安全数据湖信息模型架构

本指南是Illuminate所用架构的参考文档。我们将随变更持续更新，若您认为应纳入某项变更，请提交GitHub议题此处 .

使用指南

欢迎查阅安全数据湖全局信息模型(GIM)架构。该架构按"文件"或"目标"等模块划分，下方列出所有元数据字段。

Illuminate将采用此架构创建所有内容。本指南为官方参考文档，若您希望自建内容与我们的内容保持一致，请遵循此规范。

例如，若您将任何日志源中的用户名填入名为 用户名 ，那么任何基于Illuminate创建的仪表板或告警功能也将正常运作。

安全数据湖模板

当日志被处理时，日志数据会以"关键词"形式存入OpenSearch，这意味着它们保持原始状态不作任何修改。因此以下数据点是独立区分的：

Administrator 或 administrator .

若在安全数据湖界面中进行搜索，您需要同时搜索这两个术语或准确知道该搜索哪一个。而像 用户名 这样的字段，应当支持不区分大小写的搜索功能。

为确保实现这些需求，安全数据湖架构模板中内置了名为"loweronly"的自定义分析器。经"loweronly"标准化的字段会在数据索引前转为小写，针对这些字段的搜索查询字符串在执行时也会转为小写。架构文档中将此类字段标注为keyword/loweronly以供参考。

信息模型实体

以下元数据字段类别完整构成了安全数据湖信息模型架构：

告警字段

针对告警类消息（如IDS告警）
对于厂商告警严重级别，将使用 vendor_event_severity *字段

表1. 告警字段

字段名称	示例值	字段类型	备注
`alert_definitions_version`	2020.14092348	关键字	表示正在使用的特征库（如杀毒软件等）版本的版本号或标识值
`alert_category`	恶意软件、木马、勒索软件	关键字	未来考虑：考虑到各厂商会有自己的分类标准，如何定义该字段？或者无需顾虑？可能移至衍生字段并设置允许值
`alert_indicator`	malware.exe, http://badsite	关键字	与触发告警事件相关的文件名、URL、数据包片段或其他特征物
`alert_response_level`	0, 1, 2	字节	表示针对告警/威胁采取响应行动类型的数值。0=无操作（允许、忽略），1=阻止（拦截、隔离），2=根除（删除）。通过数值运算可检测未拦截威胁（产品可能为单个威胁记录多个事件）。
`alert_signature`		关键字	厂商提供的告警文本描述
`alert_signature_id`		关键字	厂商特定的告警特征唯一标识符（例如Snort规则的1:1905345:5）

表2. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	备注
`alert_severity`	严重、高、中、低、信息	关键字	警报严重性
`警报严重性等级`	1-5	字节	源消息严重性评级的数字表示：1=信息性，2=低，3=中，4=高，5=严重

应用程序字段

表3. 应用程序字段

字段名称	示例值	字段类型	备注
`应用程序名称`	Facebook, SQL, windows_rdp	关键字（ `标准化：仅小写` )	应用程序名称，可以是网络流量的第7层应用名称、认证服务/程序名称等
`应用程序响应时间`		关键字	应用程序对请求作出响应所需的时间
`应用程序单点登录模式`		关键字	对于单点登录（SSO）事件，这是用于访问应用程序的方法
`应用程序单点登录目标名称`		关键字	对于SSO事件，这是被访问的应用程序名称

关联字段

表4. 关联字段

字段名称	示例值	字段类型	备注
`associated_category`		keyword	待定：不确定此字段是否有用
`associated_hash`	6f9efb466e043b9f3635827ce446e13c	keyword	日志消息中所有关联的md5、sha1、sha256、sha512、imp哈希值
`associated_host`	10.1.2.3,corpdc01,corpdc01.corpdomain.local	keyword	未来计划：复制日志消息中任何标识主机信息（IP、主机名等），目前尚未实现。
`associated_ip`	10.1.2.3,fe80:5cc3:11:4::2c	ip	日志消息关联的IP地址
`associated_mac`	a0:b4:44:01:a9:d1	keyword	日志消息关联的MAC地址（冒号分隔且小写）
`associated_session_id`	0xa72c	keyword	日志消息关联的会话ID
`associated_user_id`	999,S-1-5-18	keyword	该字段将映射到与用户上下文关联的所有用户ID值（uid、SID等）。未来可能通过用户框架自动填充。
`associated_user_name`	administrator,administrator@corp.local	keyword ( `normalized:loweronly` )	任何关联/替代的用户ID或电子邮件，可以是多个值的集合。

自治系统（AS）子字段

互联网相关的自治系统（AS）字段（根据需要嵌套）
AS字段包含与IP地址相关的组织信息数据
AS字段适用于源、目标和主机实体

表5. 自治系统（AS）子字段

字段名称	示例值	字段类型	备注
… `_as_number`	15169	keyword	唯一编号。ASN标识互联网上的每个网络
… `_as_organization`	Bitdefender	keyword	组织名称
… `_as_isp`		keyword	与IP地址关联的ISP
… `_as_domain`		关键字	与IP地址关联的域名

容器字段

表6. 容器字段

字段名称	字段类型	备注
`container_id`	关键字	唯一容器ID
`container_name`	关键字	容器名称
`container_namespace`	关键字	容器运行的命名空间

目标字段

表7. 目标字段

字段名称	示例值	字段类型	备注
`destination_application_name`	facebook, twitter	关键字	描述目标应用程序
`destination_bytes_sent`	203948	长整型	由目标发送至源端的网络字节数。某些数据源可能将其表示为源端接收字节数、接收字节数或类似名称。
`目标设备型号`	iPad	关键字	设备型号名称
`目标设备厂商`	苹果、华硕	关键字	设备厂商名称
`目标域名`	corp.local	关键字（标准化处理：仅小写）	目标域名上下文
`目标主机名`	corpdc01	关键字（标准化处理：仅小写）
`目标IP地址`	10.1.2.3, fe80:5cc3:11:4::2c	IP地址	IPv4及IPv6地址
`目标NAT转换IP`	10.1.2.3, fe80:5cc3:11:4::2c	IP地址	由执行NAT功能的网络设备分配的转换后IP地址
`目标NAT转换端口`	2356	整数	由执行NAT功能的网络设备分配的转换后网络端口
`目标操作系统名称`	IOS, Android	关键字	操作系统名称
`destination_os_version`	IOS 10.0	关键字	操作系统版本号
`destination_packets_sent`	73458324	长整型	传输至目标端点的数据包数量
`destination_port`	80, 443	整数	网络连接端口关联的服务端口号，范围0-65535
`destination_port_iana_name`	ssh, ftp	关键字	IANA注册的网络应用服务名称。Illuminate Core将使用此值定义 `destination_port` 存在于包含 `destination_ip` 定义但未定义 `destination_port` 的事件中
`destination_region`	us-east-1	关键字	源设备所在区域名称
`destination_id`	09VX93DD	关键字	目标设备的标识值（如序列号）
`destination_type`		关键字	目标设备信息（如型号）
`destination_vm_name`		关键字	虚拟系统名称（勿与主机名混淆）
`destination_vsys_uuid`	1f5398c7-4d84-4499-84ee-d5e9246c52f8	关键字	目标虚拟系统UUID
`destination_zone`	internal	关键字	目标设备的网络区域

