields |
es_process_events
下表列出了架构 es_process_events 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| version | target.platform_version |
| seq_num | about.labels.key/value（已弃用） additional.fields |
| global_seq_num | about.labels.key/value（已废弃） additional.fields |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| 父级 | target.process.parent_process.pid |
| original_parent | about.labels.key/value（已废弃） additional.fields |
| cmdline | target.process.command_line |
| cmdline_count | about.labels.key/value（已弃用） additional.fields |
| env | about.labels.key/value（已弃用） additional.fields |
| env_count | about.labels.key/value（已废弃） additional.fields |
| cwd | about.labels.key/value（已废弃） additional.fields |
| uid | target.user.userid |
| EUID | about.labels.key/value（已弃用） additional.fields |
| GID | target.group.product_object_id |
| egid | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| signing_id | about.labels.key/value（已弃用） additional.fields |
| team_id | about.labels.key/value（已废弃） additional.fields |
| cdhash | about.labels.key/value（已废弃） additional.fields |
| platform_binary | about.labels.key/value（已废弃） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| child_pid | about.labels.key/value（已废弃） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| event_type | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
etc_hosts
下表列出了架构 etc_hosts 以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 地址 | target.ip |
| 主机名 | about.hostname |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
etc_protocols
下表列出了架构 etc_protocols 以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | network.ip_protocol |
| 数字 | about.labels.key/value（已弃用） additional.fields |
| alias | about.labels.key/value（已弃用） additional.fields |
| 评论 | about.labels.key/value（已废弃） additional.fields |
etc_services
下表列出了架构 etc_services 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | target.resource.name |
| 端口 | target.port |
| 协议 | network.ip_protocol |
| aliases | about.labels.key/value（已弃用） additional.fields |
| 评论 | about.labels.key/value（已废弃） additional.fields |
文件
下表列出了架构文件以及 OS macOS、Linux、Windows 和 freebsd 版本的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| filename | target.file.names |
| inode | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| device | target.asset.asset_id |
| 大小 | target.file.size |
| block_size | about.labels.key/value（已弃用） additional.fields |
| 每次 | target.file.last_seen_time |
| mtime | target.file.last_modification_time |
| ctime | about.labels.key/value（已弃用） additional.fields |
| btime | about.labels.key/value（已弃用） additional.fields |
| hard_links | about.labels.key/value（已弃用） additional.fields |
| 符号链接 | about.labels.key/value（已废弃） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| attributes | about.labels.key/value（已弃用） additional.fields |
| volume_serial | about.labels.key/value（已弃用） additional.fields |
| file_id | about.labels.key/value（已弃用） additional.fields |
| file_version | about.labels.key/value（已弃用） additional.fields |
| product_version | about.labels.key/value（已废弃） additional.fields |
| bsd_flags | about.labels.key/value（已废弃） additional.fields |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
| mount_namespace_id | about.labels.key/value（已废弃） additional.fields |
file_events
下表列出了架构 file_events 和操作系统 Linux 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| pid | principal.process.pid |
| ppid | principal.process.parent_process.pid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 可执行 | about.labels.key/value（已废弃） additional.fields |
| 部分 | about.labels.key/value（已废弃） additional.fields |
| cwd | about.labels.key/value（已废弃） additional.fields |
| 路径 | src.file.full_path |
| dest_path | target.file.full_path |
| uid | principal.user.userid |
| GID | principal.group.product_object_id |
| Auid | about.labels.key/value（已弃用） additional.fields |
| euid | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| fsuid | about.labels.key/value（已废弃） additional.fields |
| FSGID | about.labels.key/value（已弃用） additional.fields |
| suid | about.labels.key/value（已废弃） additional.fields |
| sgid | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
接待员
下表列出了架构守门器和操作系统 macOS 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| assessments_enabled | about.labels.key/value（已弃用） additional.fields |
| dev_id_enabled | about.labels.key/value（已弃用） additional.fields |
| version | target.asset.software.version |
| opaque_version | about.labels.key/value（已废弃） additional.fields |
gatekeeper_approved_apps
下表列出了架构 gatekeeper_Approved_apps 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 要求 | about.labels.key/value（已弃用） additional.fields |
| ctime | about.labels.key/value（已弃用） additional.fields |
| mtime | target.resource.attribute.last_update_time |
群组
下表列出了架构组和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| GID | target.group.attribute.labels.key/value |
| gid_signed | target.group.attribute.labels.key/value |
