收集 osquery 日志
本文档介绍了如何通过配置 osquery 和 Google Security Operations 转发器来收集 osquery 日志。本文档还列出了支持的日志类型和支持的 osquery 版本。
如需了解详情，请参阅将数据注入到 Google Security Operations 中。
概览
以下部署架构图展示了 osquery 代理和舰队服务器如何配置为向 Google Security Operations 发送日志。每个客户部署都可能与此表示法不同，并且可能更复杂。
架构图显示了以下组件：
Linux 系统：要监控的 Linux 系统（其中安装了 osquery 代理）
Microsoft Windows 系统：要监控的 Microsoft Windows 系统（其中安装了 osquery 代理）
Mac 系统：要监控的 Mac 系统，其中安装了 osquery 代理
osquery 代理：从 Microsoft Windows、Linux 或 Mac 系统收集信息，并将信息转发到舰队服务器
舰队服务器：监控和接收来自 osquery 代理的信息，分析日志，并将日志转发到 Google Security Operations 转发器
Google Security Operations 转发器：一个轻量级软件组件，部署在客户的网络中，用于将日志转发到 Google Security Operations
Google Security Operations：保留和分析来自舰队服务器的日志
提取标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 OSQUERY_EDR 提取标签的解析器。
准备工作
安装舰队服务器。如需安装舰队服务器，请执行以下操作：
使用 Google Security Operations 解析器支持的 osquery 版本，即 5.2.3 和 5.3.0。
确保部署架构中的所有系统都按照 UTC 时区进行配置。
确保舰队中的表名称与官方舰队文档一致。
配置 osquery 代理、服务器和 Google Security Operations 转发器
如需配置舰队服务器和 Google Security Operations 转发器，请执行以下操作：
如需配置舰队服务器，请执行以下操作：
将主机添加到舰队服务器并安装 osquery 代理。 您可以使用 osquery 安装程序将主机添加到舰队服务器。舰队服务器通过 audiencectl 软件包命令帮助生成 osquery 安装程序。
- 通过安装 audiencectl 命令行工具执行 forcectl 软件包命令。
- 使用舰队 ctl package 命令安装 osquery 代理。
在主机上安装生成的 osquery 安装程序时，主机会自动在指定的舰队实例中注册。
在中央 Linux 设备上配置 Google Security Operations 转发器，以将日志推送到 Google Security Operations 系统。如需了解详情，请参阅在 Linux 上安装和配置转发器。以下是 Google SecOps 转发器配置的示例：
- file: common: enabled: true data_type: OSQUERY_EDR batch_n_seconds: 10 batch_n_bytes: 1048576 skip_seek_to_end: true file_path: <log_file_path>
字段映射参考文档
本部分介绍 Google Security Operations 解析器如何将 osquery 日志字段映射到架构和操作系统的 Google Security Operations 统一数据模型 (UDM) 字段。如需了解详情，请参阅版本 5.2.3 和版本 5.3.0 的 osquery 架构。
account_policy_data
下表列出了架构 account_policy_data 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| creation_time | principal.user.attribute.creation_time |
| failed_login_count | principal.user.attribute.labels.key/value |
| failed_login_timestamp | principal.user.attribute.labels.key/value |
| password_last_set_time | principal.user.attribute.labels.key/value |
ad_config
下表列出了架构 ad_config 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 网域 | target.administrative_domain |
| 选项 | about.labels.key（已弃用） additional.fields.key |
| 值 | about.labels.value（已弃用） additional.fields.value.string_value |
阿尔夫
下表列出了架构 alf 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| allow_signed_enabled | about.labels.key/value（已弃用） additional.fields |
| firewall_unload | about.labels.key/value（已弃用） additional.fields |
| global_state | about.labels.key/value（已弃用） additional.fields |
| logging_enabled | about.labels.key/value（已弃用） additional.fields |
| logging_option | about.labels.key/value（已弃用） additional.fields |
| stealth_enabled | about.labels.key/value（已弃用） additional.fields |
| 版本 | target.platform_version |
alf_exceptions
下表列出了架构 alf_exceptions 和 OS macOS 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| state | about.labels.key/value（已弃用） additional.fields |
alf_explicit_auths
下表列出了架构 alf_显式_auths 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 原始事件 | target.process.pid |
app_schemes
下表列出了架构 app_schemes 和 OS macOS 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| scheme | about.labels.key/value（已弃用） additional.fields |
| handler | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| 外部 | about.labels.key/value（已弃用） additional.fields |
| 受保护 | about.labels.key/value（已弃用） additional.fields |
apparmor_events
下表列出了架构 apparmor_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | security_result.rule_id |
| apparmor | security_result.action |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| parent | target.process.parent_process.pid |
| 资料 | about.labels.key/value（已弃用） additional.fields |
| name | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| comm | target.process.command_line |
| denied_mask | about.labels.key/value（已弃用） additional.fields |
| Capname | about.labels.key/value（已弃用） additional.fields |
| fsuid | target.user.attribute.labels.key/value |
| 乌伊德 | target.user.attribute.labels.key/value |
| capability | about.labels.key/value（已弃用） additional.fields |
| requested_mask | target.process.access_mask |
| 信息 | about.labels.key/value（已弃用） additional.fields |
| 错误 | security_result.summary |
| 命名空间 | about.labels.key/value（已弃用） additional.fields |
| 标签 | about.labels.key/value（已弃用） additional.fields |
apparmor_profiles
下表列出了架构 apparmor_profiles 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| name | target.resource.name |
| 挂接 | about.labels.key/value（已弃用） additional.fields |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| sha1 | target.file.sha1 |
应用
下表列出了架构应用和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | target.application |
| 路径 | target.file.full_path |
| bundle_executable | about.labels.key/value（已弃用） additional.fields |
| bundle_identifier | target.resource.product_object_id |
| bundle_name | target.resource.name |
| bundle_short_version | target.resource.attribute.labels.key/value |
| bundle_version | target.resource.attribute.labels.key/value |
| bundle_package_type | about.labels.key/value（已弃用） additional.fields |
| 环境 | about.labels.key/value（已弃用） additional.fields |
| 元素 | about.labels.key/value（已弃用） additional.fields |
| 编译器 | about.labels.key/value（已弃用） additional.fields |
| development_region | about.location.country_or_region |
| display_name | about.labels.key/value（已弃用） additional.fields |
| info_string | about.labels.key/value（已弃用） additional.fields |
| minimum_system_version | about.labels.key/value（已弃用） additional.fields |
| category | about.labels.key/value（已弃用） additional.fields |
| applescript_enabled | about.labels.key/value（已弃用） additional.fields |
| 版权 | about.labels.key/value（已弃用） additional.fields |
| last_opened_time | target.file.last_seen_time |
asl
下表列出了架构 asl 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| time_nano_sec | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
| sender | about.labels.key/value（已弃用） additional.fields |
| 设施 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| gid | target.user.group_identifiers |
| uid | target.user.userid |
| level | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| ref_pid | about.labels.key/value（已弃用） additional.fields |
| ref_proc | about.labels.key/value（已弃用） additional.fields |
| 额外 | about.labels.key/value（已弃用） additional.fields |
身份验证码
下表列出了架构授权码和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| original_program_name | about.labels.key/value（已弃用） additional.fields |
| serial_number | network.tls.client.certificate.serial |
| issuer_name | network.tls.client.certificate.issuer |
| subject_name | network.tls.client.certificate.subject |
| 结果 | security_result.summary |
authorization_mechanisms
下表列出了架构 Authorization_mechanisms 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 标签 | about.labels.key/value（已弃用） additional.fields |
| plugin | about.labels.key/value（已弃用） additional.fields |
| 机制 | about.labels.key/value（已弃用） additional.fields |
| 特权 | 具有特权的 | about.labels.key/value（已弃用） additional.fields |
| 入口 | about.labels.key/value（已弃用） additional.fields |
授权
下表列出了架构授权和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 标签 | about.labels.key/value（已弃用） additional.fields |
| 修改 | about.labels.key/value（已弃用） additional.fields |
| allow_root | about.labels.key/value（已弃用） additional.fields |
| 超时 | about.labels.key/value（已弃用） additional.fields |
| 版本 | about.labels.key/value（已弃用） additional.fields |
| tries | about.labels.key/value（已弃用） additional.fields |
| authenticate_user | about.labels.key/value（已弃用） additional.fields |
| 共享的数据量 | about.labels.key/value（已弃用） additional.fields |
| comment | about.labels.key/value（已弃用） additional.fields |
| 创建时间 | about.labels.key/value（已弃用） additional.fields |
| 类 | about.labels.key/value（已弃用） additional.fields |
| session_owner | about.labels.key/value（已弃用） additional.fields |
autoexec
下表列出了架构 autoexec 和操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| name | target.application |
| 来源 | target.resource.name |
bitlocker_info
下表列出了架构 bitlocker_info 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device_id | target.resource.product_object_id |
| drive_letter | target.resource.name |
| persistent_volume_id | about.labels.key/value（已弃用） additional.fields |
| conversion_status | target.resource.attirbute.labels.key/value |
| protection_status | target.resource.attirbute.labels.key/value |
| encryption_method | target.resource.attirbute.labels.key/value |
| 版本 | metadata.product_version |
