Tham Chiếu Mô Hình Dữ Liệu

📝

Các mẫu chỉ mục (`auth-*`, `events-*`, `firewall-*`, `dns-*`, `endpoint-*`, `process-*`) và schema trường trên trang này là **ví dụ minh họa** được sử dụng xuyên suốt tài liệu. Tên chỉ mục, tên trường và kiểu dữ liệu thực tế của bạn sẽ khác tùy thuộc vào triển khai và nguồn log của bạn. Hãy sử dụng các ví dụ này làm tham khảo khi điều chỉnh truy vấn cho môi trường của riêng bạn.

Trang này liệt kê sáu mẫu chỉ mục ví dụ, schema trường và dữ liệu mẫu. Hãy sử dụng làm điểm khởi đầu — thay thế các mẫu ví dụ bằng tên chỉ mục thực tế của bạn khi viết truy vấn.

---

Trường - Tham Chiếu Nhanh

Trường	Kiểu	Xuất hiện trong
ts	Int	Tất cả chỉ mục
src_ip	String	auth, dns, endpoint, firewall, events
action	String	auth, firewall, events
bytes	Int	dns, firewall, events
host	String	endpoint, process, events
user	String	auth, endpoint, process
process_name	String	endpoint, process
query_name	String	dns
query_type	String	dns
response_code	String	dns
response_ip	String	dns
ttl	Int	dns
dst_ip	String	firewall
src_port	String/Int	firewall
dst_port	Int	firewall
proto	String	firewall
rule_id	String	firewall
pid	Int	endpoint, process
parent_pid / ppid	Int	endpoint, process
event_type	String	endpoint
os	String	endpoint
host_ip	String	endpoint
severity	String	endpoint
cmdline	String	process
exit_code	Int	process
duration_ms	Int	process
session_id	String	auth
auth_method	String	auth
mfa_method	String	auth
target	String	auth
status	String	events
env	String	events
team	String	events
method	String	events
user_id	String	events
latency	Int	events

---

auth-* (Xác thực)

Mẫu chỉ mục: auth-*

Nhật ký từ hệ thống xác thực: cổng VPN, nhà cung cấp SSO, máy chủ SSH, bộ điều khiển miền. Theo dõi các lần đăng nhập, lỗi, khóa tài khoản và vòng đời phiên.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	4000, 4008
user	String	Tên người dùng, null nếu ẩn danh	"alice", "bob", null
src_ip	String	IP nguồn của client	"10.0.0.1", "10.0.0.99"
action	String	Sự kiện xác thực	"login_success", "login_failure", "lockout", "logout"
auth_method	String	Loại thông tin xác thực được sử dụng	"mfa", "password", "sso", "kerberos"
target	String	Dịch vụ hoặc host mục tiêu	"vpn-gw", "ssh-prod", "web-app", "dc-01"
session_id	String	Token phiên, null khi thất bại	"S001", "S002", null
mfa_method	String	Cơ chế MFA, null nếu không áp dụng	"totp", "push", null

Ví dụ truy vấn:

search action=login_failure | stats count by user

Đếm các lần đăng nhập thất bại, nhóm theo tên người dùng.

---

dns-* (DNS)

Mẫu chỉ mục: dns-*

Nhật ký truy vấn và phản hồi DNS. Bao gồm bản ghi A, AAAA, MX, CNAME, TXT, phản hồi NXDOMAIN và SERVFAIL.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	2000, 2007
query_name	String	Tên miền được truy vấn	"example.com", "missing.invalid"
query_type	String	Loại bản ghi DNS	"A", "AAAA", "MX", "CNAME", "TXT"
response_code	String	Mã phản hồi DNS	"NOERROR", "NXDOMAIN", "SERVFAIL"
response_ip	String	IP đã phân giải, null nếu không phải A/AAAA	"93.184.216.34", null
ttl	Int	Thời gian tồn tại (TTL), null khi thất bại	3600, 7200, null
src_ip	String	Client thực hiện truy vấn	"10.0.0.10", "10.0.0.14"
bytes	Int	Kích thước phản hồi (byte)	256, 80, 512

Ví dụ truy vấn:

search response_code=NXDOMAIN | stats count

Đếm các truy vấn DNS trả về "không tồn tại tên miền."

---

endpoint-* (Điểm cuối)

Mẫu chỉ mục: endpoint-*

Sự kiện phát hiện và phản hồi tại điểm cuối (EDR). Bao gồm thực thi tiến trình, kết nối mạng, truy cập tệp và sửa đổi registry trên các host Linux, Windows và macOS.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	3000, 3007
host	String	Tên host, null nếu không rõ	"srv-web-01", "srv-db-01", null
host_ip	String	Địa chỉ IP của host, null nếu không rõ	"10.0.1.10", null
os	String	Hệ điều hành, có thể thiếu trên một số bản ghi	"linux", "windows", "macos"
event_type	String	Loại sự kiện	"Process", "Network", "File", "Registry"
process_name	String	Tên tệp thực thi của tiến trình	"nginx", "powershell.exe", "sshd"
pid	Int	Mã tiến trình (PID)	1200, 4500
parent_pid	Int	Mã tiến trình cha	1, 3200
user	String	Người dùng đang chạy	"www-data", "root", "Administrator"
severity	String	Mức độ nghiêm trọng	"INFO", "LOW", "MEDIUM", "HIGH"

Ví dụ truy vấn:

search severity=HIGH | stats count by host

Đếm các sự kiện mức độ nghiêm trọng cao theo từng host.