| 群组名称 | target.group.group_display_name |
| group_sid | target.group.product_object_id |
| 评论 | target.group.attribute.labels.key/value |
| is_hidden | target.group.attribute.labels.key/value |
| pid_with_namespace | target.group.attribute.labels.key/value |
hardware_events
下表列出了架构 hardware_events 和 OS Linux 和 macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | security_result.action_details |
| 路径 | target.asset.attribute.labels.key/value |
| 类型 | target.asset.attribute.labels.key/value |
| 司机 | target.asset.attribute.labels.key/value |
| vendor | target.asset.attribute.labels.key/value |
| vendor_id | target.asset.attribute.labels.key/value |
| 模型 | target.asset.hardware.model |
| model_id | target.asset.attribute.labels.key/value |
| serial | target.asset.attribute.labels.key/value |
| 修订版本 | target.asset.attribute.labels.key/value |
| 时间 | metadata.event_timestamp |
| EID | metadata.product_log_id |
哈希
下表列出了架构哈希和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| md5 | target.file.md5 |
| sha1 | target.file.sha1 |
| sha256 | target.file.sha256 |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
| mount_namespace_id | about.labels.key/value（已废弃） additional.fields |
interface_addresses
下表列出了架构 interface_addresses 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 接口 | about.labels.key/value（已弃用） additional.fields |
| 地址 | target.ip |
| 遮盖 | about.labels.key/value（已废弃） additional.fields |
| 广播 | about.labels.key/value（已弃用） additional.fields |
| point_to_point | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| friendly_name | about.labels.key/value（已弃用） additional.fields |
interface_details
下表列出了架构 interface_details 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 接口 | about.labels.key/value（已弃用） additional.fields |
| mac | target.mac |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| mtu | about.labels.key/value（已弃用） additional.fields |
| 指标 | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已废弃） additional.fields |
| ipackets | about.labels.key/value（已弃用） additional.fields |
| opackets | about.labels.key/value（已废弃） additional.fields |
| iB | network.sent_bytes |
| 字节 | network.received_bytes |
| ierrors | about.labels.key/value（已弃用） additional.fields |
| oerrors | about.labels.key/value（已废弃） additional.fields |
| idrop | about.labels.key/value（已废弃） additional.fields |
| odrops | about.labels.key/value（已废弃） additional.fields |
| 碰撞 | about.labels.key/value（已废弃） additional.fields |
| last_change | about.labels.key/value（已废弃） additional.fields |
| link_speed | about.labels.key/value（已废弃） additional.fields |
| pci_slot | about.labels.key/value（已废弃） additional.fields |
| friendly_name | about.labels.key/value（已弃用） additional.fields |
| 说明 | about.labels.key/value（已弃用） additional.fields |
| 制造商 | target.asset.hardware.manufacturer |
| connection_id | about.labels.key/value（已废弃） additional.fields |
| connection_status | about.labels.key/value（已废弃） additional.fields |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| physical_adapter | about.labels.key/value（已废弃） additional.fields |
| 速度 | about.labels.key/value（已废弃） additional.fields |
| 服务 | target.application |
| dhcp_enabled | about.labels.key/value（已弃用） additional.fields |
| dhcp_lease_expires | network.dhcp.lease_time_seconds |
| dhcp_lease_obtained | about.labels.key/value（已废弃） additional.fields |
| dhcp_server | network.dhcp.yiaddr |
| dns_domain | network.dns.questions.name |
| dns_domain_suffix_search_order | about.labels.key/value（已弃用） additional.fields |
| dns_host_name | about.labels.key/value（已弃用） additional.fields |
| dns_server_search_order | about.labels.key/value（已废弃） additional.fields |
interface_ipv6
下表列出了架构 interface_ipv6 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 接口 | about.labels.key/value（已弃用） additional.fields |
| hop_limit | about.labels.key/value（已弃用） additional.fields |
| forwarding_enabled | about.labels.key/value（已弃用） additional.fields |
| redirect_accept | about.labels.key/value（已废弃） additional.fields |
| rtadv_accept | about.labels.key/value（已弃用） additional.fields |
iptables
下表列出了架构 iptables 和 OS Linux 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| filter_name | about.labels.key/value（已弃用） additional.fields |
| 链 | about.labels.key/value（已废弃） additional.fields |
| policy | about.labels.key/value（已弃用） additional.fields |
| 目标 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| src_port | src.port |
| dst_port | target.port |
| src_ip | src.ip |
| src_mask | about.labels.key/value（已弃用） additional.fields |
| iniface | about.labels.key/value（已弃用） additional.fields |
| iniface_mask | about.labels.key/value（已弃用） additional.fields |
| dst_ip | target.ip |
| dst_mask | about.labels.key/value（已弃用） additional.fields |
| outiface | about.labels.key/value（已废弃） additional.fields |
| outiface_mask | about.labels.key/value（已弃用） additional.fields |
| 匹配 | about.labels.key/value（已弃用） additional.fields |
