mirror of
https://github.com/Security-Onion-Solutions/securityonion.git
synced 2025-12-06 17:22:49 +01:00
Add new templates
This commit is contained in:
Wes Lambert
@@ -0,0 +1,25 @@
|
|||||||
|
{
|
||||||
|
"_meta": {
|
||||||
|
"documentation": "https://www.elastic.co/guide/en/ecs/current/ecs-base.html",
|
||||||
|
"ecs_version": "1.12.2"
|
||||||
|
},
|
||||||
|
"template": {
|
||||||
|
"mappings": {
|
||||||
|
"properties": {
|
||||||
|
"@timestamp": {
|
||||||
|
"type": "date"
|
||||||
|
},
|
||||||
|
"labels": {
|
||||||
|
"type": "object"
|
||||||
|
},
|
||||||
|
"message": {
|
||||||
|
"type": "match_only_text"
|
||||||
|
},
|
||||||
|
"tags": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
75
salt/elasticsearch/templates/component/ecs/kibana.json
Normal file
75
salt/elasticsearch/templates/component/ecs/kibana.json
Normal file
@@ -0,0 +1,75 @@
|
|||||||
|
{
|
||||||
|
"_meta": {
|
||||||
|
"documentation": "https://www.elastic.co/guide/en/ecs/current/ecs-base.html",
|
||||||
|
"ecs_version": "1.12.2"
|
||||||
|
},
|
||||||
|
"template": {
|
||||||
|
"mappings": {
|
||||||
|
"properties": {
|
||||||
|
"kibana": {
|
||||||
|
"properties": {
|
||||||
|
"add_to_spaces": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"authentication_provider": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"authentication_realm": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"authentication_type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"delete_from_spaces": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"log": {
|
||||||
|
"properties": {
|
||||||
|
"meta": {
|
||||||
|
"type": "object"
|
||||||
|
},
|
||||||
|
"state": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"tags": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"lookup_realm": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"saved_object": {
|
||||||
|
"properties": {
|
||||||
|
"id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"session_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"space_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
99
salt/elasticsearch/templates/component/ecs/logstash.json
Normal file
99
salt/elasticsearch/templates/component/ecs/logstash.json
Normal file
@@ -0,0 +1,99 @@
|
|||||||
|
{
|
||||||
|
"_meta": {
|
||||||
|
"documentation": "https://www.elastic.co/guide/en/ecs/current/ecs-base.html",
|
||||||
|
"ecs_version": "1.12.2"
|
||||||
|
},
|
||||||
|
"template": {
|
||||||
|
"mappings": {
|
||||||
|
"properties": {
|
||||||
|
"logstash": {
|
||||||
|
"properties": {
|
||||||
|
"log": {
|
||||||
|
"properties": {
|
||||||
|
"log_event": {
|
||||||
|
"properties": {
|
||||||
|
"action": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"type": "object"
|
||||||
|
},
|
||||||
|
"module": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"pipeline_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"thread": {
|
||||||
|
"fields": {
|
||||||
|
"text": {
|
||||||
|
"norms": false,
|
||||||
|
"type": "text"
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"slowlog": {
|
||||||
|
"properties": {
|
||||||
|
"event": {
|
||||||
|
"fields": {
|
||||||
|
"text": {
|
||||||
|
"norms": false,
|
||||||
|
"type": "text"
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"module": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"plugin_name": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"plugin_params": {
|
||||||
|
"fields": {
|
||||||
|
"text": {
|
||||||
|
"norms": false,
|
||||||
|
"type": "text"
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"plugin_params_object": {
|
||||||
|
"type": "object"
|
||||||
|
},
|
||||||
|
"plugin_type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"thread": {
|
||||||
|
"fields": {
|
||||||
|
"text": {
|
||||||
|
"norms": false,
|
||||||
|
"type": "text"
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"took_in_millis": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
1423
salt/elasticsearch/templates/component/ecs/netflow.json
Normal file
1423
salt/elasticsearch/templates/component/ecs/netflow.json
Normal file
File diff suppressed because it is too large
Load Diff
850
salt/elasticsearch/templates/component/ecs/suricata.json
Normal file
850
salt/elasticsearch/templates/component/ecs/suricata.json
Normal file
@@ -0,0 +1,850 @@
|
|||||||
|
{
|
||||||
|
"_meta": {
|
||||||
|
"documentation": "https://www.elastic.co/guide/en/ecs/current/ecs-base.html",
|
||||||
|
"ecs_version": "1.12.2"
|
||||||
|
},
|
||||||
|
"template": {
|
||||||
|
"mappings": {
|
||||||
|
"properties": {
|
||||||
|
"suricata": {
|
||||||
|
"properties": {
|
||||||
|
"eve": {
|
||||||
|
"properties": {
|
||||||
|
"alert": {
|
||||||
|
"properties": {
|
||||||
|
"affected_product": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"attack_target": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"capec_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"category": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"classtype": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"created_at": {
|
||||||
|
"type": "date"
|
||||||
|
},
|
||||||
|
"cve": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"cvss_v2_base": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"cvss_v2_temporal": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"cvss_v3_base": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"cvss_v3_temporal": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"cwe_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"deployment": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"former_category": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"gid": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"hostile": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"infected": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"malware": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"metadata": {
|
||||||
|
"type": "flattened"
|
||||||
|
},
|
||||||
|
"mitre_tool_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"performance_impact": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"priority": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"protocols": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"rev": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rule_source": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"sid": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"signature": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"signature_id": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"signature_severity": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"tag": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"updated_at": {
