tenzir-ecs

Elastic Common Schema

Elastic Common Schema（ECS）は、ログ、メトリクス、セキュリティテレメトリ、可観測性データに共通のフィールドを定義し、さまざまなソースのイベントを一貫して検索・関連付けできるようにします。

このスキルは、このリポジトリでサポートされている最新の ECS リリースである v9.5.0 / 9.5.0 から生成されています。 正確なフィールド名、フィールドセット、型、レベル、許可値、正規化のヒント、再利用メタデータ、OpenTelemetry との関連については、YAML ファイルを正式な参照元として使用してください。 Markdown ドキュメントは、概念的なガイダンス、マッピング例、実装規約の参照に限って使用してください。 フィールド、フィールドセット、許可値、関連が YAML データに存在しない場合は、ここでは文書化されていないと伝えてください。

データファイル

• ECS のドット区切りフィールドを見つけて、参照されている fields/<field>.yaml ファイルを読み込むには、fields.yaml を使用してください。
• フィールドセットを選択し、参照されている fieldsets/<fieldset>.yaml ファイルを読み込むには、fieldsets.yaml を使用してください。
• event.kind、event.category、event.type、event.outcome、許可値、想定されるカテゴリとタイプの組み合わせについては、categorization.yaml を使用してください。
• OpenTelemetry との関連を簡潔に ECS キーで対応付けたものとして、otel.yaml を使用してください。
• リリースの出所、ソース成果物、コピーされたドキュメント、参照された上流ドキュメント、件数については、source.md を使用してください。

補足ドキュメント

• 一般的なモデリングに関する質問については、Implementation patterns、Design principles、Conventions から確認してください。
• event.* の分類値を割り当てる場合は、categorization.yaml と Using categorization fields を使用してください。
• source／destination と client／server の使い分けについては、Mapping network events を使用してください。
• ECS に適切なフィールドがない場合は、Custom fields を使用してください。
• OTel との整合性に関する質問については、ECS and OpenTelemetry と otel.yaml を併用してください。
• cloud、service、threat、user のマッピングシナリオについては、用途に特化したドキュメントを使用してください。

マッピングルール

• 必須フィールドの @timestamp と ecs.version を最初に入力してください。
• フィールドの意味が一致する場合は、カスタムフィールドよりも文書化された ECS フィールドを優先してください。
• ECS に対応するフィールドがない場合は、ソース固有の詳細をカスタムフィールドに保持してください。適切な場合は、小規模なキーワードメタデータに labels を使用してください。
• 分類には、categorization.yaml に記載された許可値のみを使用してください。適切な許可値がない場合は、分類フィールドを空のままにしてください。
• event.category と event.type は配列として扱い、イベントが複数のカテゴリまたはタイプに合理的に該当する場合に限り、複数の値を使用してください。
• user.target、process.parent、cloud.origin、service.target など、役割に応じた場所を区別するには、fieldsets.yaml のフィールドセット再利用メタデータを使用してください。
• ネットワークイベントでは、パケットまたはフローの方向に source／destination を使用し、エンドポイントの役割が判明している場合は client／server も入力してください。
• ドキュメントまたはフィールドの意味から複数フィールド間の検索が求められる場合は、ピボット値を related.* にコピーしてください。

質問の振り分け

• フィールド X の意味は何ですか？ fields.yaml を確認してから、選択したフィールドの YAML を読み込みます。
• フィールドセット X にはどのフィールドがありますか？ fieldsets.yaml を確認してから、選択したフィールドセットの YAML を読み込みます。
• どの event.category または event.type を使えばよいですか？ categorization.yaml を確認してから、例についてはカテゴリ化フィールドの使い方をお読みください。
• ネットワークイベントはどのようにマッピングすればよいですか？ ネットワークイベントのマッピングを読み、関連するフィールドセットを確認してください。
• ユーザー、クラウドリソース、サービス、または脅威インジケーターはどのようにモデル化すればよいですか？ docs/usage/ の該当する使用方法ドキュメントを読み、関連するフィールドセットの YAML を確認してください。
• ECS は OpenTelemetry とどのように関係していますか？ コンパクトなフィールド対応表には otel.yaml を、概念的なガイダンスには ECS と OpenTelemetry をご利用ください。
• ECS に一致するフィールドがない場合はどうすればよいですか？ カスタムフィールドをお読みください。
• このスキルの元になった上流ソースは何ですか？ source.md をご利用ください。