| 数据包 | about.labels.key/value（已弃用） additional.fields |
| 字节 | network.received_bytes |
kernel_panics
下表列出了架构 kernel_panics 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 寄存器 | about.labels.key/value（已废弃） additional.fields |
| frame_backtrace | about.labels.key/value（已弃用） additional.fields |
| module_backtrace | about.labels.key/value（已废弃） additional.fields |
| 依赖项 | about.labels.key/value（已弃用） additional.fields |
| name | target.process.command_line |
| os_version | target.platform_version |
| kernel_version | about.labels.key/value（已弃用） additional.fields |
| system_model | target.asset.hardware.model |
| uptime | about.labels.key/value（已弃用） additional.fields |
| last_loaded | about.labels.key/value（已废弃） additional.fields |
| last_unloaded | about.labels.key/value（已废弃） additional.fields |
keychain_acls
下表列出了架构 keychain_acls 和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| keychain_path | about.labels.key/value（已弃用） additional.fields |
| 授权 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| 说明 | metadata.description |
| 标签 | about.labels.key/value（已弃用） additional.fields |
known_hosts
下表列出了架构 known_hosts 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | target.user.userid |
| 键 | about.labels.key/value（已废弃） additional.fields |
| key_file | target.file.full_path |
最后一
下表列出了架构 last 和 OS Linux、macOS、freebsd 对应的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 用户名 | target.user.user_display_name |
| tty | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| type_name | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
listening_ports
下表列出了架构 listen_ports 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| pid | target.process.pid |
| 端口 | target.port |
| 协议 | network.ip_protocol |
| 系列 | about.labels.key/value（已废弃） additional.fields |
| 地址 | target.ip |
| fd | about.labels.key/value（已废弃） additional.fields |
| socket | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| net_namespace | about.labels.key/value（已废弃） additional.fields |
logged_in_users
下表列出了架构 logged_in_users 以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 用户 | target.user.userid |
| tty | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| SID | about.labels.key/value（已废弃） additional.fields |
| registry_hive | about.labels.key/value（已废弃） additional.fields |
logon_sessions
下表列出了架构 logon_sessions 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| logon_id | about.labels.key/value（已废弃） additional.fields |
| 用户 | target.user.user_display_name |
| logon_domain | about.labels.key/value（已废弃） additional.fields |
| authentication_package | about.labels.key/value（已弃用） additional.fields |
| logon_type | about.labels.key/value（已废弃） additional.fields |
| session_id | network.session_id |
| logon_sid | about.labels.key/value（已弃用） additional.fields |
| logon_time | about.labels.key/value（已废弃） additional.fields |
| logon_server | about.labels.key/value（已弃用） additional.fields |
| dns_domain_name | network.dns_domain |
| Upn | about.labels.key/value（已弃用） additional.fields |
| logon_script | about.labels.key/value（已弃用） additional.fields |
| profile_path | target.file.full_path |
| home_directory | about.labels.key/value（已弃用） additional.fields |
| home_directory_drive | about.labels.key/value（已弃用） additional.fields |
lxd_certificates
下表列出了架构 lxd_certificates 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | security_result.detection_fields.key/value |
| 类型 | security_result.detection_fields.key/value |
| 指纹 | security_result.detection_fields.key/value |
| 证书 | security_result.detection_fields.key/value |
lxd_networks
下表列出了架构 lxd_networks 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| managed | about.labels.key/value（已弃用） additional.fields |
| ipv4_address | about.labels.key/value（已弃用） additional.fields |
| ipv6_address | about.labels.key/value（已废弃） additional.fields |
| used_by | about.labels.key/value（已废弃） additional.fields |
| bytes_received | network.received_bytes |
| bytes_sent | network.sent_bytes |
| packets_received | about.labels.key/value（已弃用） additional.fields |
| packets_sent | about.labels.key/value（已弃用） additional.fields |
| hwaddr | about.labels.key/value（已废弃） additional.fields |
| state | about.labels.key/value（已弃用） additional.fields |
| mtu | about.labels.key/value（已弃用） additional.fields |
managed_policies
下表列出了架构 managed_policies 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 网域 | target.administrative_domain |
| uuid | about.labels.key/value（已弃用） additional.fields |
| name | about.labels.key/value（已弃用） additional.fields |
| 值 | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| 手动 | about.labels.key/value（已弃用） additional.fields |
memory_devices
下表列出了架构 memory_devices 和操作系统 Linux、macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 句柄 | about.labels.key/value（已废弃） additional.fields |
| array_handle | about.labels.key/value（已弃用） additional.fields |
| form_factor | about.labels.key/value（已废弃） additional.fields |