表8. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	备注
`destination_as_*`			参见： as_* 字段
`destination_category`		关键字	未来：来自实体映射
`destination_geo_*`			参见： geo_* 字段
`目标位置名称`	美国芝加哥，数据中心01，俾斯麦-金融部	关键字	该字段来源于企业内部网络定义或可用的地理位置字段
`目标MAC地址`	a0:b4:44:01:a9:d1	关键字	主机的MAC地址，以冒号分隔且为小写
`目标优先级`	关键、高、中、低	关键字	未来：来自实体映射
`目标优先级数值`	1-4	字节	表示目标设备优先级的数值，1=低，2=中，3=高，4=关键
`目标引用`	IPv4、IPv6、主机名、完全限定域名	关键字（规范化：仅小写）	自动从以下字段映射： `目标IP` , `目标主机名` , `目标对象` , `目标虚拟机名称` , `目标MAC`

电子邮件字段

表9. 电子邮件字段

字段名称	示例值	字段类型	备注
`email_attachment_file_name`	attachment.exe	数组	附件的文件名。
`email_attachment_file_size`	1024	长整型	附件的字节大小。
`email_bcc`	stefan@example.com	关键字	密件抄送收件人/目的地的电子邮件地址。
`email_cc`	stefan@example.com	关键字	抄送收件人/目的地的电子邮件地址。
`email_delivered_to`	joe@example.com	关键字	这是 `Delivered-To` 电子邮件头字段。
`email_direction`	入站、出站、横向	keyword	指示观察到的邮件流向。必须为inbound（入站）、outbound（出站）或lateral（横向）之一，若供应商提供的网络方向描述不同，应映射为这些值。
`email_from`	stefan@example.com	keyword	根据RFC 5322，指定实际传输/发送消息的地址。
`email_message_id`	<CAD78=PvAb+iLQ6x+221MGa-22@mail.gmail.com>	keyword	全局唯一的消息标识符。
`email_raw_header`		keyword	邮件认证头。
`email_reply_to`	stefan@example.com	keyword	根据RFC 5322中Reply-To头字段的值，指定回复应送达的地址。 `Reply-To` 头字段。
`email_size`	234	long	邮件大小（字节）。
`email_subject`	RE: FWD: Testing	keyword	邮件主题。
`email_to`	stefan@example.com	keyword	收件人/目的地的电子邮件地址。
`email_uid`	123456789A	keyword	电子邮件软件内部用于追踪消息的唯一标识符。
`email_x_originating_ip`	192.168.2.3	array	标识电子邮件原始IP地址的X-Originating-IP头部。
`email_xmailer`	spambot	keyword	创建并发送电子邮件的工具。

事件字段

表10. 事件字段

字段名称	示例值	字段类型	备注
`event_action`	已阻止, 已允许, `scan_start` , `scan_end` , `scan_pause` , `scan_cancel` , `scan_resume`	keyword	日志中描述的操作，如防火墙日志或防病毒代理日志中的操作
`event_code`	4624, 1	long	由厂商定义的表示源消息类型的数字事件，例如微软的EventCode/Event ID。该字段被视为数值以支持范围查询。任何前导0值将被移除
`event_created`	2020-02-20 08:23:15.102, 1602080607	date	事件实际发生或原始事件消息创建的日期/时间
`event_duration`	10293874	long	所描述事件的持续时间（秒）
`event_end`	2021-03-26T11:25:13.113	date	日志消息中描述事件结束的日期/时间，通常与具有持续时间的事件相关联
`event_error_code`	0xC00008	keyword	与当前消息关联的厂商提供的错误代码
`event_error_description`	ERROR_ACCESS_DENIED, Not Found	keyword	与当前消息关联的错误描述
`event_id`	0023425, 90EF8	keyword	厂商提供的表示消息类型的标识符。类似于 `event_code` 但被映射为横向字符串值。不支持范围搜索，但ID值不会以任何方式被修改。
`event_log_name`	security, auth.log	keyword	日志引用，如'Security'、'auth.log'等——这与 `vendor_subtype` 不同，后者更多指代日志采集的原始来源。
`event_log_path`	/var/log/syslog	keyword	日志文件源的完整路径
`event_observer_hostname`	SERVER01.server01.corp.internal	keyword/loweronly	生成基于某事物（如网络流量）检查消息（如警报）的系统（如IDS或IPS）的主机名或FQDN。
`event_observer_id`	234cd78sc	keyword	观察者设备的唯一ID、序列号等
`event_observer_ip`	10.1.2.3, fe80:5cc3:11:4::2c	ip	事件观察者的IP地址
`event_observer_uid`		keyword	与事件观察者关联的唯一标识符（如序列号或资产ID）
`event_received_time`	2020-02-20 08:00:00, 1602080607	date	事件被报告主机接收的日期/时间。通常适用于通过集中式日志服务器转发的日志。
`event_repeat_count`	5, 3, 9185	long	消息重复的次数计数
`event_reporter`	SERVER01.server01.corp.internal	keyword	将消息传递至的目标系统主机名或IP Security Data Lake - 如WEC服务器、syslog收集器等
`event_source`	LAPTOP01,laptop01.corp.internal	keyword	生成事件的源系统主机名或IP
`event_source_api_version`		keyword	通过API收集日志的源系统API版本
`event_source_product`	windows, linux, okta	keyword	负责生成事件的系统，例如“windows”、“okta”等
`event_start`	2020-02-20 08:00:00, 1602080607	date	日志消息中描述事件的开始时间，通常与具有持续时间的事件相关联
`event_uid`	1123523564, 0122e2b3-9923-11ea-ab51-061b68b4ca16	keyword	与单个事件/消息关联的唯一标识（例如Windows事件日志中的“记录编号”、安全数据湖消息ID)

表11. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	注释
`事件结果`	成功、失败	关键词	由 `事件动作` .
`事件严重性`	严重、高、中、低、信息性	关键词	若仅定义了 `事件严重性级别` 时，该字段将由Illuminate Core自动添加。可从使用不同严重性定义的供应商级别映射而来。
`事件严重性级别`	1-5	字节	源消息严重性评级的数字表示：1=信息性，2=低，3=中，4=高，5=严重。当仅定义 `事件严重性` 时，该字段将由Illuminate核心模块添加。

文件字段

表12. 文件字段

字段名称	示例值	字段类型	备注
`file_company`	微软	关键字	从文件元数据中提取的关联公司名称
`file_compile_time`		日期	二进制文件的编译日期/时间
`file_contents`		关键字	文件内容
`file_description`	WMI	关键字	文件描述
`file_is_executable`	真，假	布尔值	标识文件是否可执行的标记
`file_is_signed`	1	布尔值	标识文件是否经过数字签名的标记
`file_name`	file.zip, file.exe, file	关键字	文件名（不含路径）
`file_path`	C:\\temp\\file.exe	关键字	完整路径及文件名
`file_product`		keyword	文件随附的产品名称
`file_product_version`		keyword	文件随附的产品版本
`file_signature_status`	有效	keyword	文件签名状态
`file_signed_by`	Microsoft Windows	keyword	文件签名者名称
`file_size`	23894713	long	文件大小（字节）
`file_type`	gzip压缩数据, application/pdf	keyword	文件内容描述
`file_version`	10.0.14393.4169 (rs1_release.210107-1130)	keyword	文件版本