| percentage_encrypted | target.resource.attirbute.labels.key/value |
| lock_status | target.resource.attirbute.labels.key/value |
bpf_process_events
下表列出了架构 bpf_process_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| tid | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| parent | target.process.parent_process.pid |
| uid | principal.user.userid |
| gid | principal.group.product_object_id |
| cid | about.labels.key/value（已弃用） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| probe_error | about.labels.key/value（已弃用） additional.fields |
| 系统调用 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| CWD | about.labels.key/value（已弃用） additional.fields |
| cmdline | target.process.command_line |
| 时长 | about.labels.key/value（已弃用） additional.fields |
| json_cmdline | about.labels.key/value（已弃用） additional.fields |
| Ntime | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
bpf_socket_events
下表列出了架构 bpf_socket_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| tid | about.labels.key/value（已弃用） additional.fields |
| pid | principal.process.pid |
| parent | principal.process.parent_process.pid |
| uid | principal.user.userid |
| gid | principal.group.product_object_id |
| cid | about.labels.key/value（已弃用） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| probe_error | about.labels.key/value（已弃用） additional.fields |
| 系统调用 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| fd | about.labels.key/value（已弃用） additional.fields |
| 系列 | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| 时长 | about.labels.key/value（已弃用） additional.fields |
| Ntime | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
certificates
下表列出了架构证书和 OS macOS 和 Windows 操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| common_name | about.labels.key/value（已弃用） additional.fields |
| subject | network.tls.client.certificate.subject |
| issuer | network.tls.client.certificate.issuer |
| ca | about.labels.key/value（已弃用） additional.fields |
| self_signed | about.labels.key/value（已弃用） additional.fields |
| not_valid_before | network.tls.client.certificate.not_before |
| not_valid_after | network.tls.client.certificate.not_after |
| signing_algorithm | about.labels.key/value（已弃用） additional.fields |
| key_algorithm | about.labels.key/value（已弃用） additional.fields |
| key_strength | about.labels.key/value（已弃用） additional.fields |
| key_usage | about.labels.key/value（已弃用） additional.fields |
| subject_key_id | about.labels.key/value（已弃用） additional.fields |
| authority_key_id | about.labels.key/value（已弃用） additional.fields |
| sha1 | network.tls.client.certificate.sha1 |
| 路径 | about.labels.key/value（已弃用） additional.fields |
| serial | network.tls.client.certificate.serial |
| sid | about.labels.key/value（已弃用） additional.fields |
| store_location | about.labels.key/value（已弃用） additional.fields |
| 存储区 | about.labels.key/value（已弃用） additional.fields |
| 用户名 | principal.user.user_display_name |
| store_id | about.labels.key/value（已弃用） additional.fields |
chassis_info
下表列出了架构 chassis_info 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| audible_alarm | about.labels.key/value（已弃用） additional.fields |
| breach_description | security_result.description |
| chassis_types | about.labels.key/value（已弃用） additional.fields |
| 说明 | metadata.description |
| 锁定 | about.labels.key/value（已弃用） additional.fields |
| 制造商 | principal.asset.hardware.manufacturer |
| model | principal.asset.hardware.model |
| security_breach | security_result.detection_fields.key/value |
| serial | principal.asset.hardware.serial_number |
| smbios_tag | about.labels.key/value（已弃用） additional.fields |
| SKU | about.labels.key/value（已弃用） additional.fields |
| status | about.labels.key/value（已弃用） additional.fields |
| visible_alarm | about.labels.key/value（已弃用） additional.fields |
chrome_extensions
下表列出了架构 chrome_extensions 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| browser_type | target.resource.attribute.labels.key/value |
| uid | principal.user.userid |
| name | target.resource.name |
| 资料 | target.resource.attribute.labels.key/value |
| profile_path | target.resource.attribute.labels.key/value |
| referenced_identifier | target.resource.attribute.labels.key/value |
| identifier | target.resource.attribute.labels.key/value |
| 版本 | target.resource.attribute.labels.key/value |
| 说明 | target.resource.attribute.labels.key/value |
| default_locale | target.resource.attribute.labels.key/value |
| current_locale | target.resource.attribute.labels.key/value |
| update_url | network.http.referral_url |
| 作者 | target.resource.attribute.labels.key/value |
| 永久性 | target.resource.attribute.labels.key/value |
| 路径 | target.file.full_path |
| 权限 | target.resource.attribute.labels.key/value |
| permissions_json | target.resource.attribute.labels.key/value |
| optional_permissions | target.resource.attribute.labels.key/value |
| optional_permissions_json | target.resource.attribute.labels.key/value |
| manifest_hash | target.resource.attribute.labels.key/value |
| 引用 | target.resource.attribute.labels.key/value |
| from_webstore | target.resource.attribute.labels.key/value |
| state | target.resource.attribute.labels.key/value |
| install_time | target.resource.attribute.labels.key/value |
| install_timestamp | target.resource.attribute.labels.key/value |
| manifest_json | target.resource.attribute.labels.key/value |
| 密钥 | target.resource.attribute.labels.key/value |
connectivity
下表列出了架构连接和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 已断开连接 | about.labels.key/value（已弃用） additional.fields |
| ipv4_no_traffic | about.labels.key/value（已弃用） additional.fields |
| ipv6_no_traffic | about.labels.key/value（已弃用） additional.fields |
| ipv4_subnet | about.labels.key/value（已弃用） additional.fields |
| ipv4_local_network | about.labels.key/value（已弃用） additional.fields |
| ipv4_internet | about.labels.key/value（已弃用） additional.fields |
| ipv6_subnet | about.labels.key/value（已弃用） additional.fields |
| ipv6_local_network | about.labels.key/value（已弃用） additional.fields |
| ipv6_internet | about.labels.key/value（已弃用） additional.fields |
cpu_info
下表列出了架构 cpu_info 和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device_id | principal.asset.product_object_id |
| model | principal.asset.hardware.model |
| 制造商 | principal.asset.hardware.manufacturer |
| processor_type | about.labels.key/value（已弃用） additional.fields |
| 库存状况 | about.labels.key/value（已弃用） additional.fields |
| cpu_status | about.labels.key/value（已弃用） additional.fields |
| number_of_cores | principal.asset.hardware.cpu_number_cores |
| logical_processors | about.labels.key/value（已弃用） additional.fields |
| address_width | about.labels.key/value（已弃用） additional.fields |
| current_clock_speed | principal.asset.hardware.cpu_clock_speed |
| max_clock_speed | principal.asset.hardware.cpu_max_clock_speed |
| socket_designation | about.labels.key/value（已弃用） additional.fields |
崩溃
下表列出了架构崩溃和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| crash_path | target.file.full_path |
| identifier | about.labels.key/value（已弃用） additional.fields |
| 版本 | about.labels.key/value（已弃用） additional.fields |
| parent | target.process.parent_process.pid |
| 负责 | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| datetime | metadata.event_timestamp |
| crashed_thread | about.labels.key/value（已弃用） additional.fields |
| stack_trace | about.labels.key/value（已弃用） additional.fields |
| exception_type | about.labels.key/value（已弃用） additional.fields |
| exception_codes | about.labels.key/value（已弃用） additional.fields |
| exception_notes | about.labels.key/value（已弃用） additional.fields |
| 寄存器 | about.labels.key/value（已弃用） additional.fields |
Crontab
下表列出了架构 crontab 和 OS Linux、macOS 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 事件 | about.labels.key/value（已弃用） additional.fields |
| 分钟 | about.labels.key/value（已弃用） additional.fields |
| 小时 | about.labels.key/value（已弃用） additional.fields |
| day_of_month | about.labels.key/value（已弃用） additional.fields |
| 月 | about.labels.key/value（已弃用） additional.fields |
| day_of_week | about.labels.key/value（已弃用） additional.fields |
| 命令 | principal.process.command_line |
| 路径 | principal.process.file.full_path |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
curl
下表列出了架构 curl 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 网址 | network.http.referral_url |
| method | network.http.method |
| user_agent | network.http.user_agent |
| response_code | network.http.response_code |
| round_trip_time | network.session_duration |
| 字节 | network.received_bytes |