| total_width | about.labels.key/value（已废弃） additional.fields |
| data_width | about.labels.key/value（已弃用） additional.fields |
| 大小 | about.labels.key/value（已废弃） additional.fields |
| 设置 | about.labels.key/value（已弃用） additional.fields |
| device_locator | about.labels.key/value（已弃用） additional.fields |
| bank_locator | about.labels.key/value（已弃用） additional.fields |
| memory_type | about.labels.key/value（已弃用） additional.fields |
| memory_type_details | about.labels.key/value（已弃用） additional.fields |
| max_speed | about.labels.key/value（已弃用） additional.fields |
| configured_clock_speed | about.labels.key/value（已弃用） additional.fields |
| 制造商 | target.asset.hardware.manufacturer |
| serial_number | target.asset.hardware.serial_number |
| asset_tag | target.asset.asset_id |
| part_number | about.labels.key/value（已弃用） additional.fields |
| min_voltage | about.labels.key/value（已废弃） additional.fields |
| max_voltage | about.labels.key/value（已弃用） additional.fields |
| configured_voltage | about.labels.key/value（已弃用） additional.fields |
ntdomains
下表列出了架构 ntdomains 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| client_site_name | about.labels.key/value（已废弃） additional.fields |
| dc_site_name | about.labels.key/value（已废弃） additional.fields |
| dns_forest_name | network.dns.questions.name |
| domain_controller_address | target.ip |
| domain_controller_name | about.labels.key/value（已废弃） additional.fields |
| domain_name | target.administrative_domain |
| 状态 | about.labels.key/value（已弃用） additional.fields |
ntfs_acl_permissions
下表列出了架构 ntfs_acl_permissions 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 主账号 | about.labels.key/value（已废弃） additional.fields |
| 访问权限 | about.labels.key/value（已弃用） additional.fields |
| inherited_from | about.labels.key/value（已废弃） additional.fields |
os_version
下表列出了架构 os_version 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| version | principal.platform_version |
| 主要 | about.labels.key/value（已废弃） additional.fields |
| 未成年人 | about.labels.key/value（已废弃） additional.fields |
| patch | principal.platform_patch_level |
| build | about.labels.key/value（已废弃） additional.fields |
| 平台 | principal.platform |
| platform_like | about.labels.key/value（已弃用） additional.fields |
| codename | about.labels.key/value（已废弃） additional.fields |
| arch | about.labels.key/value（已废弃） additional.fields |
| install_date | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
| mount_namespace_id | about.labels.key/value（已废弃） additional.fields |
osquery_events
下表列出了架构 osquery_events 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | target.resource.name |
| 发布方 | about.label.key/value |
| 类型 | about.label.key/value |
| 订阅 | about.label.key/value |
| events | about.label.key/value |
| 刷新 | about.label.key/value |
| 活跃 | about.label.key/value |
补丁
下表列出了架构补丁和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| csname | target.hostname |
| hotfix_id | about.labels.key/value（已废弃） additional.fields |
| caption | about.labels.key/value（已废弃） additional.fields |
| 说明 | metadata.description |
| fix_comments | about.labels.key/value（已废弃） additional.fields |
| installed_by | about.labels.key/value（已弃用） additional.fields |
| install_date | about.labels.key/value（已弃用） additional.fields |
| installed_on | about.labels.key/value（已废弃） additional.fields |
pci_devices
下表列出了架构 pci_devices 和操作系统 Linux、macOS 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pci_slot | principal.labels.key/value（已废弃） additional.fields |
| pci_class | principal.labels.key/value（已弃用） additional.fields |
| 驱动程序 | principal.labels.key/value（已废弃） additional.fields |
| vendor | principal.labels.key/value（已废弃） additional.fields |
| vendor_id | principal.labels.key/value（已废弃） additional.fields |
| 模型 | principal.asset.hardware.model |
| model_id | principal.labels.key/value（已弃用） additional.fields |
| 子系统 | principal.labels.key/value（已废弃） additional.fields |
| 快速 | principal.labels.key/value（已废弃） additional.fields |
| 雷雳 | principal.labels.key/value（已废弃） additional.fields |
| 可移除 | principal.labels.key/value（已弃用） additional.fields |
| pci_class_id | principal.labels.key/value（已废弃） additional.fields |
| pci_subclass_id | principal.labels.key/value（已废弃） additional.fields |
| pci_subclass | principal.labels.key/value（已弃用） additional.fields |
| subsystem_vendor_id | principal.labels.key/value（已废弃） additional.fields |
| subsystem_vendor | principal.labels.key/value（已弃用） additional.fields |
| subsystem_model_id | principal.labels.key/value（已弃用） additional.fields |
| subsystem_model | principal.labels.key/value（已废弃） additional.fields |
管道
下表列出了架构管道和操作系统 Linux 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| pid | target.process.pid |
| name | target.resource.name |
| 实例 | about.labels.key/value（已废弃） additional.fields |
| max_instances | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已废弃） additional.fields |
powershell_events