地理位置子字段

地理字段包含事件/主机/IP的位置引用数据
地理字段适用于源、目标和主机实体

表13. 地理位置子字段

字段名称	示例值	字段类型	备注
… `_geo_city`	汉堡, 休斯顿	关键字	城市名称
… `_geo_continent`	美洲	关键字	大洲名称
… `_geo_country_iso`	US, DE, CA	关键字	国家ISO Alpha-2代码
… `_geo_country`	美国, 加拿大	关键字	国家名称
… `_geo_coordinates`	34.1186,-118.3004	关键字	经纬度坐标
… `_geo_name`	德国汉堡	keyword	地理位置名称，可通过组合其他字段值派生
… `_geo_state`	汉堡州	keyword	州/省名称

GIM字段集

GIM字段是安全数据湖用于为消息分配标准类别、子类别及类型的元字段

表14. GIM字段集

字段名称	示例值	字段类型	备注
`gim_event_type_code`	100000	长整型	该字段在标准化流程中分配，基于此字段将为消息应用类别、子类别和类型字段

表15. GIM派生字段（这些字段在数据富化过程中添加到消息）

字段名称	示例值	字段类型	备注
`gim_event_category`	进程,审计,认证	关键字	关联日志消息所属的类别。消息类别是对相关消息的分组，这些消息通常具有共同字段。
`gim_event_class`	端点, 协议	关键字	这是一个可选字段，用于关联类别。例如，进程和服务类别属于端点 `gim_event_class` 等类别的一部分。
`gim_event_type`	网络连接	关键字	对关联日志消息中描述事件的说明。
`gim_event_subcategory`	凭证验证, 进程	关键字	类别下事件的二级分组，其中单个事件具有许多共同特征。

哈希字段

表16. 哈希字段

字段名称	示例值	字段类型	备注
`hash_md5`	4c583e00d47108f809282d5d595f5fb0	关键字	MD5哈希值
`hash_sha1`	5d4d04eff6aba8467ebd26c43008ab028203be35	关键字	SHA1哈希值
`hash_sha256`		关键字	SHA256哈希值
`hash_sha512`		关键字	SHA512哈希值
`hash_imphash`	0c2803c4e9a2102c4dc65963dad36cdf	关键字	IMP哈希值

主机字段

表17. 主机字段

字段名称	示例值	字段类型	备注
`host_device`	\\Device\\HarddiskVolume2	关键字	系统连接设备标识（驱动器/网络适配器）
`host_hostname`	corpdc01, corpdc01.local, lab01.corpdomain.com	关键字（标准化:仅小写）	NetBIOS或DNS主机名
`host_id`		关键字	主机唯一标识符（如微软系统的SID）
`host_ip`	10.1.2.3, fe80:5cc3:11:4::2c	IP	IPv4和IPv6地址
`host_ipv6`	fe80:5cc3:11:4::2c	ip	IPv6地址
`host_mac`	02:a1:f9:c2:d5:04	keyword	主机的MAC地址，冒号分隔且小写
`host_reference`	127.0.0.1, corpdc01, corpdc01.local, lab01.corpdomain.com	keyword (normalized:loweronly)	映射自 `host_ip` 或 `host_hostname` 按此顺序 - 为不提供两者的消息提供一个公共字段引用（注意：CIDR搜索不适用于此字段）
`host_region`	us-east-1	keyword	源设备所在区域的名称
`host_type_version`		keyword	主机的操作系统版本
`host_virtfw_hostname`		keyword/loweronly	对于作为分区服务运行的防火墙，这是逻辑设备的名称
`host_virtfw_id`		keyword	对于作为分区服务运行的防火墙，这是逻辑设备的ID值
`host_virtfw_uid`		keyword	唯一标识符，如表示虚拟主机的UUID值
`host_vm_name`		keyword	虚拟系统名称（勿与主机名混淆）

表18. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	备注
`host_as_*`			参见： as_*字段
`host_category`		keyword	未来：来自实体映射
`host_geo_*`			参见： geo_*字段
`host_location_name`	美国芝加哥，数据中心01，俾斯麦-财务部	keyword	该字段源自企业内部网络定义或可用的地理位置字段
`host_priority`	关键、高、中、低	keyword	未来：来自实体映射
`host_priority_level`	2	字节	表示主机设备优先级的数值，1=低，2=中，3=高，4=关键
`主机引用`	IPv4,IPv6,主机名,全限定域名	关键字（标准化处理：仅小写）	自动从以下字段映射： `主机IP` , `主机名` , `主机虚拟机名称` , `主机MAC地址`
`主机类型`		关键字	机器“类型”

HTTP字段

表19. HTTP字段

字段名称	示例值	字段类型	备注
`HTTP应用`	facebook	关键字	第七层应用名称
`HTTP字节数`	29347485	长整型	请求与响应字节数之和
`http_content_type`	application/octet-stream	keyword	MIME类型 HTTP内容类型
`http_headers`		keyword	HTTP头部完整列表
`http_host`	Host: wwww.mycorp.local	keyword	请求中的host: …头部（如果存在）
`http_referrer`	http://mycorp.local/	keyword	“referer”头部值（如果存在）
`http_request_bytes`	239478	long	请求大小
`http_request_method`	GET, POST	keyword	HTTP请求方法
`http_request_path`	/path/to/resource?option=test	keyword	需检查字段长度/截断情况（上限8192字符，考虑UTF-8编码）。部分观点认为路径不包含“查询”部分（最后一个“/”后的文本），但该值可能包含此部分。
`http_response_bytes`	498274	长整型	响应大小
`http响应`	OK, 永久移动	关键字	根据响应代码映射的文本响应
`http响应代码`	200, 404, 500	整数	数字服务器响应代码
`http统一资源标识符`	https://www.graylog.org, https://www.graylog.org/blog, https://www.mycorp.local/workspaces/team#posts	关键字	完整请求字符串；需审查字段长度/截断情况（考虑utf-8编码，上限8192字符）
`http统一资源标识符分类`	可疑, 游戏	关键字	关联网站/URL的分类
`http统一资源标识符主干`	Default.htm	关键字	请求的目标。例如：http://www.test.com/test.jsp?hello=y 的URI主干是 /test.jsp
`http统一资源标识符查询`	hello=y	关键字	客户端尝试执行的查询。示例 http://www.test.com/test.jsp?hello=y 的查询是 hello=y
`http用户代理`	Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:74.0) Gecko/20100101 Firefox/74.0)	关键字	用户代理字符串
`http_user_agent_name`	火狐浏览器	关键字	通常基于用户代理分析尝试识别浏览器客户端
`http_user_agent_os`	Windows 10	关键字	用户代理的操作系统
`http_version`	1.0, 1.1, 2.0	关键字	HTTP版本
`http_xff`	X-Forwarded-For: 10.1.2.3	关键字	HTTP X-Forwarded-For头信息值。未来：可能映射为IP，需考虑该值的不同呈现方式