| 结果 | about.labels.key/value（已弃用） additional.fields |
curl_certificate
下表列出了架构 curl_certificate 和操作系统 macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 主机名 | principal.hostname |
| common_name | about.labels.key/value（已弃用） additional.fields |
| 组织 | network.organization_name |
| organization_unit | about.labels.key/value（已弃用） additional.fields |
| serial_number | network.tls.server.certificate.serial |
| issuer_common_name | about.labels.key/value（已弃用） additional.fields |
| issuer_organization | network.tls.server.certificate.issuer |
| issuer_organization_unit | about.labels.key/value（已弃用） additional.fields |
| valid_from | network.tls.server.certificate.not_before |
| valid_to | network.tls.server.certificate.not_after |
| sha256_fingerprint | network.tls.server.certificate.sha256 |
| sha1_fingerprint | network.tls.server.certificate.sha1 |
| 版本 | network.tls.server.certificate.version |
| signature_algorithm | about.labels.key/value（已弃用） additional.fields |
| signature | about.labels.key/value（已弃用） additional.fields |
| subject_key_identifier | about.labels.key/value（已弃用） additional.fields |
| authority_key_identifier | about.labels.key/value（已弃用） additional.fields |
| key_usage | about.labels.key/value（已弃用） additional.fields |
| extended_key_usage | about.labels.key/value（已弃用） additional.fields |
| 政策 | about.labels.key/value（已弃用） additional.fields |
| subject_alternative_names | about.labels.key/value（已弃用） additional.fields |
| issuer_alternative_names | about.labels.key/value（已弃用） additional.fields |
| info_access | about.labels.key/value（已弃用） additional.fields |
| subject_info_access | about.labels.key/value（已弃用） additional.fields |
| policy_mappings | about.labels.key/value（已弃用） additional.fields |
| has_expired | about.labels.key/value（已弃用） additional.fields |
| basic_constraint | about.labels.key/value（已弃用） additional.fields |
| name_constraints | about.labels.key/value（已弃用） additional.fields |
| policy_constraints | about.labels.key/value（已弃用） additional.fields |
| dump_certificate | about.labels.key/value（已弃用） additional.fields |
| 超时 | about.labels.key/value（已弃用） additional.fields |
| pem | about.labels.key/value（已弃用） additional.fields |
device_file
下表列出了架构 device_file 和 OS Linux、macOS、freebsd 和 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device | about.labels.key/value（已弃用） additional.fields |
| partition | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| filename | target.file.names |
| inode | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| 大小 | target.file.size |
| block_size | about.labels.key/value（已弃用） additional.fields |
| 每次 | about.labels.key/value（已弃用） additional.fields |
| Mtime | target.file.last_modification_time |
| ctime | about.labels.key/value（已弃用） additional.fields |
| hard_links | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
device_hash
下表列出了架构 device_hash 和 OS Linux、macOS、freebsd 和 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| device | target.file.full_path |
| partition | about.labels.key/value（已弃用） additional.fields |
| inode | about.labels.key/value（已弃用） additional.fields |
| md5 | target.file.md5 |
| sha1 | target.file.sha1 |
| sha256 | target.file.sha56 |
disk_info
下表列出了架构 disk_info 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 分区 | principal.asset.attribute.labels.key/value |
| disk_index | principal.asset.attribute.labels.key/value |
| 类型 | principal.asset.attribute.labels.key/value |
| id | principal.asset.product_object_id |
| pnp_device_id | about.labels.key/value（已弃用） additional.fields |
| disk_size | principal.asset.attribute.labels.key/value |
| 制造商 | principal.asset.hardware.manufacturer |
| hardware_model | principal.asset.hardware.model |
| name | principal.asset.attribute.labels.key/value |
| serial | principal.asset.hardware.serial_number |
| 说明 | principal.asset.attribute.labels.key/value |
dns_cache
下表列出了架构 dns_cache 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | network.dns.additional.name |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已弃用） additional.fields |
dns_resolvers
下表列出了架构 dns_resolvers 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 地址 | principal.ip |
| 网络掩码 | about.labels.key/value（已弃用） additional.fields |
| 选项 | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
docker_container_networks
下表列出了架构 docker_container_networks 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| name | network.carrier_name |
| network_id | about.labels.key/value（已弃用） additional.fields |
| endpoint_id | about.labels.key/value（已弃用） additional.fields |
| 网关 | about.labels.key/value（已弃用） additional.fields |
| ip_address | target.ip |
| ip_prefix_len | about.labels.key/value（已弃用） additional.fields |
| ipv6_gateway | about.labels.key/value（已弃用） additional.fields |
| ipv6_address | target.ip |
| ipv6_prefix_len | about.labels.key/value（已弃用） additional.fields |
| mac_address | target.mac |
docker_container_ports
下表列出了架构 docker_container_ports 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| 类型 | network.ip_protocol |
| 端口 | target.port |
| host_ip | principal.ip |
| host_port | principal.port |
docker_container_processes
下表列出了架构 docker_container_processes 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.asset.product_object_id |
| pid | target.process.pid |
| name | target.process.file.full_path |
| cmdline | target.process.command_line |
| state | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| 欧盟 ID | target.user.attribute.labels.key/value |
| egid | target.group.attribute.labels.key/value |
| SUID | target.user.attribute.labels.key/value |
| SGID | target.group.attribute.labels.key/value |
| wired_size | about.labels.key/value（已弃用） additional.fields |
| resident_size | about.labels.key/value（已弃用） additional.fields |
| total_size | about.labels.key/value（已弃用） additional.fields |
| start_time | about.labels.key/value（已弃用） additional.fields |
| parent | target.process.parent_process.pid |
| Pgroup | about.labels.key/value（已弃用） additional.fields |
| threads | about.labels.key/value（已弃用） additional.fields |
| nice | about.labels.key/value（已弃用） additional.fields |
| 用户 | target.user.user_display_name |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| cpu | about.labels.key/value（已弃用） additional.fields |
| mem | about.labels.key/value（已弃用） additional.fields |
docker_container_stats
下表列出了架构 docker_container_stats 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| name | target.resource.name |
| PID | about.labels.key/value（已弃用） additional.fields |
| read | about.labels.key/value（已弃用） additional.fields |
| 预读 | about.labels.key/value（已弃用） additional.fields |
| interval | about.labels.key/value（已弃用） additional.fields |
| disk_read | about.labels.key/value（已弃用） additional.fields |
| disk_write | about.labels.key/value（已弃用） additional.fields |
| num_procs | about.labels.key/value（已弃用） additional.fields |
| cpu_total_usage | about.labels.key/value（已弃用） additional.fields |
| cpu_kernelmode_usage | about.labels.key/value（已弃用） additional.fields |
| cpu_usermode_usage | about.labels.key/value（已弃用） additional.fields |
| system_cpu_usage | about.labels.key/value（已弃用） additional.fields |
| online_cpus | about.labels.key/value（已弃用） additional.fields |
| pre_cpu_total_usage | about.labels.key/value（已弃用） additional.fields |
| pre_cpu_kernelmode_usage | about.labels.key/value（已弃用） additional.fields |
| pre_cpu_usermode_usage | about.labels.key/value（已弃用） additional.fields |
| pre_system_cpu_usage | about.labels.key/value（已弃用） additional.fields |
| pre_online_cpus | about.labels.key/value（已弃用） additional.fields |
| memory_usage | about.labels.key/value（已弃用） additional.fields |
| memory_max_usage | about.labels.key/value（已弃用） additional.fields |
| memory_limit | about.labels.key/value（已弃用） additional.fields |
| network_rx_bytes | about.labels.key/value（已弃用） additional.fields |
| network_tx_bytes | about.labels.key/value（已弃用） additional.fields |
docker_info
下表列出了架构 docker_info 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| containers | about.labels.key/value（已弃用） additional.fields |
| containers_running | about.labels.key/value（已弃用） additional.fields |
| containers_paused | about.labels.key/value（已弃用） additional.fields |
| containers_stopped | about.labels.key/value（已弃用） additional.fields |
| 图片 | about.labels.key/value（已弃用） additional.fields |
| storage_driver | about.labels.key/value（已弃用） additional.fields |
| memory_limit | about.labels.key/value（已弃用） additional.fields |
| swap_limit | about.labels.key/value（已弃用） additional.fields |