|
||||||
|
"type": "date"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"app_proto_expected": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"app_proto_orig": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"app_proto_tc": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"app_proto_ts": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"dns": {
|
||||||
|
"properties": {
|
||||||
|
"id": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rcode": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"rdata": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"rrname": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"rrtype": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"ttl": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tx_id": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"email": {
|
||||||
|
"properties": {
|
||||||
|
"status": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"event_type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"fileinfo": {
|
||||||
|
"properties": {
|
||||||
|
"gaps": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"md5": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"sha1": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"sha256": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"state": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"stored": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"tx_id": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"flow": {
|
||||||
|
"properties": {
|
||||||
|
"age": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"alerted": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"reason": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"state": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"flow_id": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"http": {
|
||||||
|
"properties": {
|
||||||
|
"http_content_type": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"protocol": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"redirect": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"icmp_code": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"icmp_type": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"in_iface": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"pcap_cnt": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"smtp": {
|
||||||
|
"properties": {
|
||||||
|
"helo": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"mail_from": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"rcpt_to": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ssh": {
|
||||||
|
"properties": {
|
||||||
|
"client": {
|
||||||
|
"properties": {
|
||||||
|
"proto_version": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"software_version": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"server": {
|
||||||
|
"properties": {
|
||||||
|
"proto_version": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"software_version": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"stats": {
|
||||||
|
"properties": {
|
||||||
|
"app_layer": {
|
||||||
|
"properties": {
|
||||||
|
"flow": {
|
||||||
|
"properties": {
|
||||||
|
"dcerpc_tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dcerpc_udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dns_tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dns_udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"failed_tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"failed_udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ftp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"http": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"imap": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"msn": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"smb": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"smtp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ssh": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tls": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"tx": {
|
||||||
|
"properties": {
|
||||||
|
"dcerpc_tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dcerpc_udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dns_tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dns_udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ftp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"http": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"smb": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"smtp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ssh": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tls": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"capture": {
|
||||||
|
"properties": {
|
||||||
|
"kernel_drops": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"kernel_ifdrops": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"kernel_packets": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"decoder": {
|
||||||
|
"properties": {
|
||||||
|
"avg_pkt_size": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"bytes": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"dce": {
|
||||||
|
"properties": {
|
||||||
|
"pkt_too_small": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"erspan": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ethernet": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"gre": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"icmpv4": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"icmpv6": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ieee8021ah": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"invalid": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ipraw": {
|
||||||
|
"properties": {
|
||||||
|
"invalid_ip_version": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ipv4": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ipv4_in_ipv6": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ipv6": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ipv6_in_ipv6": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ltnull": {
|
||||||
|
"properties": {
|
||||||
|
"pkt_too_small": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"unsupported_type": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"max_pkt_size": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"mpls": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"null": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"pkts": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ppp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"pppoe": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"raw": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"sctp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"sll": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"teredo": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"udp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"vlan": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"vlan_qinq": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"defrag": {