表20. 衍生与增强字段（值将通过外部源衍生或添加）

字段名称	示例值	字段类型	备注
`http_request_path_analyzed`		**待定	需审查HTTP路径的最佳分析器配置/考虑截断处理
`http_uri_analyzed`	ftp://ftp01.server.internal/file.tar.gz, https://www.graylog.org, https://www.graylog.org/blog	文本/标准	当URL需分词时可选复制。未来：需研究最佳分析器配置/考虑截断处理
`http_uri_length`	9283	长整型	HTTP用户代理的字符串长度
`http_user_agent_analyzed`		文本/标准	这是 `http_user_agent` 字段的副本，但经过文本分析处理
`http_user_agent_length`	54	长整型	原始用户代理的字符串长度

网络字段

表21. 网络字段

字段名称	示例值	字段类型	备注
`network_application`	facebook, instagram	关键字/仅小写	应用程序名称 - Facebook等
`network_bytes`	71238	长整型	连接期间传输的字节数，可通过累加发送/接收字节数计算得出（ `source_bytes_sent` / `destination_bytes_sent` ）——部分供应商可能将此报告为 `packet_length`
`网络接收字节数`	已弃用 - 请使用 `目标发送字节数`		已弃用字段引用
`网络发送字节数`	已弃用 - 请使用 `源发送字节数`		已弃用字段引用
`网络社区ID`		关键字	参见： https://github.com/corelight/community-id-spec
`网络连接持续时间`	0:23:45	关键字	网络连接建立的持续时间
`网络连接唯一标识符`	CMdzit1AMNsmfAIiQc	关键字	网络连接的唯一标识值
`网络数据字节数`	71238	长整型	数据载荷的总字节数
`网络方向`	入站、出站、横向	关键字	表示观测到的网络流方向。必须是入站或出站，若供应商提供的网络方向描述不同，应映射到这些值。
`网络转发IP`	10.1.2.3, fe80:5cc3:11:4::2c	ip	与网络事件关联的转发IP地址
`network_header_bytes`	71238	long	数据包头信息的总字节数
`network_iana_number`	6, 17, 41	integer	https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml
`network_icmp_type`	回显请求, 超时	keyword	https://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml
`network_inner`	待定		嵌套或封装的网络数据
`network_interface_in`	gi0/1	keyword/loweronly	接收流量的接口名称
`network_interface_out`	gi0/1	keyword/loweronly	发送流量的接口名称
`network_ip_version`	4, 6	keyword	IPv4或IPv6
`network_name`	待定		网络上下文的逻辑或描述性名称
`网络数据包`	71238	长整型	连接期间传输的数据包计数，可通过累加发送/接收的数据包计算得出（ `源端发送的数据包` / `目标端发送的数据包` )
`接收的网络数据包`	已弃用 - 请使用 `目标端发送的数据包`		已弃用的字段引用
`发送的网络数据包`	已弃用 - 请使用 `源端发送的数据包`		已弃用的字段引用
`网络协议`	IPv4, IPv6, ICMP	关键字/仅小写	协议名称，建议采用 https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml
`网络传输层协议`	UDP, TCP	关键字/仅小写	数据包/连接的传输层协议
`网络隧道类型`	GRE, IPSec	关键字/仅小写	隧道类型
`网络隧道持续时间`	2093847	长整型	隧道持续时间的秒数
`网络类型`	待定 - 可能不需要 `网络协议`		用于指定自定义网络类型的可选字段

策略字段

与操作系统、防火墙等系统/设备策略相关

表22. 策略字段

字段名称	示例值	字段类型	备注
`策略ID`	6da61e4c-84a8-4136-900d-f86c09bb3774	关键字	策略的唯一标识符
`策略UID`		关键字
`策略名称`	管理员用户模板	关键字	策略名称

权限字段

权限字段是与操作系统权限分配相关的字段。这些通常被视为可分配给账户组或单个账户的角色或属性。

微软Windows是基于属性的权限解决方案的示例。虽然Windows权限通常通过组成员身份管理，但安全令牌是决定账户授权执行哪些操作的关键。这些令牌在认证过程中生成，包含账户权限信息，例如 SeDebugPrivilege 该权限允许账户调试并与敏感系统进程交互。令牌中的每个权限对应授予账户的特定权利，从而启用或限制特定操作。

Microsoft Entra ID是基于角色的权限解决方案范例。Entra ID提供多种内置角色并允许用户定义自定义角色，这些角色用于确定Entra ID用户可执行的操作。

这些 ..._category 子字段是按源类型添加的常见扩展字段，用于为供应商提供或自定义权限添加上下文。当 elevated_privilege 是分配给类别字段的值，当 privilege_name , privilege_assigned_name 或 privilege_removed_name 中的值为赋予账户执行敏感活动能力的权限时使用。

表23. 权限字段

字段名称	示例值	字段类型	备注
`privilege_assigned_category`	elevated_privilege	keyword	用于为相关权限添加补充元数据的标签类值。此处分配'elevated_privilege'值，用于标识当privilege_id字段列出的属性或角色表明该权限允许在系统上执行敏感任务时的情况。
`privilege_assigned_id`	ffd52fa5-98dc-465c-991d-fc073eb59f8f	keyword	权限属性或角色的标识字段，合规内容使用此字段。
`privilege_assigned_name`	SeDebugPrivilege	keyword	权限的简短描述性名称，并非所有系统都会生成此字段。
`privilege_category`	built_in	keyword	用于为所讨论权限添加补充元数据的标签类型值。此处分配'elevated_privilege'值，用于标识当privilege_id字段列出的属性或角色表明该权限允许在系统上执行敏感任务时的情况。
`privilege_id`	c430b396-e693-46cc-96f3-db01bf8bb62a	keyword	权限属性或角色的标识，这是合规内容所使用的字段。
`privilege_name`	攻击模拟管理员	keyword	权限的简短描述性名称，并非所有系统都会生成此信息。
`privilege_removed_category`	built_in	keyword	用于为所讨论权限添加补充元数据的标签类型值。此处分配'elevated_privilege'值，用于标识当privilege_id字段列出的属性或角色表明该权限允许在系统上执行敏感任务时的情况。
`privilege_removed_id`	c430b396-e693-46cc-96f3-db01bf8bb62a	keyword	权限属性或角色的标识，这是合规内容所使用的字段。
`privilege_removed_name`	SeLoadDriverPrivilege	keyword	权限的简短描述性名称，并非所有系统都会生成此信息。

进程字段

进程与二进制文件执行相关
这些 process_名称 也可以添加前缀 target_ … 以及 parent_ …，例如 parent_process_id , target_process_name 等

