dt-sec-semantic-mapping

dt-sec-semantic-mapping

为新的安全集成构建并验证与语义字典对齐的映射。

用途

当用户想要执行以下操作时，请使用此技能：

• 建议将供应商 API 输出映射到 Dynatrace security.events 字段（工作流 A）。
• 根据以下内容验证现有映射的完整性和质量：
  • 本地基线样本和语义字典（工作流 B1 — 静态离线验证），或
  • 通过实时租户访问获取的实时租户数据（工作流 B2 — 运行时验证）
• 指出与语义字典和本地参考资料的差异。
• 获取可操作的映射改进建议。

语义字典

语义字典（SD）定义了 security.events 的规范字段集。规范参考请参阅 references/semantic-reference.md，其中包含本地与实时数据源、可查询的 Grail 表、查询时机决策矩阵，以及权威性规则（如有差异，以实时 SD 为准）。

必需输入

生成或验证映射之前，务必先运行 references/intake-and-constraints.md 中的输入检查清单。如果输入不完整，请继续提供部分草案，但必须明确列出缺失的证据和置信度限制。

基线来源（自包含）

所有基线材料均位于此技能目录中：

• samples/ — 涵盖所有发现类型和提供商的真实集成负载。仅当主要参考资料（SD、data-model-notes、known-discrepancies、validation-rules、object-type-expectations）无法解答某个具体问题时，才将其作为备用资料查阅；并非每次运行工作流的常规步骤。
• references/semantic-reference.md — SD 参考、字段分类、事件类型、提供商分类和实体范围
• references/validation-policy-and-reporting.md — 验证规则、可接受的差异和报告模板
• references/intake-and-constraints.md — 输入检查清单、输出约定、object.type 预期值和 OpenPipeline 约束

事件类型覆盖要求

映射必须针对每个发现类别指定正确的 event.type 值集合。检测集成基于推送，不使用扫描周期 — 检测事件不得要求扫描事件。

完整表格、严重性规则，以及检测类别映射错误地产生 *_SCAN 事件时的替代分类路径，请参阅 validation-policy-and-reporting.md § 事件类型覆盖。

工作流

此技能支持三种模式。请根据上下文判断模式：

模式	输入	流程参考
工作流 A — 建议新映射	仅原始供应商 API 负载	references/mapping-workflow.md § Workflow A（阶段 1：映射表 → 用户批准 → 阶段 2：样本 JSON）
工作流 B1 — 静态验证	现有映射 + 供应商 API 样本	references/mapping-workflow.md § Workflow B — 判断输入模式（最终摄取数据 / 理论数据）、应用规则并生成带差异标注的表格
工作流 B2 — 运行时验证	现有映射 + 实时租户访问	references/runtime-validation.md — 首先加载安全（AppSec）事件支持技能（必需步骤 0），然后运行查询包并生成验证摘要表

所有工作流均须遵循 references/intake-and-constraints.md 中的输出约定，以及 references/validation-policy-and-reporting.md 中的报告模板。验证规则（事件类型覆盖、必需字段、扫描参考、命名空间要求、值/类型检查、供应商命名空间重复）见 references/validation-policy-and-reporting.md。

可接受的差异政策

有关可接受的 SD 偏差和供应商命名空间模式的权威列表，请参阅 references/validation-policy-and-reporting.md。对于该列表中的字段，不要提出严重/重大问题。对于确实未知的字段（本地参考资料中没有，实时 SD 中也没有——请参阅 references/semantic-reference.md），必须按照 references/validation-policy-and-reporting.md 中的要求提出质疑。

范围

此技能涵盖：

• 映射建议和优化（工作流 A）。
• 根据本地基线示例和语义词典进行静态验证（工作流 B1）。
• 通过实时租户访问，根据实时租户数据进行运行时验证（工作流 B2）。
• 语义词典一致性检查。
• 差距分析和改进建议。

此技能不涵盖：

• 实时摄取管道部署。
• 运行时 DQL 性能基准测试。
• 租户端摄取故障排查。

参考资料

• references/semantic-reference.md — SD 参考资料及数据模型说明：本地来源、实时（可查询）来源、DQL 模式、何时查询的决策矩阵、权威规则、字段分类
• 一项涵盖完整 SD 访问模式和 Grail 表文档的技能 — 用于查询 security.events 和 Grail 表的 DQL 模式
• 语义词典（公开文档）
• references/intake-and-constraints.md — 接收检查清单、输出约定、OpenPipeline 约束，以及对 object.type 命名空间的要求
• references/mapping-workflow.md — 如何构建和优化映射候选方案
• references/validation-policy-and-reporting.md — 完整验证规则集、已知差异和差异报告模板
• references/runtime-validation.md — 可选的真实环境查询验证包