| kernel_memory | about.labels.key/value（已弃用） additional.fields |
| cpu_cfs_period | about.labels.key/value（已弃用） additional.fields |
| cpu_cfs_quota | about.labels.key/value（已弃用） additional.fields |
| cpu_shares | about.labels.key/value（已弃用） additional.fields |
| cpu_set | about.labels.key/value（已弃用） additional.fields |
| ipv4_forwarding | about.labels.key/value（已弃用） additional.fields |
| bridge_nf_iptables | about.labels.key/value（已弃用） additional.fields |
| bridge_nf_ip6tables | about.labels.key/value（已弃用） additional.fields |
| oom_kill_disable | about.labels.key/value（已弃用） additional.fields |
| logging_driver | about.labels.key/value（已弃用） additional.fields |
| cgroup_driver | about.labels.key/value（已弃用） additional.fields |
| kernel_version | about.labels.key/value（已弃用） additional.fields |
| os | about.labels.key/value（已弃用） additional.fields |
| os_type | target.platform(enum) |
| 架构 | about.labels.key/value（已弃用） additional.fields |
| cpus | about.labels.key/value（已弃用） additional.fields |
| 内存 | about.labels.key/value（已弃用） additional.fields |
| http_proxy | about.labels.key/value（已弃用） additional.fields |
| https_proxy | about.labels.key/value（已弃用） additional.fields |
| no_proxy | about.labels.key/value（已弃用） additional.fields |
| name | target.hostname |
| server_version | target.platform_version |
| root_dir | target.file.full_path |
docker_network_labels
下表列出了架构 docker_network_labels 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| 密钥 | target.resource.attribute.labels.key/value |
| 值 | about.labels.key/value（已弃用） additional.fields |
docker_networks
下表列出了架构 docker_networks 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| id | target.resource.product_object_id |
| name | about.labels.key/value（已弃用） additional.fields |
| 司机 | about.labels.key/value（已弃用） additional.fields |
| 创建时间 | target.resource.attribute.creation_time |
| enable_ipv6 | about.labels.key/value（已弃用） additional.fields |
| 子网 | about.labels.key/value（已弃用） additional.fields |
| 网关 | about.labels.key/value（已弃用） additional.fields |
ec2_instance_metadata
下表列出了架构 ec2_instance_metadata 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| instance_id | target.resource.product_object_id |
| instance_type | about.labels.key/value（已弃用） additional.fields |
| 架构 | about.labels.key/value（已弃用） additional.fields |
| 区域 | target.location.country_or_region |
| availability_zone | about.labels.key/value（已弃用） additional.fields |
| local_hostname | target.hostname |
| local_ipv4 | target.ip |
| mac | target.mac |
| security_groups | about.labels.key/value（已弃用） additional.fields |
| iam_arn | about.labels.key/value（已弃用） additional.fields |
| ami_id | about.labels.key/value（已弃用） additional.fields |
| reservation_id | about.labels.key/value（已弃用） additional.fields |
| account_id | target.user.userid |
| ssh_public_key | about.labels.key/value（已弃用） additional.fields |
es_process_events
下表列出了架构 es_process_events 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 版本 | target.platform_version |
| seq_num | about.labels.key/value（已弃用） additional.fields |
| global_seq_num | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| parent | target.process.parent_process.pid |
| original_parent | about.labels.key/value（已弃用） additional.fields |
| cmdline | target.process.command_line |
| cmdline_count | about.labels.key/value（已弃用） additional.fields |
| env | about.labels.key/value（已弃用） additional.fields |
| env_count | about.labels.key/value（已弃用） additional.fields |
| CWD | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| 欧盟 ID | about.labels.key/value（已弃用） additional.fields |
| gid | target.group.product_object_id |
| egid | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| signing_id | about.labels.key/value（已弃用） additional.fields |
| team_id | about.labels.key/value（已弃用） additional.fields |
| CDhash | about.labels.key/value（已弃用） additional.fields |
| platform_binary | about.labels.key/value（已弃用） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| child_pid | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| event_type | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
etc_hosts
下表列出了架构 etc_hosts 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 地址 | target.ip |
| 主机名 | about.hostname |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
etc_protocols
下表列出了架构 etc_protocols 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | network.ip_protocol |
| 数字 | about.labels.key/value（已弃用） additional.fields |
| alias | about.labels.key/value（已弃用） additional.fields |
| comment | about.labels.key/value（已弃用） additional.fields |
etc_services
下表列出了架构 etc_services 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | target.resource.name |
| 端口 | target.port |
| 协议 | network.ip_protocol |
| aliases | about.labels.key/value（已弃用） additional.fields |
| comment | about.labels.key/value（已弃用） additional.fields |
file
下表列出了架构文件以及 OS macOS、Linux、Windows 和 freebsd 版本的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| filename | target.file.names |
| inode | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| 模式 | about.labels.key/value（已弃用） additional.fields |
| device | target.asset.asset_id |
| 大小 | target.file.size |
| block_size | about.labels.key/value（已弃用） additional.fields |
| 每次 | target.file.last_seen_time |
| Mtime | target.file.last_modification_time |
| ctime | about.labels.key/value（已弃用） additional.fields |
| Btime | about.labels.key/value（已弃用） additional.fields |
| hard_links | about.labels.key/value（已弃用） additional.fields |
| 符号链接 | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| attributes | about.labels.key/value（已弃用） additional.fields |
| volume_serial | about.labels.key/value（已弃用） additional.fields |
| file_id | about.labels.key/value（已弃用） additional.fields |
| file_version | about.labels.key/value（已弃用） additional.fields |
| product_version | about.labels.key/value（已弃用） additional.fields |
| bsd_flags | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
| mount_namespace_id | about.labels.key/value（已弃用） additional.fields |
file_events
下表列出了架构 file_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| pid | principal.process.pid |
| ppid | principal.process.parent_process.pid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 可执行 | about.labels.key/value（已弃用） additional.fields |
| 部分 | about.labels.key/value（已弃用） additional.fields |
| CWD | about.labels.key/value（已弃用） additional.fields |
| 路径 | src.file.full_path |
| dest_path | target.file.full_path |
| uid | principal.user.userid |
| gid | principal.group.product_object_id |
| Auid | about.labels.key/value（已弃用） additional.fields |
| 欧盟 ID | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| fsuid | about.labels.key/value（已弃用） additional.fields |
| FSGID | about.labels.key/value（已弃用） additional.fields |
| Suid | about.labels.key/value（已弃用） additional.fields |
| SGID | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
gatekeeper
下表列出了架构 Gatekeeper 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| assessments_enabled | about.labels.key/value（已弃用） additional.fields |
| dev_id_enabled | about.labels.key/value（已弃用） additional.fields |
| 版本 | target.asset.software.version |
| opaque_version | about.labels.key/value（已弃用） additional.fields |
gatekeeper_approved_apps
下表列出了架构 gatekeeper_approval_apps 和 OS macOS 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 要求 | about.labels.key/value（已弃用） additional.fields |
| ctime | about.labels.key/value（已弃用） additional.fields |
| Mtime | target.resource.attribute.last_update_time |
组
下表列出了架构组和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| gid | target.group.attribute.labels.key/value |
| gid_signed | target.group.attribute.labels.key/value |
| 群组名称 | target.group.group_display_name |
| group_sid | target.group.product_object_id |
| comment | target.group.attribute.labels.key/value |
| is_hidden | target.group.attribute.labels.key/value |
| pid_with_namespace | target.group.attribute.labels.key/value |
hardware_events
下表列出了架构 hardware_events 和 OS Linux 和 macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | security_result.action_details |
| 路径 | target.asset.attribute.labels.key/value |
| 类型 | target.asset.attribute.labels.key/value |
| 司机 | target.asset.attribute.labels.key/value |
| vendor | target.asset.attribute.labels.key/value |
| vendor_id | target.asset.attribute.labels.key/value |
| model | target.asset.hardware.model |
| model_id | target.asset.attribute.labels.key/value |
| serial | target.asset.attribute.labels.key/value |
| 修订版本 | target.asset.attribute.labels.key/value |