下表列出了架构 powershell_events 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | metadata.collected_timestamp |
| 日期时间 | about.labels.key/value（已废弃） additional.fields |
| script_block_id | about.labels.key/value（已弃用） additional.fields |
| script_block_count | about.labels.key/value（已弃用） additional.fields |
| script_text | about.labels.key/value（已弃用） additional.fields |
| script_name | about.labels.key/value（已弃用） additional.fields |
| script_path | target.file.full_path |
| cosine_similarity | about.labels.key/value（已废弃） additional.fields |
process_envs
下表列出了架构 process_envs 和 OS Linux、macOS 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| pid | target.process.pid |
| 键 | about.labels.key |
| 值 | about.labels.value |
process_events
下表列出了架构 process_events 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| version | target.platform_version |
| seq_num | about.labels.key/value（已弃用） additional.fields |
| global_seq_num | about.labels.key/value（已废弃） additional.fields |
| pid | target.process.pid |
| 路径 | target.file.full_path |
| 父级 | target.process.parent_process.pid |
| original_parent | about.labels.key/value（已废弃） additional.fields |
| cmdline | target.process.command_line |
| cmdline_count | about.labels.key/value（已弃用） additional.fields |
| env | about.labels.key/value（已弃用） additional.fields |
| env_count | about.labels.key/value（已废弃） additional.fields |
| cwd | about.labels.key/value（已废弃） additional.fields |
| uid | target.user.userid |
| EUID | about.labels.key/value（已弃用） additional.fields |
| GID | target.group.product_object_id |
| egid | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| signing_id | about.labels.key/value（已弃用） additional.fields |
| team_id | about.labels.key/value（已废弃） additional.fields |
| cdhash | about.labels.key/value（已废弃） additional.fields |
| platform_binary | about.labels.key/value（已废弃） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| child_pid | about.labels.key/value（已废弃） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| event_type | about.labels.key/value（已弃用） additional.fields |
| EID | about.labels.key/value（已弃用） additional.fields |
process_file_events
下表列出了架构 process_file_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| ppid | target.process.parent_process.pid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 可执行 | about.labels.key/value（已废弃） additional.fields |
| 部分 | about.labels.key/value（已废弃） additional.fields |
| cwd | about.labels.key/value（已废弃） additional.fields |
| 路径 | target.file.full_path |
| dest_path | about.labels.key/value（已废弃） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| auid | about.labels.key/value（已弃用） additional.fields |
| euid | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| fsuid | about.labels.key/value（已废弃） additional.fields |
| FSGID | about.labels.key/value（已弃用） additional.fields |
| suid | about.labels.key/value（已废弃） additional.fields |
| sgid | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
process_open_sockets
下表列出了架构 process_open_sockets 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| pid | principal.process.pid |
| 文件描述符 | about.labels.key/value（已废弃） additional.fields |
| socket | about.labels.key/value（已弃用） additional.fields |
| 系列 | about.labels.key/value（已废弃） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| 路径 | target.file.full_path |
| state | about.labels.key/value（已弃用） additional.fields |
| net_namespace | about.labels.key/value（已废弃） additional.fields |
进程
下表列出了架构进程以及操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| pid | target.process.pid |
| name | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| cmdline | target.process.command_line |
| state | target.process.attribute.labels.key/value |
| cwd | about.labels.key/value（已废弃） additional.fields |
| root | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| EUID | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| suid | about.labels.key/value（已废弃） additional.fields |
| sgid | about.labels.key/value（已弃用） additional.fields |
| on_disk | about.labels.key/value（已弃用） additional.fields |
| wired_size | about.labels.key/value（已弃用） additional.fields |
| resident_size | about.labels.key/value（已废弃） additional.fields |
| total_size | about.labels.key/value（已弃用） additional.fields |
| user_time | about.labels.key/value（已废弃） additional.fields |
| system_time | about.labels.key/value（已废弃） additional.fields |
| disk_bytes_read | about.labels.key/value（已弃用） additional.fields |
| disk_bytes_written | about.labels.key/value（已弃用） additional.fields |
| start_time | about.labels.key/value（已废弃） additional.fields |
| 父级 | target.process.parent_process.pid |
| Pgroup | about.labels.key/value（已废弃） additional.fields |
| threads | about.labels.key/value（已废弃） additional.fields |
| nice | about.labels.key/value（已废弃） additional.fields |
| elevated_token | about.labels.key/value（已弃用） additional.fields |
| secure_process | about.labels.key/value（已废弃） additional.fields |