表24. 进程字段

字段名称	示例值	字段类型	备注
`process_description`	WMI命令行工具	keyword	已执行进程的描述
`process_command_line`	c:\\tmp\\runme.exe, /tmp/runme	keyword/loweronly	已执行进程的完整命令行
`process_command_line_length`	29347	long	长度 `process_command_line`
`process_id`	2045,0x3e7	keyword/loweronly	与已执行进程关联的进程标识符
`process_integrity_level`	中、高、受信任	关键字	执行进程的完整性级别
`process_parent_command_line`	c:\\tmp\\runme.exe, /tmp/runme	keyword/loweronly	父进程的完整命令行
`process_parent_id`	2045,0x3e7	keyword/loweronly	与父进程关联的进程标识符
`process_parent_name`	whoami, whoami.exe	keyword/loweronly	父进程文件名（不含路径）
`process_parent_path`	C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami	keyword/loweronly	父进程的完整路径
`process_parent_uid`	{73123815-5caa-4e39-90dc-d25d4013bf15}	关键字	父进程的GUID或唯一标识符（非 `process_id`
`process_name`	whoami, whoami.exe	keyword/loweronly	执行进程的文件名（不含路径）
`process_path`	C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami	关键字/仅小写	执行进程的完整路径
`目标进程ID`	2045,0x3e7	关键字	针对某进程执行操作时，该目标进程的进程ID
`目标进程名称`	whoami, whoami.exe	关键字	针对某进程执行操作时，该目标进程的名称
`目标进程路径`	C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami	关键字	针对某进程执行操作时，该目标进程的完整路径及名称
`目标进程唯一标识符`	{73123815-5caa-4e39-90dc-d25d4013bf15}	关键字	针对某运行中进程执行操作时，该目标进程的进程唯一标识符
`进程唯一标识符`	{73123815-5caa-4e39-90dc-d25d4013bf15}	关键字	非标准进程的GUID或唯一标识符 `进程ID`
`进程工作目录`	C:\\Windows\\Temp	关键字	调用该进程时的当前工作目录

查询字段

表25. 查询字段

字段名称	示例值	字段类型	备注
`query_class`	IN	关键字	名称查询的类别，通常为DNS的IN类
`query_record_type`	A, AAAA, MX, SRV	关键字	请求的记录类型
`query_record_type_code`	1, 3, 5	关键字	IANA为请求记录类型分配的代码
`query_request`	www.graylog.org	关键字	DNS请求中要解析的名称
`query_request_length`	25	长整型	名称解析请求的长度
`query_response`		关键字	名称解析应答
`query_response_length`	25	长整型	名称解析响应的长度
`查询结果`	NXDOMAIN, NOERROR	关键字	域名解析请求状态
`查询结果代码`	0, 3	关键字	IANA分配的DNS返回码

规则字段

与操作系统、防火墙等系统/设备规则相关

表26. 规则字段

字段名称	示例值	字段类型	备注
`规则ID`	6da61e4c-84a8-4136-900d-f86c09bb3774	关键字	规则唯一标识符
`规则名称`	admin-user-template	关键字	规则名称（例如：出站Web流量）

服务字段

服务描述采集数据的服务/应用程序

表27. 服务字段

字段名称	示例值	字段类型	备注
`service_name`	graylog-server.service, sshd, graylog-sidecar	keyword	服务名称
`service_version`	1.0.1054	keyword	服务或底层应用程序的版本号
`service_state`	running, started, stopped	keyword	服务状态

会话字段

网络会话、登录会话或任何具有开始和结束状态的事物

表28. 会话字段

字段名称	示例值	字段类型	备注
`session_id`		Keyword	供应商提供的唯一标识符，可以是随机字母数字字符串、十六进制值、GUID值等

源字段

表29. 源字段模式

字段名称	示例值	字段类型	备注
`source_bytes_sent`	29834710	长整型	源端发送的网络字节数，某些数据源可能将其表示为源端发送字节数、发送字节数或类似名称。
`源设备型号`	iPad	关键字	设备型号名称
`源设备厂商`	苹果、华硕	关键字	设备厂商名称
`源主机名`	corpdc01, corpdc01.local, lab01.corpdomain.com	关键字（标准化处理：仅小写）	NetBIOS或DNS主机名，已转换为小写
`源标识符`	09VX93DD	关键字	源端的标识值（如序列号）
`源IP`	10.1.2.3, fe80:5cc3:11:4::2c	IP地址	IPv4和IPv6地址
`源IPv6`	fe80:5cc3:11:4::2c	IP地址	仅IPv6地址
`源NATIP`	10.1.2.3, fe80:5cc3:11:4::2c	IP地址	由执行NAT功能的网络设备分配的转换后IP地址
`源NAT端口`	2384	整数	由执行NAT功能的网络设备分配的转换后网络端口
`源操作系统名称`	iOS, Android	关键字	操作系统名称
`源操作系统版本`	iOS 10.0	关键字	操作系统版本号
`源发送数据包数`	23094823	长整型	源端发送的数据包计数
`源端口`	45392	整数	数字端口，0-65535
`源端口IANA名称`	ssh, ftp	关键字	与网络应用关联的IANA注册服务名称。Illuminate Core将使用此值来定义 `源端口` 在具有 `源IP` 若未定义则定义 `源端口` 的场合
`source_region`	us-east-1	keyword	源设备所在区域的名称
`source_type`		keyword	源设备信息（如型号编号）
`source_vm_name`		keyword	虚拟系统名称（勿与主机名混淆）
`source_vsys_uuid`		keyword
`source_zone`		keyword

表30. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	备注
`source_as_*`			参见： `as_*字段`
`source_category`		keyword	未来：来自实体映射
`source_geo_*`			参见： `geo_*字段`
`source_location_name`	美国芝加哥，数据中心01，俾斯麦-财务部	关键字	该字段来源于企业内部网络定义或可用的地理位置字段
`源MAC地址`	a0:b4:44:01:a9:d1	关键字	主机的MAC地址，冒号分隔且小写
`源优先级`	严重、高、中、低	关键字	未来：来自实体映射
`源优先级级别`	4-1	字节	表示源设备优先级的数值，1=低，2=中，3=高，4=严重
`源引用`	IPv4,IPv6, 主机名,完全限定域名	关键字（归一化：仅小写）	自动从以下字段映射： `源IP` , `源主机名` , `源虚拟机名称` , `源MAC地址`

威胁字段

威胁相关信息

表31. 威胁字段

字段名称	示例值	字段类型	备注
`威胁类别`	恶意软件	木马	关键词
`检测到威胁`	真、假	关键词	是否检测到威胁

追踪字段

追踪功能可通过唯一ID（微服务、Web应用）跨多个日志跟踪事件

表32. 追踪字段

字段名称	示例值	字段类型	备注
`追踪ID`		关键词	关联多事件的唯一ID
`追踪调用`		关键词	与进程调用相关的堆栈追踪

用户字段

可能的字段前缀： 源_ *（例如 源用户名 ）或 目标_ *（例如 destination_user_name )
当消息描述一个账户对另一个账户采取的操作时，操作者（执行操作的账户）将由 source_user_ *字段描述，而操作对象（被操作的账户）将由 user_ *字段描述。示例包括：
- 身份验证，其中提供了验证服务账户上下文
- IAM事件，其中用户或服务执行了影响用户或组的操作