---

firewall-* (Tường lửa)

Mẫu chỉ mục: firewall-*

Nhật ký tường lửa mạng. Ghi lại các kết nối được phép, từ chối và bỏ qua kèm IP nguồn/đích, cổng, giao thức và mã quy tắc.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	1000, 1006
src_ip	String	Địa chỉ IP nguồn	"10.0.0.1", "10.0.0.5"
dst_ip	String	Địa chỉ IP đích	"192.168.1.100", "172.16.0.50"
src_port	String/Int	Cổng nguồn (lưu ý: kiểu hỗn hợp)	"44382", 22
dst_port	Int	Cổng đích	443, 80, 53, 22
action	String	Quyết định của tường lửa	"allow", "deny", "drop"
proto	String	Giao thức vận chuyển	"tcp", "udp"
bytes	Int	Kích thước truyền, 0 cho deny/drop	12500, 45000, 0
rule_id	String	Quy tắc tường lửa, null nếu không khớp	"R1", "R2", null

Ví dụ truy vấn:

search action=deny | stats count by dst_ip

Đếm các kết nối bị từ chối theo IP đích.

---

process-* (Tiến trình)

Mẫu chỉ mục: process-*

Telemetry thực thi tiến trình. Theo dõi dòng lệnh, mối quan hệ cha-con, mã thoát và thời gian thực thi trên các host.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	5000, 5007
host	String	Tên host, null nếu không rõ	"srv-01", "srv-02", null
process_name	String	Tên tệp thực thi của tiến trình	"sshd", "bash", "powershell.exe", "curl"
pid	Int	Mã tiến trình (PID)	100, 200, 9999
ppid	Int	Mã tiến trình cha	1, 100, 200
cmdline	String	Dòng lệnh đầy đủ, null nếu không có	"/usr/sbin/sshd", null
user	String	Người dùng đang chạy, null nếu không rõ	"root", "admin", "Administrator", null
exit_code	Int	Mã thoát tiến trình (0 = thành công)	0, 1
duration_ms	Int	Thời gian thực thi (ms), 0 = đang chạy	0, 120, 5000, -1

Ví dụ truy vấn:

search exit_code!=0 | stats count by host

Đếm các lần thực thi tiến trình thất bại theo host.

---

events-* (Sự kiện)

Mẫu chỉ mục: events-*

Nhật ký sự kiện từ ứng dụng và máy chủ web chung. Ghi lại các yêu cầu HTTP, hành động người dùng, mã trạng thái, kích thước phản hồi và thông số độ trễ.

Trường	Kiểu	Mô tả	Giá trị mẫu
ts	Int	Dấu thời gian epoch (giây)	1000, 1009
status	String	Mã trạng thái HTTP hoặc trạng thái sự kiện	"error", "warning", "200"
host	String	Tên host máy chủ, null nếu không rõ	"web-01", "web-02", null
env	String	Môi trường triển khai	"prod", "staging"
team	String	Nhóm phụ trách	"sec", "eng"
method	String	Phương thức HTTP	"GET", "POST", "PUT", "DELETE"
src_ip	String	Địa chỉ IP client	"10.0.0.1", "10.0.0.8"
user_id	String	Mã người dùng đã xác thực	"u1", "u8"
action	String	Hành động người dùng thực hiện	"login", "logout"
bytes	Int	Kích thước payload phản hồi	0, 512, 8192
latency	Int	Độ trễ yêu cầu (millisecond)	25, 300

Ví dụ truy vấn:

search status=error | stats count by host

Đếm các sự kiện lỗi theo máy chủ web.

---

Mẫu Chỉ Mục Đa Nguồn

Một số trường xuất hiện xuyên suốt nhiều chỉ mục. Chúng rất hữu ích cho việc tương quan dữ liệu đa nguồn:

• ts (dấu thời gian): Có mặt trong mọi chỉ mục. Dùng để lọc theo khoảng thời gian trên tất cả nguồn.
• src_ip: Xuất hiện trong auth, dns, firewall và events. Cho phép truy vết một địa chỉ IP xuyên suốt xác thực, tra cứu DNS, sự kiện tường lửa và yêu cầu web.
• host: Xuất hiện trong endpoint, process và events. Tương quan phát hiện tại điểm cuối với telemetry tiến trình và nhật ký ứng dụng.
• user: Xuất hiện trong auth, endpoint và process. Liên kết sự kiện xác thực với hoạt động điểm cuối và thực thi tiến trình.
• action: Xuất hiện trong auth, firewall và events (ý nghĩa khác nhau tùy chỉ mục). Cần cẩn thận khi lọc xuyên chỉ mục.

Ví dụ truy vấn đa chỉ mục:

search src_ip=10.0.0.1 | stats count

Đếm tất cả sự kiện từ IP 10.0.0.1 trên các chỉ mục auth, dns, firewall và events.

---

Chủ Đề Liên Quan

• Bắt Đầu — Mới làm quen với BQL? Bắt đầu từ đây
• Tham Chiếu Lệnh — Cú pháp đầy đủ của các lệnh
• Sổ Tay Mẫu — Các truy vấn sẵn sàng sử dụng
• Hạn Chế Đã Biết — Những gì BQL chưa thể làm