| 时间 | metadata.event_timestamp |
| EID | metadata.product_log_id |
hash
下表列出了架构哈希和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| md5 | target.file.md5 |
| sha1 | target.file.sha1 |
| sha256 | target.file.sha256 |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
| mount_namespace_id | about.labels.key/value（已弃用） additional.fields |
interface_addresses
下表列出了架构 interface_addresses 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 地址。 | about.labels.key/value（已弃用） additional.fields |
| 地址 | target.ip |
| 遮盖 | about.labels.key/value（已弃用） additional.fields |
| 广播 | about.labels.key/value（已弃用） additional.fields |
| point_to_point | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| friendly_name | about.labels.key/value（已弃用） additional.fields |
interface_details
下表列出了架构 interface_details 和操作系统 macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 地址。 | about.labels.key/value（已弃用） additional.fields |
| mac | target.mac |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| mtu | about.labels.key/value（已弃用） additional.fields |
| 指标 | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已弃用） additional.fields |
| ipackets | about.labels.key/value（已弃用） additional.fields |
| 数据包 | about.labels.key/value（已弃用） additional.fields |
| iB | network.sent_bytes |
| 字节 | network.received_bytes |
| ierrors | about.labels.key/value（已弃用） additional.fields |
| 错误 | about.labels.key/value（已弃用） additional.fields |
| idrop | about.labels.key/value（已弃用） additional.fields |
| Odrops | about.labels.key/value（已弃用） additional.fields |
| 碰撞 | about.labels.key/value（已弃用） additional.fields |
| last_change | about.labels.key/value（已弃用） additional.fields |
| link_speed | about.labels.key/value（已弃用） additional.fields |
| pci_slot | about.labels.key/value（已弃用） additional.fields |
| friendly_name | about.labels.key/value（已弃用） additional.fields |
| 说明 | about.labels.key/value（已弃用） additional.fields |
| 制造商 | target.asset.hardware.manufacturer |
| connection_id | about.labels.key/value（已弃用） additional.fields |
| connection_status | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| physical_adapter | about.labels.key/value（已弃用） additional.fields |
| 速度 | about.labels.key/value（已弃用） additional.fields |
| 服务 | target.application |
| dhcp_enabled | about.labels.key/value（已弃用） additional.fields |
| dhcp_lease_expires | network.dhcp.lease_time_seconds |
| dhcp_lease_obtained | about.labels.key/value（已弃用） additional.fields |
| dhcp_server | network.dhcp.yiaddr |
| dns_domain | network.dns.questions.name |
| dns_domain_suffix_search_order | about.labels.key/value（已弃用） additional.fields |
| dns_host_name | about.labels.key/value（已弃用） additional.fields |
| dns_server_search_order | about.labels.key/value（已弃用） additional.fields |
interface_ipv6
下表列出了架构 interface_ipv6 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 地址。 | about.labels.key/value（已弃用） additional.fields |
| hop_limit | about.labels.key/value（已弃用） additional.fields |
| forwarding_enabled | about.labels.key/value（已弃用） additional.fields |
| redirect_accept | about.labels.key/value（已弃用） additional.fields |
| rtadv_accept | about.labels.key/value（已弃用） additional.fields |
iptables
下表列出了架构 iptables 和 OS Linux 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| filter_name | about.labels.key/value（已弃用） additional.fields |
| 链 | about.labels.key/value（已弃用） additional.fields |
| policy | about.labels.key/value（已弃用） additional.fields |
| 目标 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| src_port | src.port |
| dst_port | target.port |
| src_ip | src.ip |
| src_mask | about.labels.key/value（已弃用） additional.fields |
| Iiface | about.labels.key/value（已弃用） additional.fields |
| iniface_mask | about.labels.key/value（已弃用） additional.fields |
| dst_ip | target.ip |
| dst_mask | about.labels.key/value（已弃用） additional.fields |
| 外脸 | about.labels.key/value（已弃用） additional.fields |
| outiface_mask | about.labels.key/value（已弃用） additional.fields |
| 匹配 | about.labels.key/value（已弃用） additional.fields |
| 数据包 | about.labels.key/value（已弃用） additional.fields |
| 字节 | network.received_bytes |
kernel_panics
下表列出了架构 kernel_panics 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 寄存器 | about.labels.key/value（已弃用） additional.fields |
| frame_backtrace | about.labels.key/value（已弃用） additional.fields |
| module_backtrace | about.labels.key/value（已弃用） additional.fields |
| 依赖项 | about.labels.key/value（已弃用） additional.fields |
| name | target.process.command_line |
| os_version | target.platform_version |
| kernel_version | about.labels.key/value（已弃用） additional.fields |
| system_model | target.asset.hardware.model |
| uptime | about.labels.key/value（已弃用） additional.fields |
| last_loaded | about.labels.key/value（已弃用） additional.fields |
| last_unloaded | about.labels.key/value（已弃用） additional.fields |
keychain_acls
下表列出了架构 keychain_acls 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| keychain_path | about.labels.key/value（已弃用） additional.fields |
| 授权 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| 说明 | metadata.description |
| 标签 | about.labels.key/value（已弃用） additional.fields |
known_hosts
下表列出了架构 known_hosts 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | target.user.userid |
| 密钥 | about.labels.key/value（已弃用） additional.fields |
| key_file | target.file.full_path |
最后一
下表列出了架构最后以及 OS Linux、macOS、freebsd 对应的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 用户名 | target.user.user_display_name |
| tty | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| type_name | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
listening_ports
下表列出了架构 listen_ports 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pid | target.process.pid |
| 端口 | target.port |
| 协议 | network.ip_protocol |
| 系列 | about.labels.key/value（已弃用） additional.fields |
| 地址 | target.ip |
| fd | about.labels.key/value（已弃用） additional.fields |
| socket | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| net_namespace | about.labels.key/value（已弃用） additional.fields |
logged_in_users
下表列出了架构 logging_in_users 和 OS macOS、Linux、Windows、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 用户 | target.user.userid |
| tty | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| sid | about.labels.key/value（已弃用） additional.fields |
| registry_hive | about.labels.key/value（已弃用） additional.fields |
logon_sessions
下表列出了架构 logon_sessions 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| logon_id | about.labels.key/value（已弃用） additional.fields |
| 用户 | target.user.user_display_name |
| logon_domain | about.labels.key/value（已弃用） additional.fields |
| authentication_package | about.labels.key/value（已弃用） additional.fields |
| logon_type | about.labels.key/value（已弃用） additional.fields |
| session_id | network.session_id |
| logon_sid | about.labels.key/value（已弃用） additional.fields |
| logon_time | about.labels.key/value（已弃用） additional.fields |
| logon_server | about.labels.key/value（已弃用） additional.fields |
| dns_domain_name | network.dns_domain |
| Upn | about.labels.key/value（已弃用） additional.fields |
| logon_script | about.labels.key/value（已弃用） additional.fields |
| profile_path | target.file.full_path |
| home_directory | about.labels.key/value（已弃用） additional.fields |
| home_directory_drive | about.labels.key/value（已弃用） additional.fields |
lxd_certificates
下表列出了架构 lxd_certificates 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | security_result.detection_fields.key/value |
| 类型 | security_result.detection_fields.key/value |
| 指纹 | security_result.detection_fields.key/value |
| 证书 | security_result.detection_fields.key/value |
lxd_networks
下表列出了架构 lxd_networks 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 受管理 | about.labels.key/value（已弃用） additional.fields |
| ipv4_address | about.labels.key/value（已弃用） additional.fields |
| ipv6_address | about.labels.key/value（已弃用） additional.fields |
| used_by | about.labels.key/value（已弃用） additional.fields |
| bytes_received | network.received_bytes |
| bytes_sent | network.sent_bytes |
| packets_received | about.labels.key/value（已弃用） additional.fields |
| packets_sent | about.labels.key/value（已弃用） additional.fields |
| hwaddr | about.labels.key/value（已弃用） additional.fields |
| state | about.labels.key/value（已弃用） additional.fields |
| mtu | about.labels.key/value（已弃用） additional.fields |
managed_policies
下表列出了架构 managed_policies 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 网域 | target.administrative_domain |
| uuid | about.labels.key/value（已弃用） additional.fields |
| name | about.labels.key/value（已弃用） additional.fields |