表33. 用户字段

字段名称	示例值	字段类型	备注
`user_command`		keyword
`user_command_path`		keyword
`user_domain`	mycorp.internal	keyword	AD或LDAP域
`user_email`	user@mycorp.internal	keyword
`user_id`		keyword	映射到SID或UID等
`user_name`		关键词（归一化：仅小写）
`用户会话ID`	0x534, 1055	关键词	用户登录会话标识符

表34. 衍生与丰富字段（值将从外部来源衍生或添加）

字段名称	示例值	字段类型	备注
`用户类别`	VIP、默认账户、财务、技术支持	关键词	未来：来自实体映射
`映射用户名`	内置\管理员	关键词（归一化：仅小写）	当用户身份从消息本身之外的来源映射时，将写入此字段。此处解析Windows已知SID。
`用户优先级`	关键、高、中、低	关键词	未来：来自实体映射
`用户优先级数值`	4-1月	字节	表示用户账户优先级的数值，1=低，2=中，3=高，4=关键
`用户类型`	用户、计算机、已知SID、群组、{任意供应商提供的值}	关键词	实验性字段** 该字段仍在研究中——需考察winlogbeats/nxlog在不同配置下提供的SID解析功能，并考虑不同技术对“类型”的使用方式

此处包含特定于供应商技术的字段，这些字段不属于通用模式：

Microsoft Windows字段

表35. Windows字段

字段名称	示例值	字段类型	备注
`source_user_sid_authority1`	S-1-0-0	关键字	带有SID前导码的初始“权限”。对于众所周知的非域SID，这将是唯一包含SID信息的字段。
`source_user_sid_authority2`		关键字	SID的域权限部分
`source_user_sid_rid`	500	关键字	这是用户RID
`target_user_sid_authority1`	S-1-0-0	关键字	带有SID前导码的初始“权限”。对于众所周知的非域SID，这将是唯一包含SID信息的字段。
`target_user_sid_authority2`		关键字	SID的域权限部分
`target_user_sid_rid`		关键字	这是用户RID
`user_sid_authority1`		keyword	带有SID前导码的初始“权威机构”。对于众所周知的非域SID，这将是唯一包含SID信息的字段。
`user_sid_authority2`		keyword	SID的域权威部分
`user_sid_rid`		keyword	这是用户RID
`windows_authentication_lmpackage_name`		keyword	此字段仅在以下情况下定义 `windows_authentication_package_name` = “NTLM”
`windows_authentication_package_name`	NTLM, Kerberos	keyword	来自事件ID 4624/4625的认证信息
`windows_authentication_process_name`	winlogon.exe	keyword	来自事件ID 4624/4625的认证信息
`windows_logon_type`	2, 3, 10	byte	https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4624
`windows_logon_type_description`	交互式, 网络, 远程交互	keyword	映射到登录类型字段的描述
`windows_kerberos_encryption`	0x12	keyword	Windows Kerberos加密的十六进制值
`windows_kerberos_encryption_type`	AES256_CTS_HMAC_SHA1	keyword	Kerberos票据加密类型
`windows_kerberos_service_name`	krbtgt/CORP.LOCAL	keyword	Kerberos票据请求所针对的服务名称

Palo Alto字段

表36. Palo Alto字段

字段名称	示例值	字段类型	备注
`pan_alert_direction`	0, 1	keyword	指示攻击方向，客户端到服务器或服务器到客户端：0—威胁方向为客户端到服务器。1—威胁方向为服务器到客户端
`pan_after_change_detail`		keyword	该字段仅存在于自定义日志中，默认格式不包含。- 它包含配置变更后的完整xpath路径。
`pan_assoc_id`		keyword	用于标识两个SCTP端点之间关联的所有连接的编号
`pan_auth_method`	LDAP, RADIUS, SAML	关键字	显示认证类型的字符串，例如LDAP、RADIUS或SAML
`pan_before_change_detail`		关键字	该字段仅存在于自定义日志中，默认格式不包含。- 它包含配置变更后的完整xpath路径。
`pan_cloud_hostname`	wildfire.example.com	关键字	文件上传的WildFire设备或云的完全限定域名(FQDN)
`pan_dev_group_level_[1-4]`	1, 2, 3, 4	关键字	表示设备组在DG层次结构中位置的ID编号
`pan_dynusergroup_name`	Corp-Quarantine	关键字	包含发起会话用户的动态用户组名称
`pan_event_name`	system, config, threat	关键字	显示事件名称的字符串
`pan_event_object`		关键字	与系统事件关联的对象名称
`pan_evidence`	主机访问了已知恶意软件URL（19次）	关键字	总结性陈述，表明主机匹配关联对象中定义条件的次数。例如：主机访问了已知恶意软件URL（19次）。
`pan_flags`	0x00000001	keyword	32位字段，提供会话详细信息
`pan_gp_client_version`	6.0.4	keyword	客户端的GlobalProtect应用版本。
`pan_gp_connect_method`	按需连接、用户登录	keyword	表示GlobalProtect应用如何连接至网关的字符串（例如：按需连接或用户登录）
`pan_gp_error`	门户认证失败	keyword	表示事件中发生错误的字符串
`pan_gp_error_code`	11001	keyword	与发生错误关联的整数值
`pan_gp_error_extended`	证书已过期	keyword	事件发生的附加信息
`pan_gp_hostname`	gp-gateway01	keyword	GlobalProtect门户或网关的名称
`pan_gp_hostid`	123e4567-e89b-12d3-a456-426614174000	keyword	GlobalProtect分配用于标识主机的唯一ID
`pan_gp_location_name`	欧盟西部	keyword	显示管理员定义的GlobalProtect门户或网关位置的字符串。
`pan_gp_reason`	主机隔离	keyword	显示隔离原因的字符串
`pan_hip`	HIP-配置文件-工作站	keyword	HIP对象或配置文件的名称。
`pan_hip_type`	对象, 配置文件	keyword	表示hip字段是HIP对象还是HIP配置文件。
`pan_http2`	父会话ID, 0	keyword	通过显示以下值之一来标识流量是否使用了HTTP/2连接：父会话ID——HTTP/2连接。或 0——SSL会话
`pan_link_changes`	3	keyword	会话期间的链路抖动次数
`pan_link_switches`	链路A,链路B,链路C	keyword	包含最多四个链路抖动条目，每个条目包含链路名称、链路标签、链路类型、物理接口、时间戳、读取字节数、写入字节数、链路健康状况和链路抖动原因。
`pan_log_action`	转发至Panorama	关键字	应用于会话的日志转发配置文件
`pan_log_panorama`	0, 1	关键字	位字段，指示日志是否已转发至Panorama
`pan_log_subtype`	系统, 配置, 威胁	关键字	给定日志的子类型
`pan_module`	认证, 常规, 高可用	关键字	提供有关生成日志的子系统的附加信息
`pan_monitor_tag`	356938035643809	关键字	15/16位IMEI号码
`pan_object_id`	object-123	关键字	与系统事件关联的对象名称
`pan_objectname`	correlation-object-01	关键字	匹配的相关对象名称
`pan_parent_session_id`	1234567890	关键字	此会话所在隧道会话的ID
`pan_parent_start_time`	2025-10-27T11:22:33Z	keyword	隧道会话开始时间
`pan_pcap_id`	pcap-42	keyword	数据包捕获ID
`pan_ppid`	17	keyword	数据块负载的协议ID
`pan_sctp_chunks_sum`	1024	keyword	一个关联中发送和接收的SCTP数据块总数
`pan_sctp_chunks_tx`	512	keyword	一个关联中发送的SCTP数据块数量
`pan_sctp_chunks_rx`	512	keyword	一个关联中接收的SCTP数据块数量
`pan_sdwan_cluster`	SDWAN-Europe	keyword	SD-WAN集群名称
`pan_sdwan_cluster_type`	网状, 星型	关键字	集群类型（网状或中心辐射型）
`pan_sdwan_device_type`	中心节点, 分支节点	关键字	设备类型（中心节点或分支节点）
`pan_sdwan_policy_id`	policy-EdgeQoS-01	关键字	SD-WAN策略名称
`pan_sdwan_site_name`	巴黎分支机构	关键字	SD-WAN站点名称
`pan_session_end_reason`	超时终止, 客户端发送TCP重置	关键字	会话终止原因
`pan_source_region`	欧洲中东非洲区, 美国区	关键字	会话发起用户所在区域
`pan_tunnel_id`	IMSI-310260123456789	关键字	国际移动用户识别码
`pan_tunnel_stage`	登录前, 登录中, 隧道建立	关键字	表示连接阶段的字符串（例如：登录前、登录中或隧道建立）
`pan_url_index`	42	keyword	用于关联URL过滤/WildFire日志条目顺序的计数器
`pan_wildfire_hash`	4c583e00d47108f809282d5d595f5fb0	keyword	发送至WildFire文件的二进制哈希值
`pan_wildfire_report_id`	WF-2025-10-001234	keyword	标识WildFire云/设备上的分析请求