| protection_type | about.labels.key/value（已废弃） additional.fields |
| virtual_process | about.labels.key/value（已废弃） additional.fields |
| elapsed_time | about.labels.key/value（已弃用） additional.fields |
| handle_count | about.labels.key/value（已废弃） additional.fields |
| percent_processor_time | about.labels.key/value（已废弃） additional.fields |
| upid | about.labels.key/value（已弃用） additional.fields |
| uppid | about.labels.key/value（已弃用） additional.fields |
| cpu_type | about.labels.key/value（已弃用） additional.fields |
| cpu_subtype | about.labels.key/value（已弃用） additional.fields |
计划
下表列出了架构程序和操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | target.resource.name |
| version | target.platform_version |
| install_location | about.labels.key/value（已弃用） additional.fields |
| install_source | about.labels.key/value（已弃用） additional.fields |
| language | about.labels.key/value（已弃用） additional.fields |
| 发布方 | about.labels.key/value（已弃用） additional.fields |
| uninstall_string | target.file.full_path |
| install_date | about.labels.key/value（已弃用） additional.fields |
| identifying_number | about.labels.key/value（已弃用） additional.fields |
scheduled_tasks
下表列出了架构 scheduled_tasks 和 OS Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | target.resource.name |
| 操作 | security_result.action_details |
| 路径 | target.file.full_path |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| state | about.labels.key/value（已弃用） additional.fields |
| 已隐藏 | about.labels.key/value（已弃用） additional.fields |
| last_run_time | about.labels.key/value（已废弃） additional.fields |
| next_run_time | about.labels.key/value（已弃用） additional.fields |
| last_run_message | about.labels.key/value（已废弃） additional.fields |
| last_run_code | about.labels.key/value（已废弃） additional.fields |
seccomp_events
下表列出了架构 seccomp_events 和操作系统 Linux 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| auid | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| GID | target.group.product_object_id |
| 塞斯 | about.labels.key/value（已废弃） additional.fields |
| pid | target.process.pid |
| comm | about.labels.key/value（已弃用） additional.fields |
| exe | target.file.full_path |
| sig | about.labels.key/value（已弃用） additional.fields |
| arch | about.labels.key/value（已废弃） additional.fields |
| syscall | about.labels.key/value（已弃用） additional.fields |
| 兼容型 | about.labels.key/value（已弃用） additional.fields |
| ip | about.labels.key/value（已废弃） additional.fields |
| 代码 | about.labels.key/value（已弃用） additional.fields |
seLinux_events
下表列出了架构 seLinux_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
shadow
下表列出了架构影子和操作系统 Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| password_status | about.labels.key/value（已弃用） additional.fields |
| hash_alg | about.labels.key/value（已废弃） additional.fields |
| last_change | about.labels.key/value（已废弃） additional.fields |
| 分钟 | about.labels.key/value（已弃用） additional.fields |
| max | about.labels.key/value（已弃用） additional.fields |
| 警告 | about.labels.key/value（已弃用） additional.fields |
| 非活跃 | about.labels.key/value（已废弃） additional.fields |
| expire | about.labels.key/value（已弃用） additional.fields |
| 标志 | about.labels.key/value（已弃用） additional.fields |
| 用户名 | principal.user.user_display_name |
shell_history
下表列出了架构 shell_history 和操作系统 Linux、macOS、freebsd 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| command | principal.process.command_line |
| history_file | principal.process.file.full_path |
填充码
下表列出了架构 shimcache 和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 入口 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| modified_time | target.file.last_modification_time |
| execution_flag | about.labels.key/value（已废弃） additional.fields |
signature
下表列出了架构签名和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| hash_resources | about.labels.key/value（已废弃） additional.fields |
| arch | about.labels.key/value（已废弃） additional.fields |
| 已签署 | target.file.pe_file.signature_info.verified |
| identifier | target.file.pe_file.signature_info.signer |
| cdhash | about.labels.key/value（已废弃） additional.fields |
| team_identifier | about.labels.key/value（已弃用） additional.fields |
| authority | about.labels.key/value（已弃用） additional.fields |
sip_config
下表列出了架构 sip_config 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| config_flag | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| enabled_nvram | about.labels.key/value（已弃用） additional.fields |
socket_events
下表列出了架构 socket_events 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | security_result.action_details |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| 文件描述符 | about.labels.key/value（已废弃） additional.fields |
| Auid | target.user.userid |
| 状态 | about.labels.key/value（已弃用） additional.fields |
| 系列 | about.labels.key/value（已废弃） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| socket | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
| 成功 | about.labels.key/value（已弃用） additional.fields |