| 值 | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| 手动 | about.labels.key/value（已弃用） additional.fields |
memory_devices
下表列出了架构 Memorystore_devices 和 OS Linux、macOS 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 句柄 | about.labels.key/value（已弃用） additional.fields |
| array_handle | about.labels.key/value（已弃用） additional.fields |
| form_factor | about.labels.key/value（已弃用） additional.fields |
| total_width | about.labels.key/value（已弃用） additional.fields |
| data_width | about.labels.key/value（已弃用） additional.fields |
| 大小 | about.labels.key/value（已弃用） additional.fields |
| 设置 | about.labels.key/value（已弃用） additional.fields |
| device_locator | about.labels.key/value（已弃用） additional.fields |
| bank_locator | about.labels.key/value（已弃用） additional.fields |
| memory_type | about.labels.key/value（已弃用） additional.fields |
| memory_type_details | about.labels.key/value（已弃用） additional.fields |
| max_speed | about.labels.key/value（已弃用） additional.fields |
| configured_clock_speed | about.labels.key/value（已弃用） additional.fields |
| 制造商 | target.asset.hardware.manufacturer |
| serial_number | target.asset.hardware.serial_number |
| asset_tag | target.asset.asset_id |
| part_number | about.labels.key/value（已弃用） additional.fields |
| min_voltage | about.labels.key/value（已弃用） additional.fields |
| max_voltage | about.labels.key/value（已弃用） additional.fields |
| configured_voltage | about.labels.key/value（已弃用） additional.fields |
ntdomains
下表列出了架构 ntdomains 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| client_site_name | about.labels.key/value（已弃用） additional.fields |
| dc_site_name | about.labels.key/value（已弃用） additional.fields |
| dns_forest_name | network.dns.questions.name |
| domain_controller_address | target.ip |
| domain_controller_name | about.labels.key/value（已弃用） additional.fields |
| domain_name | target.administrative_domain |
| status | about.labels.key/value（已弃用） additional.fields |
ntfs_acl_permissions
下表列出了架构 ntfs_acl_permissions 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 主账号 | about.labels.key/value（已弃用） additional.fields |
| access | about.labels.key/value（已弃用） additional.fields |
| inherited_from | about.labels.key/value（已弃用） additional.fields |
os_version
下表列出了架构 os_version 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 版本 | principal.platform_version |
| 专业 | about.labels.key/value（已弃用） additional.fields |
| 未成年人 | about.labels.key/value（已弃用） additional.fields |
| patch | principal.platform_patch_level |
| 构建 | about.labels.key/value（已弃用） additional.fields |
| 平台 | principal.platform |
| platform_like | about.labels.key/value（已弃用） additional.fields |
| 代号 | about.labels.key/value（已弃用） additional.fields |
| arch | about.labels.key/value（已弃用） additional.fields |
| install_date | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
| mount_namespace_id | about.labels.key/value（已弃用） additional.fields |
osquery_events
下表列出了架构 osquery_events 和 OS macOS、Linux、Windows、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | target.resource.name |
| 发布方 | about.label.key/value |
| 类型 | about.label.key/value |
| 订阅 | about.label.key/value |
| 个事件 | about.label.key/value |
| refreshes | about.label.key/value |
| 活跃 | about.label.key/value |
补丁
下表列出了架构补丁和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| CSS | target.hostname |
| hotfix_id | about.labels.key/value（已弃用） additional.fields |
| caption | about.labels.key/value（已弃用） additional.fields |
| 说明 | metadata.description |
| fix_comments | about.labels.key/value（已弃用） additional.fields |
| installed_by | about.labels.key/value（已弃用） additional.fields |
| install_date | about.labels.key/value（已弃用） additional.fields |
| installed_on | about.labels.key/value（已弃用） additional.fields |
pci_devices
下表列出了架构 pci_devices 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pci_slot | principal.labels.key/value（已弃用） additional.fields |
| pci_class | principal.labels.key/value（已弃用） additional.fields |
| 司机 | principal.labels.key/value（已弃用） additional.fields |
| vendor | principal.labels.key/value（已弃用） additional.fields |
| vendor_id | principal.labels.key/value（已弃用） additional.fields |
| model | principal.asset.hardware.model |
| model_id | principal.labels.key/value（已弃用） additional.fields |
| 子系统 | principal.labels.key/value（已弃用） additional.fields |
| 快递 | principal.labels.key/value（已弃用） additional.fields |
| 雷电 | principal.labels.key/value（已弃用） additional.fields |
| 可移除 | principal.labels.key/value（已弃用） additional.fields |
| pci_class_id | principal.labels.key/value（已弃用） additional.fields |
| pci_subclass_id | principal.labels.key/value（已弃用） additional.fields |
| pci_subclass | principal.labels.key/value（已弃用） additional.fields |
| subsystem_vendor_id | principal.labels.key/value（已弃用） additional.fields |
| subsystem_vendor | principal.labels.key/value（已弃用） additional.fields |
| subsystem_model_id | principal.labels.key/value（已弃用） additional.fields |
| subsystem_model | principal.labels.key/value（已弃用） additional.fields |
管道
下表列出了架构管道和操作系统 Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pid | target.process.pid |
| name | target.resource.name |
| 实例 | about.labels.key/value（已弃用） additional.fields |
| max_instances | about.labels.key/value（已弃用） additional.fields |
| flags | about.labels.key/value（已弃用） additional.fields |
powershell_events
下表列出了架构 powershell_events 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | metadata.collected_timestamp |
| datetime | about.labels.key/value（已弃用） additional.fields |
| script_block_id | about.labels.key/value（已弃用） additional.fields |
| script_block_count | about.labels.key/value（已弃用） additional.fields |
| script_text | about.labels.key/value（已弃用） additional.fields |
| script_name | about.labels.key/value（已弃用） additional.fields |
| script_path | target.file.full_path |
| cosine_similarity | about.labels.key/value（已弃用） additional.fields |
process_envs
下表列出了架构 process_envs 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pid | target.process.pid |
| 密钥 | about.labels.key |
| 值 | about.labels.value |
process_events
下表列出了架构 process_events 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 版本 | target.platform_version |
| seq_num | about.labels.key/value（已弃用） additional.fields |
| global_seq_num | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| 路径 | target.file.full_path |
| parent | target.process.parent_process.pid |
| original_parent | about.labels.key/value（已弃用） additional.fields |
| cmdline | target.process.command_line |
| cmdline_count | about.labels.key/value（已弃用） additional.fields |
| env | about.labels.key/value（已弃用） additional.fields |
| env_count | about.labels.key/value（已弃用） additional.fields |
| CWD | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| 欧盟 ID | about.labels.key/value（已弃用） additional.fields |
| gid | target.group.product_object_id |
| egid | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| signing_id | about.labels.key/value（已弃用） additional.fields |
| team_id | about.labels.key/value（已弃用） additional.fields |
| CDhash | about.labels.key/value（已弃用） additional.fields |
| platform_binary | about.labels.key/value（已弃用） additional.fields |
| exit_code | about.labels.key/value（已弃用） additional.fields |
| child_pid | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| event_type | about.labels.key/value（已弃用） additional.fields |
| EID | about.labels.key/value（已弃用） additional.fields |
process_file_events
下表列出了架构 process_file_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| ppid | target.process.parent_process.pid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 可执行 | about.labels.key/value（已弃用） additional.fields |
| 部分 | about.labels.key/value（已弃用） additional.fields |
| CWD | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| dest_path | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| Auid | about.labels.key/value（已弃用） additional.fields |
| 欧盟 ID | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| fsuid | about.labels.key/value（已弃用） additional.fields |
| FSGID | about.labels.key/value（已弃用） additional.fields |
| SUID | about.labels.key/value（已弃用） additional.fields |
| SGID | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
process_open_sockets
下表列出了架构 process_open_sockets 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pid | principal.process.pid |
| fd | about.labels.key/value（已弃用） additional.fields |
| socket | about.labels.key/value（已弃用） additional.fields |
| 系列 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| 路径 | target.file.full_path |