厂商字段

厂商字段用于按原样捕获数据源提供的信息
厂商字段旨在捕获以下两类信息：要么用于我们开发的内容中，要么可用于说明诸如 event_outcome 等字段的定义依据

表37. 厂商字段

字段名称	示例值	字段类型	备注
`vendor_alert_severity`	严重, 高, 中, 低	keyword	当消息为告警时，此处显示厂商提供的告警严重性文本描述
`vendor_alert_severity_level`	4, 3, 2, 1	整数	当消息为告警时，此处显示厂商提供的告警严重性数值
`供应商认证提供方`	Active Directory	关键字	供应商定义的操作 - 提供凭证验证服务的简要描述
`供应商凭证类型`	密码, 令牌	关键字	供应商定义的凭证类型
`供应商事件动作`	允许, 拒绝, 通过, 失败	关键字	供应商定义的操作 - 应简短（通常为一个词）描述事件所涉及的动作。该值需与源日志中的记录完全一致（包括大小写）。
`供应商事件类别`	可移动介质, 注册表, 文件系统	关键字	供应商定义的事件类别
`供应商事件描述`		关键字	供应商定义的动作详细描述（包含比 `供应商事件动作`
`供应商事件结果`	拦截, 丢弃, 报告, 允许, 拒绝	关键字	消息中定义动作的供应商定义结果
`供应商事件结果原因`		关键字	供应商提供的文本，详细说明消息中描述的供应商提供动作和/或结果的原因
`供应商事件严重性`	严重, 高, 中, 低, 信息	关键字	供应商定义的严重性评级文本描述
`vendor_event_severity_level`	0, 1, 5, 10	整数	供应商定义的该事件数字型严重性评级
`vendor_private_ip`		IP
`vendor_private_ipv6`		IP
`vendor_public_ip`		IP
`vendor_public_ipv6`		IP
`vendor_signin_protocol`		关键字
`vendor_subtype`	ids, dnsmasq, kernel, threat	关键字	供应商定义的日志子类型——这与 `event_log_name` 不同，它更多指向日志消息的主题或类别。
`vendor_threat_suspected`		关键字
`vendor_transaction_id`		关键字
`vendor_transaction_type`		关键字
`vendor_user_type`		关键字

消息类别

下表展示了安全数据湖如何将 gim_event_type_code （在管道中创建的）映射到Illuminate内容中的标准化分类。标准化分类允许仪表板、搜索和警报规则在使用此格式的所有设备类型中采用统一名称。查找表中的示例如下：

"100000","|authentication|","|logon|","logon"

代码100000会被附加到处理管道的日志中，使得查找功能能够在处理链下游附加分类、子分类和事件类型。

上述案例中的分类是 |authentication| ，多种事件类型均可归入此分类。登录、注销和会话断开都属于认证类别，便于在仪表板中进行分组。子分类 |logon| 也会应用于此日志，表明该事件发生在登录过程中。登录下可能包含多种子类型，例如登录成功和登录失败。最后，事件类型被标记为 logon 以进一步细化该事件的处理方式。

注意

本文档为持续完善中的版本，随着内容开发将逐步添加字段。如有修改或补充建议，请提交GitHub工单此处 .