sudoers
下表列出了架构 sudoers 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 来源 | about.labels.key/value（已弃用） additional.fields |
| 标头 | about.labels.key/value（已废弃） additional.fields |
| rule_details | about.labels.key/value（已弃用） additional.fields |
syslog_events
下表列出了架构 syslog_events 和操作系统 Linux 的日志字段及其对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 日期时间 | about.labels.key/value（已废弃） additional.fields |
| 主机 | target.hostname |
| 和程度上减少 | security_result.severity（枚举） |
| 设施 | about.labels.key/value（已废弃） additional.fields |
| 标记 | about.labels.key/value（已弃用） additional.fields |
| 消息 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
system_info
下表列出了架构 system_info 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 主机名 | principal.administrative_domain |
| uuid | about.labels.key/value（已弃用） additional.fields |
| cpu_type | about.labels.key/value（已弃用） additional.fields |
| cpu_subtype | about.labels.key/value（已弃用） additional.fields |
| cpu_brand | about.labels.key/value（已弃用） additional.fields |
| cpu_physical_cores | about.labels.key/value（已弃用） additional.fields |
| cpu_logical_cores | principal.asset.hardware.cpu_number_cores |
| cpu_microcode | about.labels.key/value（已废弃） additional.fields |
| physical_memory | about.labels.key/value（已废弃） additional.fields |
| hardware_vendor | about.labels.key/value（已废弃） additional.fields |
| hardware_model | principal.asset.hardware.model |
| hardware_version | about.labels.key/value（已废弃） additional.fields |
| hardware_serial | principal.asset.hardware.serial_number |
| board_vendor | about.labels.key/value（已弃用） additional.fields |
| board_model | about.labels.key/value（已弃用） additional.fields |
| board_version | about.labels.key/value（已弃用） additional.fields |
| board_serial | about.labels.key/value（已弃用） additional.fields |
| computer_name | about.labels.key/value（已废弃） additional.fields |
| local_hostname | about.labels.key/value（已废弃） additional.fields |
tpm_info
下表列出了架构 tpm_info 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| 自有 | about.labels.key/value（已弃用） additional.fields |
| manufacturer_version | about.labels.key/value（已弃用） additional.fields |
| manufacturer_id | about.labels.key/value（已废弃） additional.fields |
| manufacturer_name | principal.aseet.hardware.manufacturer |
| product_name | principal.resource.name |
| physical_presence_version | about.labels.key/value（已弃用） additional.fields |
| spec_version | about.labels.key/value（已弃用） additional.fields |
usb_devices
下表列出了架构 usb_devices 和操作系统 Linux、macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| usb_address | about.labels.key/value（已弃用） additional.fields |
| usb_port | about.labels.key/value（已废弃） additional.fields |
| vendor | about.labels.key/value（已废弃） additional.fields |
| vendor_id | about.labels.key/value（已弃用） additional.fields |
| version | about.labels.key/value（已弃用） additional.fields |
| 模型 | target.asset.hardware.model |
| model_id | about.labels.key/value（已弃用） additional.fields |
| serial | target.asset.hardware.serial_number |
| class | about.labels.key/value（已废弃） additional.fields |
| 子类 | about.labels.key/value（已废弃） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| 可拆卸 | about.labels.key/value（已废弃） additional.fields |
user_events
下表列出了架构 user_events 和 OS Linux、macOS 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| auid | principal.user.attribute.labels.key/value |
| pid | target.process.pid |
| 消息 | metadata.description |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| 地址 | about.labels.key/value（已废弃） additional.fields |
| 终端 | about.labels.key/value（已废弃） additional.fields |
| 时间 | metadata.collected_timestamp |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
user_groups
下表列出了架构 user_groups 和操作系统 Linux、macOS、Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| GID | principal.group.product_object_id |
用户
下表列出了架构用户和操作系统 macOS、Linux、Windows、freebsd 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| GID | principal.user.group_identifiers(repeated) |
| uid_signed | about.labels.key/value（已弃用） additional.fields |
| gid_signed | about.labels.key/value（已弃用） additional.fields |
| 用户名 | principal.user.user_display_name |
| 说明 | about.labels.key/value（已弃用） additional.fields |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| shell | about.labels.key/value（已弃用） additional.fields |
| uuid | principal.user.product_object_id |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| is_hidden | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已废弃） additional.fields |
wifi_networks
下表列出了架构 wifi_networks 和操作系统 macOS 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| ssid | target.labels.key/value（已废弃） additional.fields |
| network_name | target.labels.key/value（已废弃） additional.fields |
| security_type | target.labels.key/value（已废弃） additional.fields |
| last_connected | about.labels.key/value（已废弃） additional.fields |
| Passpoint | about.labels.key/value（已弃用） additional.fields |