| state | about.labels.key/value（已弃用） additional.fields |
| net_namespace | about.labels.key/value（已弃用） additional.fields |
进程
下表列出了架构进程和 OS macOS、Linux、Windows、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| pid | target.process.pid |
| name | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| cmdline | target.process.command_line |
| state | target.process.attribute.labels.key/value |
| CWD | about.labels.key/value（已弃用） additional.fields |
| root | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| 欧盟 ID | about.labels.key/value（已弃用） additional.fields |
| egid | about.labels.key/value（已弃用） additional.fields |
| Suid | about.labels.key/value（已弃用） additional.fields |
| SGID | about.labels.key/value（已弃用） additional.fields |
| on_disk | about.labels.key/value（已弃用） additional.fields |
| wired_size | about.labels.key/value（已弃用） additional.fields |
| resident_size | about.labels.key/value（已弃用） additional.fields |
| total_size | about.labels.key/value（已弃用） additional.fields |
| user_time | about.labels.key/value（已弃用） additional.fields |
| system_time | about.labels.key/value（已弃用） additional.fields |
| disk_bytes_read | about.labels.key/value（已弃用） additional.fields |
| disk_bytes_written | about.labels.key/value（已弃用） additional.fields |
| start_time | about.labels.key/value（已弃用） additional.fields |
| parent | target.process.parent_process.pid |
| Pgroup | about.labels.key/value（已弃用） additional.fields |
| threads | about.labels.key/value（已弃用） additional.fields |
| nice | about.labels.key/value（已弃用） additional.fields |
| elevated_token | about.labels.key/value（已弃用） additional.fields |
| secure_process | about.labels.key/value（已弃用） additional.fields |
| protection_type | about.labels.key/value（已弃用） additional.fields |
| virtual_process | about.labels.key/value（已弃用） additional.fields |
| elapsed_time | about.labels.key/value（已弃用） additional.fields |
| handle_count | about.labels.key/value（已弃用） additional.fields |
| percent_processor_time | about.labels.key/value（已弃用） additional.fields |
| UPID | about.labels.key/value（已弃用） additional.fields |
| 令人高兴 | about.labels.key/value（已弃用） additional.fields |
| cpu_type | about.labels.key/value（已弃用） additional.fields |
| cpu_subtype | about.labels.key/value（已弃用） additional.fields |
项目
下表列出了架构程序和操作系统的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | target.resource.name |
| 版本 | target.platform_version |
| install_location | about.labels.key/value（已弃用） additional.fields |
| install_source | about.labels.key/value（已弃用） additional.fields |
| 语言 | about.labels.key/value（已弃用） additional.fields |
| 发布方 | about.labels.key/value（已弃用） additional.fields |
| uninstall_string | target.file.full_path |
| install_date | about.labels.key/value（已弃用） additional.fields |
| identifying_number | about.labels.key/value（已弃用） additional.fields |
scheduled_tasks
下表列出了架构 scheduled_tasks 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | target.resource.name |
| 操作 | security_result.action_details |
| 路径 | target.file.full_path |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| state | about.labels.key/value（已弃用） additional.fields |
| 隐藏 | about.labels.key/value（已弃用） additional.fields |
| last_run_time | about.labels.key/value（已弃用） additional.fields |
| next_run_time | about.labels.key/value（已弃用） additional.fields |
| last_run_message | about.labels.key/value（已弃用） additional.fields |
| last_run_code | about.labels.key/value（已弃用） additional.fields |
seccomp_events
下表列出了架构 seccomp_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| Auid | about.labels.key/value（已弃用） additional.fields |
| uid | target.user.userid |
| gid | target.group.product_object_id |
| ses | about.labels.key/value（已弃用） additional.fields |
| pid | target.process.pid |
| comm | about.labels.key/value（已弃用） additional.fields |
| exe | target.file.full_path |
| sig | about.labels.key/value（已弃用） additional.fields |
| arch | about.labels.key/value（已弃用） additional.fields |
| 系统调用 | about.labels.key/value（已弃用） additional.fields |
| compat | about.labels.key/value（已弃用） additional.fields |
| ip | about.labels.key/value（已弃用） additional.fields |
| 代码 | about.labels.key/value（已弃用） additional.fields |
seLinux_events
下表列出了架构 seLinux_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 消息 | metadata.description |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
shadow
下表列出了架构影子和操作系统 Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| password_status | about.labels.key/value（已弃用） additional.fields |
| hash_alg | about.labels.key/value（已弃用） additional.fields |
| last_change | about.labels.key/value（已弃用） additional.fields |
| 分钟 | about.labels.key/value（已弃用） additional.fields |
| max | about.labels.key/value（已弃用） additional.fields |
| 警告 | about.labels.key/value（已弃用） additional.fields |
| 非活跃 | about.labels.key/value（已弃用） additional.fields |
| expire | about.labels.key/value（已弃用） additional.fields |
| 旗帜 | about.labels.key/value（已弃用） additional.fields |
| 用户名 | principal.user.user_display_name |
shell_history
下表列出了架构 shell_history 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| 命令 | principal.process.command_line |
| history_file | principal.process.file.full_path |
填充码
下表列出了架构 shimcache 和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 入口 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| modified_time | target.file.last_modification_time |
| execution_flag | about.labels.key/value（已弃用） additional.fields |
signature
下表列出了架构签名和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| hash_resources | about.labels.key/value（已弃用） additional.fields |
| arch | about.labels.key/value（已弃用） additional.fields |
| 已签署 | target.file.pe_file.signature_info.verified |
| identifier | target.file.pe_file.signature_info.signer |
| CDhash | about.labels.key/value（已弃用） additional.fields |
| team_identifier | about.labels.key/value（已弃用） additional.fields |
| authority | about.labels.key/value（已弃用） additional.fields |
sip_config
下表列出了架构 sip_config 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| config_flag | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| enabled_nvram | about.labels.key/value（已弃用） additional.fields |
socket_events
下表列出了架构 socket_events 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 操作 | security_result.action_details |
| pid | target.process.pid |
| 路径 | target.process.file.full_path |
| fd | about.labels.key/value（已弃用） additional.fields |
| Auid | target.user.userid |
| status | about.labels.key/value（已弃用） additional.fields |
| 系列 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| local_address | principal.ip |
| remote_address | target.ip |
| local_port | principal.port |
| remote_port | target.port |
| socket | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
| 成功 | about.labels.key/value（已弃用） additional.fields |
sudoers
下表列出了架构 sudoers 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 来源 | about.labels.key/value（已弃用） additional.fields |
| 标头 | about.labels.key/value（已弃用） additional.fields |
| rule_details | about.labels.key/value（已弃用） additional.fields |
syslog_events
下表列出了架构 syslog_events 和 OS Linux 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| datetime | about.labels.key/value（已弃用） additional.fields |
| 主机 | target.hostname |
| 和程度上减少 | security_result.severity（枚举） |
| 设施 | about.labels.key/value（已弃用） additional.fields |
| 标记 | about.labels.key/value（已弃用） additional.fields |
| 消息 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
system_info
下表列出了架构 system_info 和 OS macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 主机名 | principal.administrative_domain |
| uuid | about.labels.key/value（已弃用） additional.fields |
| cpu_type | about.labels.key/value（已弃用） additional.fields |
| cpu_subtype | about.labels.key/value（已弃用） additional.fields |
| cpu_brand | about.labels.key/value（已弃用） additional.fields |
| cpu_physical_cores | about.labels.key/value（已弃用） additional.fields |
| cpu_logical_cores | principal.asset.hardware.cpu_number_cores |
| cpu_microcode | about.labels.key/value（已弃用） additional.fields |
| physical_memory | about.labels.key/value（已弃用） additional.fields |
| hardware_vendor | about.labels.key/value（已弃用） additional.fields |
| hardware_model | principal.asset.hardware.model |
| hardware_version | about.labels.key/value（已弃用） additional.fields |
| hardware_serial | principal.asset.hardware.serial_number |
| board_vendor | about.labels.key/value（已弃用） additional.fields |
| board_model | about.labels.key/value（已弃用） additional.fields |
| board_version | about.labels.key/value（已弃用） additional.fields |