gim_event_type_code	gim_event_class	gim_event_category	gim_event_subcategory	gim_event_type
000000		message	message.log_message	message
100000		authentication	authentication.logon	登录
100003		认证	认证.登录	使用备用凭据登录
100004		认证	认证.登录	会话重连
100500		认证	认证.凭据验证	凭据验证
100501		认证	认证.凭据验证	错误
100502		认证	认证.凭据验证	多因素认证
100503		认证	认证.凭据验证	短信发送
100504		认证	认证.凭据验证	语音呼叫
101000		认证	认证.访问通知	特殊登录
101001		认证	认证.访问通知	错误
101500		认证	认证.访问策略	违反访问策略
101501		认证	认证.访问策略	违反设备策略
101502		认证	认证.访问策略	违反账户策略
102000		认证	认证.Kerberos请求	服务票据更新
102001		认证	认证.Kerberos请求	服务票据请求
102002		认证	认证.Kerberos请求	TGT请求
102003		认证	认证.Kerberos请求	错误
102500		认证	认证.注销	注销
102501		认证	认证.注销	会话断开
109999		认证	认证.默认	认证消息
110000		IAM	IAM.对象创建	账户已创建
110001		IAM	IAM.对象创建	错误
110002		IAM	IAM.对象创建	群组已创建
110500		身份与访问管理	身份管理对象删除	账户已删除
110501		身份与访问管理	身份管理对象删除	群组已删除
111000		身份与访问管理	身份管理对象修改	账户已修改
111001		身份与访问管理	身份管理对象修改	权限已分配
111002		身份与访问管理	身份管理对象修改	权限已移除
111003		身份与访问管理	身份管理对象修改	账户已重命名
111004		身份与访问管理	身份管理对象修改	密码变更
111005		身份与访问管理	身份管理对象修改	管理员密码重置
111006		iam	iam.object modify	错误
111007		iam	iam.object modify	群组成员添加
111008		iam	iam.object modify	群组成员移除
111009		iam	iam.object modify	群组属性修改
111500		iam	iam.object disable	账户锁定
111501		iam	iam.object disable	账户禁用
112000		iam	iam.object enable	账户解锁
112001		IAM	IAM对象启用	账户已启用
112002		IAM	IAM对象启用	错误
119500		IAM	IAM信息	组成员关系已枚举
119999		IAM	IAM默认	IAM消息
120000		网络	网络网络连接	网络连接
120100		网络	网络路由	网络路由
120200		网络	网络开放	网络连接已启动
120300		网络	网络关闭	网络连接终止
120500		网络	网络.流量	流量记录
120600		网络	网络.icmp请求	icmp请求
120700		网络	网络.icmp响应	icmp响应
129999		网络	网络.默认	网络消息
130000		消息	消息.邮件	邮件已发送
130500		消息	消息.邮件	邮件已拦截
131000		消息	消息.邮件	邮件已拒收
131500		消息传递	消息传递.电子邮件	电子邮件被隔离
132000		消息传递	消息传递.电子邮件	电子邮件已删除
139999		消息传递	消息传递.默认	消息
140000	协议	名称解析	名称解析.DNS请求	DNS查询
140200	协议	名称解析	名称解析.DNS应答	DNS响应
140300	协议	名称解析	名称解析.错误	DNS错误
140500	协议	名称解析	名称解析.DDNS更新	DDNS更新
149999	协议	名称解析	名称解析.默认	DNS消息
150000		数据库	数据库.查询	数据库查询
150500		数据库	数据库.更新	更新行
151000		数据库	数据库.添加	插入行
151001		数据库	数据库.添加	添加表
151002		数据库	数据库.添加	创建数据库
151500		数据库	数据库.删除	删除行
151501		数据库	数据库.删除	删除表
151502		数据库	数据库.删除	删除数据库
159999		数据库	数据库.默认	数据库消息
170000		告警	告警.网络告警	入侵检测告警
170001		告警	告警.网络告警	网络告警
170002		告警	告警.网络告警	网络数据泄露告警
171000		告警	告警.主机告警	恶意软件告警
171001		告警	警报.主机警报	主机数据防泄漏警报
171002		警报	警报.主机警报	主机入侵防御警报
171003		警报	警报.主机警报	文件完整性监控警报
179999		警报	警报.默认	警报消息
180000	协议	http	http.默认	http消息
180100	协议	http	http.请求	http请求
180200	协议	http	http.通信	http通信
180300	协议	HTTP	HTTP代理	HTTP代理通信
190000	端点	进程	进程执行	进程启动
190100	端点	进程	进程结束	进程停止
190500	端点	进程	进程交互	进程被访问
190501	端点	进程	进程交互	远程线程创建
191000	端点	进程	进程操作	进程被修改
191001	端点	进程	进程操作	镜像已加载
199990	端点	进程	进程默认值	进程消息
200000	端点	文件	文件创建	文件已创建
200100	端点	文件	文件删除	文件已删除
201000	端点	文件	文件修改	文件已修改
201001	端点	文件	文件修改	文件时间戳已修改
201002	端点	文件	文件修改	文件流已创建
201500	端点	文件	文件访问	文件已访问
201501	端点	文件	文件访问	原始文件访问
202000	端点	文件	文件完整性	文件签名无效
202001	端点	文件	文件完整性	文件完整性通知
209999	端点	文件	文件默认	文件事件
210000	端点	服务	服务启动	服务已启动
210100	端点	服务	服务停止	服务已停止
211000	端点	服务	服务配置	服务配置变更
211500	端点	服务	服务状态	服务已安装
211501	端点	服务	服务状态	服务已移除
211502	端点	服务	服务状态	服务已启用
211503	端点	服务	服务状态	服务已禁用
211504	端点	服务	服务状态	服务错误
219999	端点	服务	服务默认值	服务事件
220000	端点	审计	审计完整性	审计日志已清除
220100	端点	审计	审计状态	审计服务已启动
220101	端点	审计	审计状态	审计服务已停止
220102	端点	审计	审计状态	审计错误
220500	端点	审计	审计策略	审计策略已变更
229999	端点	审计	默认审计	审计事件
230000	端点	管道	添加管道	管道已创建
230100	端点	管道	移除管道	管道已删除
230500	端点	管道	管道状态	管道已连接
239999	端点	管道	管道.默认	管道事件
240000	端点	WMI	WMI.过滤器	WMI过滤器已创建
240001	端点	WMI	WMI.过滤器	WMI过滤器已移除
240500	端点	WMI	WMI.消费者	WMI消费者已创建
240501	端点	WMI	WMI.消费者	WMI消费者已移除
241000	端点	WMI	WMI.绑定	WMI绑定已创建
249999	端点	WMI	WMI默认	WMI事件
250000	端点	注册表	注册表值变更	注册表值设置
250001	端点	注册表	注册表值变更	注册表值添加
250002	端点	注册表	注册表值变更	注册表值删除
250003	端点	注册表	注册表值变更	注册表值修改
250500	端点	注册表	注册表键变更	注册表键添加
250501	端点	注册表	注册表键值变更	注册表键值删除
250502	端点	注册表	注册表键值变更	注册表键值重命名
251000	端点	注册表	注册表对象重命名	注册表对象重命名
259999	端点	注册表	注册表默认项	注册表事件
260000	端点	系统时间	系统时间变更	系统时间已更改
269999	端点	系统时间	系统时间默认项	系统时间事件
270000	端点	驱动程序	驱动程序已加载	系统驱动程序已加载
270100	端点	驱动程序	驱动程序已卸载	系统驱动程序已卸载
279999	端点	驱动程序	默认驱动程序	系统驱动程序事件
280000	端点	代理	代理活动	代理活动
280001	端点	代理	代理活动	防病毒与恶意软件扫描
280100	端点	代理	代理更新	代理更新
280200	端点	代理	代理状态	代理状态
289999	端点	代理	代理默认	代理默认
290000	协议	DHCP	DHCP请求	DHCP请求
290100	协议	DHCP	DHCP提供	DHCP提供
290200	协议	DHCP	DHCP发现	DHCP发现
290300	协议	DHCP	DHCP确认	DHCP确认
299999	协议	DHCP	DHCP默认	DHCP默认事件
300000		检测	检测.网络检测	入侵检测系统检测
300001		检测	检测.网络检测	网络检测
300002		检测	检测.网络检测	网络数据丢失防护检测
301000		检测	检测.主机检测	主机恶意软件检测
301001		检测	检测.主机检测	主机数据丢失防护检测
301002		检测	检测.主机检测	主机入侵防御系统检测
301003		检测	检测.主机检测	文件完整性监控检测
309999		检测	检测.默认	检测消息

本节内容 :

安全数据湖 信息模型架构