| possibly_hidden | about.labels.key/value（已废弃） additional.fields |
| 漫游中 | about.labels.key/value（已废弃） additional.fields |
| roaming_profile | about.labels.key/value（已弃用） additional.fields |
| captive_portal | about.labels.key/value（已弃用） additional.fields |
| auto_login | target.labels.key/value（已废弃） additional.fields |
| temporarily_disabled | target.labels.key/value（已废弃） additional.fields |
| 已停用 | target.labels.key/value（已废弃） additional.fields |
windows_crashes
下表列出了架构 Windows_crashes 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 日期时间 | about.labels.key/value（已废弃） additional.fields |
| module | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| pid | target.process.pid |
| tid | about.labels.key/value（已废弃） additional.fields |
| version | about.labels.key/value（已弃用） additional.fields |
| process_uptime | about.labels.key/value（已废弃） additional.fields |
| stack_trace | about.labels.key/value（已弃用） additional.fields |
| exception_code | about.labels.key/value（已弃用） additional.fields |
| exception_message | about.labels.key/value（已废弃） additional.fields |
| exception_address | about.labels.key/value（已弃用） additional.fields |
| 寄存器 | about.labels.key/value（已废弃） additional.fields |
| command_line | target.process.command_line |
| current_directory | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| machine_name | about.labels.key/value（已弃用） additional.fields |
| major_version | about.labels.key/value（已弃用） additional.fields |
| minor_version | about.labels.key/value（已废弃） additional.fields |
| build_number | target.platform_version |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| crash_path | about.labels.key/value（已废弃） additional.fields |
windows_eventlog
Windows 事件 (WINEVTLOG) 解析器会映射这些事件。有关详情，请参阅收集 Microsoft Windows 事件数据。
windows_events
Windows 事件 (WINEVTLOG) 解析器会映射这些事件。如需了解详情，请参阅收集 Microsoft Windows 事件数据。
windows_firewall_rules
下表列出了架构 Windows_firewall_rules 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| app_name | target.application |
| 操作 | security_result.action（枚举） |
| 已启用 | about.labels.key/value（已废弃） additional.fields |
| 分组 | about.labels.key/value（已弃用） additional.fields |
| 方向 | network.direction |
| 协议 | network.ip_protocol |
| local_addresses | principal.ip |
| remote_addresses | target.ip |
| local_ports | principal.port |
| remote_ports | target.port |
| icmp_types_codes | about.labels.key/value（已废弃） additional.fields |
| profile_domain | about.labels.key/value（已弃用） additional.fields |
| profile_private | about.labels.key/value（已废弃） additional.fields |
| profile_public | about.labels.key/value（已弃用） additional.fields |
| service_name | about.labels.key/value（已废弃） additional.fields |
windows_security_center
下表列出了架构 Windows_security_center 和操作系统 Windows 的日志字段以及相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 防火墙 | security_result.detection_fields.key/value |
| autoupdate | security_result.detection_fields.key/value |
| 杀毒软件 | security_result.detection_fields.key/value |
| 反间谍软件 | security_result.detection_fields.key/value |
| internet_settings | security_result.detection_fields.key/value |
| Windows_security_center_service | security_result.detection_fields.key/value |
| user_account_control | security_result.detection_fields.key/value |
windows_security_products
下表列出了架构 Windows_security_products 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| name | target.resource.name |
| state | about.labels.key/value（已弃用） additional.fields |
| state_timestamp | about.labels.key/value（已弃用） additional.fields |
| remediation_path | about.labels.key/value（已弃用） additional.fields |
| signatures_up_to_date | about.labels.key/value（已废弃） additional.fields |
wmi_bios_info
下表列出了架构 wmi_bios_info 和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 已映射到 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 值 | about.labels.key/value（已弃用） additional.fields |
yara
下表列出了架构 yara 和操作系统 Linux、macOS、freebsd、Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 匹配 | about.labels.key/value（已废弃） additional.fields |
| 计数 | about.labels.key/value（已弃用） additional.fields |
| sig_group | security_result.detection_fields.key/value |
| sigfile | security_result.detection_fields.key/value |
| sigrule | security_result.detection_fields.key/value |
| 字符串 | about.labels.key/value（已弃用） additional.fields |
| 标记 | about.labels.key/value（已弃用） additional.fields |
| sigurl | security_result.detection_fields.key/value |
yara_events
下表列出了架构 yara_events 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| target_path | target.file.full_path |
| category | about.labels.key/value（已废弃） additional.fields |
| 操作 | security_result.action_details |
| transaction_id | security_result.detection_fields.key/value |
| 匹配 | about.labels.key/value（已废弃） additional.fields |
| 计数 | about.labels.key/value（已弃用） additional.fields |
| 字符串 | about.labels.key/value（已弃用） additional.fields |
| 标记 | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |