mirror of
https://github.com/Security-Onion-Solutions/securityonion.git
synced 2025-12-27 11:23:14 +01:00
1115 lines
36 KiB
JSON
1115 lines
36 KiB
JSON
{
|
|
"_meta": {
|
|
"documentation": "https://www.elastic.co/guide/en/ecs/current/ecs-base.html",
|
|
"ecs_version": "1.12.2"
|
|
},
|
|
"template": {
|
|
"settings": {
|
|
"analysis": {
|
|
"analyzer": {
|
|
"es_security_analyzer": {
|
|
"type": "custom",
|
|
"char_filter": [
|
|
"whitespace_no_way"
|
|
],
|
|
"filter": [
|
|
"lowercase",
|
|
"trim"
|
|
],
|
|
"tokenizer": "keyword"
|
|
}
|
|
},
|
|
"char_filter": {
|
|
"whitespace_no_way": {
|
|
"type": "pattern_replace",
|
|
"pattern": "(\\s)+",
|
|
"replacement": "$1"
|
|
}
|
|
},
|
|
"filter": {
|
|
"path_hierarchy_pattern_filter": {
|
|
"type": "pattern_capture",
|
|
"preserve_original": true,
|
|
"patterns": [
|
|
"((?:[^\\\\]*\\\\)*)(.*)",
|
|
"((?:[^/]*/)*)(.*)"
|
|
]
|
|
}
|
|
},
|
|
"tokenizer": {
|
|
"path_tokenizer": {
|
|
"type": "path_hierarchy",
|
|
"delimiter": "\\"
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"mappings": {
|
|
"properties": {
|
|
"aws": {
|
|
"properties": {
|
|
"cloudtrail": {
|
|
"properties": {
|
|
"additional_eventdata": {
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
},
|
|
"ignore_above": 1024,
|
|
"type": "keyword"
|
|
},
|
|
"api_version": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"console_login": {
|
|
"properties": {
|
|
"additional_eventdata": {
|
|
"properties": {
|
|
"login_to": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"mfa_used": {
|
|
"type": "boolean"
|
|
},
|
|
"mobile_version": {
|
|
"type": "boolean"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"digest": {
|
|
"properties": {
|
|
"end_time": {
|
|
"type": "date"
|
|
},
|
|
"log_files": {
|
|
"type": "nested"
|
|
},
|
|
"newest_event_time": {
|
|
"type": "date"
|
|
},
|
|
"oldest_event_time": {
|
|
"type": "date"
|
|
},
|
|
"previous_hash_algorithm": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"previous_s3_bucket": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"public_key_fingerprint": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"s3_bucket": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"s3_object": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"signature_algorithm": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"start_time": {
|
|
"type": "date"
|
|
}
|
|
}
|
|
},
|
|
"error_code": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"error_message": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"event_category": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"event_type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"event_version": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"flattened": {
|
|
"properties": {
|
|
"additional_eventdata": {
|
|
"type": "flattened"
|
|
},
|
|
"request_parameters": {
|
|
"type": "flattened"
|
|
},
|
|
"response_elements": {
|
|
"type": "flattened"
|
|
},
|
|
"service_event_details": {
|
|
"type": "flattened"
|
|
}
|
|
}
|
|
},
|
|
"insight_details": {
|
|
"type": "flattened"
|
|
},
|
|
"management_event": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"read_only": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"recipient_account_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"request_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"request_parameters": {
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
},
|
|
"ignore_above": 1024,
|
|
"type": "keyword"
|
|
},
|
|
"resources": {
|
|
"properties": {
|
|
"account_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"arn": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"response_elements": {
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
},
|
|
"ignore_above": 1024,
|
|
"type": "keyword"
|
|
},
|
|
"service_event_details": {
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
},
|
|
"ignore_above": 1024,
|
|
"type": "keyword"
|
|
},
|
|
"shared_event_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"user_identity": {
|
|
"properties": {
|
|
"access_key_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"arn": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"invoked_by": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"session_context": {
|
|
"properties": {
|
|
"creation_date": {
|
|
"type": "date"
|
|
},
|
|
"mfa_authenticated": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"session_issuer": {
|
|
"properties": {
|
|
"account_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"arn": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"principal_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"vpc_endpoint_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"cloudwatch": {
|
|
"properties": {
|
|
"message": {
|
|
"norms": false,
|
|
"type": "text",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"ec2": {
|
|
"properties": {
|
|
"ip_address": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"elb": {
|
|
"properties": {
|
|
"action_executed": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"backend": {
|
|
"properties": {
|
|
"http": {
|
|
"properties": {
|
|
"response": {
|
|
"properties": {
|
|
"status_code": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"ip": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"port": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"backend_processing_time": {
|
|
"properties": {
|
|
"sec": {
|
|
"type": "float"
|
|
}
|
|
}
|
|
},
|
|
"chosen_cert": {
|
|
"properties": {
|
|
"arn": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"serial": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"classification": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"classification_reason": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"connection_time": {
|
|
"properties": {
|
|
"ms": {
|
|
"type": "long"
|
|
}
|
|
}
|
|
},
|
|
"error": {
|
|
"properties": {
|
|
"reason": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"incoming_tls_alert": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"listener": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"matched_rule_priority": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"name": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"protocol": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"redirect_url": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"request_processing_time": {
|
|
"properties": {
|
|
"sec": {
|
|
"type": "float"
|
|
}
|
|
}
|
|
},
|
|
"response_processing_time": {
|
|
"properties": {
|
|
"sec": {
|
|
"type": "float"
|
|
}
|
|
}
|
|
},
|
|
"ssl_cipher": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"ssl_protocol": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"target_group": {
|
|
"properties": {
|
|
"arn": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"target_port": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"target_status_code": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"tls_handshake_time": {
|
|
"properties": {
|
|
"ms": {
|
|
"type": "long"
|
|
}
|
|
}
|
|
},
|
|
"tls_named_group": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"trace_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"s3access": {
|
|
"properties": {
|
|
"authentication_type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"bucket": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"bucket_owner": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"bytes_sent": {
|
|
"type": "long"
|
|
},
|
|
"cipher_suite": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"error_code": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"host_header": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"host_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"http_status": {
|
|
"type": "long"
|
|
},
|
|
"key": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"object_size": {
|
|
"type": "long"
|
|
},
|
|
"operation": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"referrer": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"remote_ip": {
|
|
"type": "ip"
|
|
},
|
|
"request_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"request_uri": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"requester": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"signature_version": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"tls_version": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"total_time": {
|
|
"type": "long"
|
|
},
|
|
"turn_around_time": {
|
|
"type": "long"
|
|
},
|
|
"user_agent": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"version_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
},
|
|
"vpcflow": {
|
|
"properties": {
|
|
"account_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"action": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"instance_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"interface_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"log_status": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"pkt_dstaddr": {
|
|
"type": "ip"
|
|
},
|
|
"pkt_srcaddr": {
|
|
"type": "ip"
|
|
},
|
|
"subnet_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"tcp_flags": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"tcp_flags_array": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"type": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"version": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
},
|
|
"vpc_id": {
|
|
"ignore_above": 1024,
|
|
"type": "keyword",
|
|
"fields": {
|
|
"security": {
|
|
"type": "text",
|
|
"analyzer": "es_security_analyzer"
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|