| board_serial | about.labels.key/value（已弃用） additional.fields |
| computer_name | about.labels.key/value（已弃用） additional.fields |
| local_hostname | about.labels.key/value（已弃用） additional.fields |
tpm_info
下表列出了架构 tpm_info 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| 拥有 | about.labels.key/value（已弃用） additional.fields |
| manufacturer_version | about.labels.key/value（已弃用） additional.fields |
| manufacturer_id | about.labels.key/value（已弃用） additional.fields |
| manufacturer_name | principal.aseet.hardware.manufacturer |
| product_name | principal.resource.name |
| physical_presence_version | about.labels.key/value（已弃用） additional.fields |
| spec_version | about.labels.key/value（已弃用） additional.fields |
usb_devices
下表列出了架构 usb_devices 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| usb_address | about.labels.key/value（已弃用） additional.fields |
| usb_port | about.labels.key/value（已弃用） additional.fields |
| vendor | about.labels.key/value（已弃用） additional.fields |
| vendor_id | about.labels.key/value（已弃用） additional.fields |
| 版本 | about.labels.key/value（已弃用） additional.fields |
| model | target.asset.hardware.model |
| model_id | about.labels.key/value（已弃用） additional.fields |
| serial | target.asset.hardware.serial_number |
| 类 | about.labels.key/value（已弃用） additional.fields |
| 子类 | about.labels.key/value（已弃用） additional.fields |
| 协议 | about.labels.key/value（已弃用） additional.fields |
| 可移除 | about.labels.key/value（已弃用） additional.fields |
user_events
下表列出了架构 user_events 和 OS Linux、macOS、freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| Auid | principal.user.attribute.labels.key/value |
| pid | target.process.pid |
| 消息 | metadata.description |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.file.full_path |
| 地址 | about.labels.key/value（已弃用） additional.fields |
| 终端 | about.labels.key/value（已弃用） additional.fields |
| 时间 | metadata.collected_timestamp |
| uptime | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |
user_groups
下表列出了架构 user_group 和 OS Linux、macOS、Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| gid | principal.group.product_object_id |
位用户
下表列出了架构用户和操作系统 macOS、Linux、Windows 和 freebsd 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| uid | principal.user.userid |
| gid | principal.user.group_identifiers(repeated) |
| uid_signed | about.labels.key/value（已弃用） additional.fields |
| gid_signed | about.labels.key/value（已弃用） additional.fields |
| 用户名 | principal.user.user_display_name |
| 说明 | about.labels.key/value（已弃用） additional.fields |
| 目录 | about.labels.key/value（已弃用） additional.fields |
| shell | about.labels.key/value（已弃用） additional.fields |
| uuid | principal.user.product_object_id |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| is_hidden | about.labels.key/value（已弃用） additional.fields |
| pid_with_namespace | about.labels.key/value（已弃用） additional.fields |
wifi_networks
下表列出了架构 wifi_networks 和 OS macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| SSID | target.labels.key/value（已弃用） additional.fields |
| network_name | target.labels.key/value（已弃用） additional.fields |
| security_type | target.labels.key/value（已弃用） additional.fields |
| last_connected | about.labels.key/value（已弃用） additional.fields |
| Passpoint | about.labels.key/value（已弃用） additional.fields |
| possibly_hidden | about.labels.key/value（已弃用） additional.fields |
| 漫游中 | about.labels.key/value（已弃用） additional.fields |
| roaming_profile | about.labels.key/value（已弃用） additional.fields |
| captive_portal | about.labels.key/value（已弃用） additional.fields |
| auto_login | target.labels.key/value（已弃用） additional.fields |
| temporarily_disabled | target.labels.key/value（已弃用） additional.fields |
| 已停用 | target.labels.key/value（已弃用） additional.fields |
windows_crashes
下表列出了架构 Windows_crashes 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| datetime | about.labels.key/value（已弃用） additional.fields |
| module | about.labels.key/value（已弃用） additional.fields |
| 路径 | target.process.file.full_path |
| pid | target.process.pid |
| tid | about.labels.key/value（已弃用） additional.fields |
| 版本 | about.labels.key/value（已弃用） additional.fields |
| process_uptime | about.labels.key/value（已弃用） additional.fields |
| stack_trace | about.labels.key/value（已弃用） additional.fields |
| exception_code | about.labels.key/value（已弃用） additional.fields |
| exception_message | about.labels.key/value（已弃用） additional.fields |
| exception_address | about.labels.key/value（已弃用） additional.fields |
| 寄存器 | about.labels.key/value（已弃用） additional.fields |
| command_line | target.process.command_line |
| current_directory | about.labels.key/value（已弃用） additional.fields |
| 用户名 | target.user.user_display_name |
| machine_name | about.labels.key/value（已弃用） additional.fields |
| major_version | about.labels.key/value（已弃用） additional.fields |
| minor_version | about.labels.key/value（已弃用） additional.fields |
| build_number | target.platform_version |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| crash_path | about.labels.key/value（已弃用） additional.fields |
windows_eventlog
Windows 事件 (WINEVTLOG) 解析器会映射这些事件。有关详情，请参阅收集 Microsoft Windows 事件数据。
windows_events
Windows 事件 (WINEVTLOG) 解析器会映射这些事件。如需了解详情，请参阅收集 Microsoft Windows 事件数据。
windows_firewall_rules
下表列出了架构 Windows_firewall_rules 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| app_name | target.application |
| 操作 | security_result.action（枚举） |
| 已启用 | about.labels.key/value（已弃用） additional.fields |
| 分组 | about.labels.key/value（已弃用） additional.fields |
| direction | network.direction |
| 协议 | network.ip_protocol |
| local_addresses | principal.ip |
| remote_addresses | target.ip |
| local_ports | principal.port |
| remote_ports | target.port |
| icmp_types_codes | about.labels.key/value（已弃用） additional.fields |
| profile_domain | about.labels.key/value（已弃用） additional.fields |
| profile_private | about.labels.key/value（已弃用） additional.fields |
| profile_public | about.labels.key/value（已弃用） additional.fields |
| service_name | about.labels.key/value（已弃用） additional.fields |
windows_security_center
下表列出了架构 Windows_security_center 和 OS Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 防火墙 | security_result.detection_fields.key/value |
| 自动更新 | security_result.detection_fields.key/value |
| 杀毒软件 | security_result.detection_fields.key/value |
| 反间谍软件 | security_result.detection_fields.key/value |
| internet_settings | security_result.detection_fields.key/value |
| Windows_security_center_service | security_result.detection_fields.key/value |
| user_account_control | security_result.detection_fields.key/value |
windows_security_products
下表列出了架构 Windows_security_products 和 OS Windows 的日志字段和相应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 类型 | about.labels.key/value（已弃用） additional.fields |
| name | target.resource.name |
| state | about.labels.key/value（已弃用） additional.fields |
| state_timestamp | about.labels.key/value（已弃用） additional.fields |
| remediation_path | about.labels.key/value（已弃用） additional.fields |
| signatures_up_to_date | about.labels.key/value（已弃用） additional.fields |
wmi_bios_info
下表列出了架构 wmi_bios_info 和操作系统 Windows 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| name | about.labels.key/value（已弃用） additional.fields |
| 值 | about.labels.key/value（已弃用） additional.fields |
亚拉
下表列出了架构 yara 和 OS Linux、macOS、freebsd 和 Windows 的日志字段及对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| 路径 | target.file.full_path |
| 匹配 | about.labels.key/value（已弃用） additional.fields |
| 计数 | about.labels.key/value（已弃用） additional.fields |
| sig_group | security_result.detection_fields.key/value |
| 签名文件 | security_result.detection_fields.key/value |
| Sigrule | security_result.detection_fields.key/value |
| 字符串 | about.labels.key/value（已弃用） additional.fields |
| tags | about.labels.key/value（已弃用） additional.fields |
| sigurl | security_result.detection_fields.key/value |
yara_events
下表列出了架构 yara_events 和 OS Linux、macOS 的日志字段和对应的 UDM 映射：
| 日志字段 | UDM 映射 |
|---|---|
| metadata.event_type 映射到了 SETTING_MODIFICATION | |
| target_path | target.file.full_path |
| category | about.labels.key/value（已弃用） additional.fields |
| 操作 | security_result.action_details |
| transaction_id | security_result.detection_fields.key/value |
| 匹配 | about.labels.key/value（已弃用） additional.fields |
| 计数 | about.labels.key/value（已弃用） additional.fields |
| 字符串 | about.labels.key/value（已弃用） additional.fields |
| tags | about.labels.key/value（已弃用） additional.fields |
| 时间 | about.labels.key/value（已弃用） additional.fields |
| EID | metadata.product_log_id |