|
||||||
|
"properties": {
|
||||||
|
"ipv4": {
|
||||||
|
"properties": {
|
||||||
|
"fragments": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"reassembled": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"timeouts": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ipv6": {
|
||||||
|
"properties": {
|
||||||
|
"fragments": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"reassembled": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"timeouts": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"max_frag_hits": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"detect": {
|
||||||
|
"properties": {
|
||||||
|
"alert": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"dns": {
|
||||||
|
"properties": {
|
||||||
|
"memcap_global": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memcap_state": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memuse": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"file_store": {
|
||||||
|
"properties": {
|
||||||
|
"open_files": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"flow": {
|
||||||
|
"properties": {
|
||||||
|
"emerg_mode_entered": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"emerg_mode_over": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"icmpv4": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"icmpv6": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memcap": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memuse": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"spare": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tcp": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"tcp_reuse": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"udp": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"flow_mgr": {
|
||||||
|
"properties": {
|
||||||
|
"bypassed_pruned": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"closed_pruned": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"est_pruned": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"flows_checked": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"flows_notimeout": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"flows_removed": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"flows_timeout": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"flows_timeout_inuse": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"new_pruned": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rows_busy": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rows_checked": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rows_empty": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rows_maxlen": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rows_skipped": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"http": {
|
||||||
|
"properties": {
|
||||||
|
"memcap": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memuse": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"tcp": {
|
||||||
|
"properties": {
|
||||||
|
"insert_data_normal_fail": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"insert_data_overlap_fail": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"insert_list_fail": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"invalid_checksum": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"memuse": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"no_flow": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"overlap": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"overlap_diff_data": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"pseudo": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"pseudo_failed": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"reassembly_gap": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"reassembly_memuse": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"rst": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"segment_memcap_drop": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"sessions": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"ssn_memcap_drop": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"stream_depth_reached": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"syn": {
|
||||||
|
"type": "long"
|
||||||
|
},
|
||||||
|
"synack": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"uptime": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"tcp": {
|
||||||
|
"properties": {
|
||||||
|
"ack": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"fin": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"psh": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"rst": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"state": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"syn": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"tcp_flags": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"tcp_flags_tc": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"tcp_flags_ts": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"tls": {
|
||||||
|
"properties": {
|
||||||
|
"fingerprint": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"issuerdn": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"ja3": {
|
||||||
|
"properties": {
|
||||||
|
"hash": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"string": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"ja3s": {
|
||||||
|
"properties": {
|
||||||
|
"hash": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"string": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"notafter": {
|
||||||
|
"type": "date"
|
||||||
|
},
|
||||||
|
"notbefore": {
|
||||||
|
"type": "date"
|
||||||
|
},
|
||||||
|
"serial": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"session_resumed": {
|
||||||
|
"type": "boolean"
|
||||||
|
},
|
||||||
|
"sni": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"subject": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
},
|
||||||
|
"version": {
|
||||||
|
"ignore_above": 1024,
|
||||||
|
"type": "keyword"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
},
|
||||||
|
"tx_id": {
|
||||||
|
"type": "long"
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
|
}
|
||||||
2279
salt/elasticsearch/templates/component/ecs/zeek.json
Normal file
2279
salt/elasticsearch/templates/component/ecs/zeek.json
Normal file
File diff suppressed because it is too large
Load Diff
Reference in New Issue
Block a user