dt-obs-log-semantic-mapping

dt-obs-log-semantic-mapping

为审计日志集成构建并验证与语义字典对齐的映射。

用途

当用户想要执行以下操作时，使用此技能：

• 建议将原始供应商审计日志负载映射到 Dynatrace fetch logs 字段（工作流 A）。
• 验证映射是否符合粘贴的已摄取日志事件（工作流 B1 — 静态验证）。
• 通过实时租户访问对照实时租户数据进行验证（工作流 B2 — 运行时：按 log.source 获取日志，然后对结果运行 B1）。

日志类别

类别	描述	关键命名空间	示例来源
authentication	登录、注销、MFA、令牌	audit.*、actor.*、browser.*、device.*	CyberArk、Okta、Azure SignInLogs
authorization	访问决策、权限更改	audit.*、actor.*、object.*	CyberArk、Okta
user_action	对平台资源执行 CRUD 操作	audit.*、actor.*、object.*、product.*	Okta、GitHub、Sonatype
http	HTTP 请求/响应（WAF、网络设备）	http.*、url.*、server.*、geo.*、client.*	Akamai SIEM、Cloudflare

工作流

模式	输入	来源
工作流 A — 建议映射	原始供应商日志负载	references/mapping-workflow.md § Workflow A
工作流 B1 — 静态验证	粘贴的已摄取日志事件	references/mapping-workflow.md § Workflow B1
工作流 B2 — 运行时验证	log.source 值 + 实时租户访问权限	references/runtime-validation.md — 获取日志，然后运行 B1

核心概念

内容字段埋藏： 这是验证的首要关注点。content（原始供应商负载）中的字段本可提升为顶层语义属性，却未进行提升。此技能始终会盘点埋藏字段与已提升字段，并建议 OpenPipeline 提取规则来弥补缺口。

前提条件： 提出 OpenPipeline 处理器提取规则时，请先加载 dt-dql-essentials 技能。OpenPipeline 处理器使用 DQL 函数（parse、fieldsAdd、splitString 等）——使用非 DQL 语法会导致规则无效。

稀疏映射有效： GitHub 或 Sonatype 等集成可能只填充核心字段。最低要求：timestamp、log.source、content、loglevel、audit.action、audit.identity。

参考资料

• references/data-model-notes.md — 日志 SD 字段分类、审计命名空间、枚举、基于样本归纳的模式和已知差异
• references/mapping-workflow.md — 接收清单、工作流 A 和 B1 流程、内容字段分析、字段优先级顺序
• references/validation-rules.md — 必填字段、内容/枚举/类型规则、差异严重程度
• references/openpipeline-constraints.md — OpenPipeline 处理器命令/函数/运算符/匹配器限制；parseJson 不可用及 parse→fieldsFlatten 替代方案；用于数组类型转换的迭代运算符
• references/report-format.md — 映射表、差异表、OpenPipeline 草图、验证摘要模板
• references/runtime-validation.md — 工作流 B2：获取实时记录，然后运行 B1
• samples/audit-logs.json — 已映射样本：CyberArk、Okta、Azure SignInLogs、Sonatype、GitHub
• samples/http-logs.json — 已映射样本：Akamai SIEM（WAF/HTTP 类别）
• Dynatrace 日志语义字典