field-extraction-and-cim-mapping

字段提取与 CIM 映射

编写有文档依据、受证据约束的搜索时字段提取和 CIM 规范化指南。仅起草文本内容。绝不对 Splunk 环境进行身份验证、修改、安装或部署。

前提条件

仅记录或询问对所请求的决策至关重要且缺失的信息：

• 有代表性的脱敏原始事件，包括有意义的边缘情况；
• sourcetype 及相关的当前 props.conf、transforms.conf、SPL、别名、 计算字段、查找表、事件类型和标签；
• 期望的源字段及其含义；
• 目标 CIM 数据集以及已安装的 CIM 版本或模型详情；
• 如果配置或路由取决于 Splunk 产品/版本、持久化范围、应用上下文和部署 拓扑，则需提供这些信息；以及
• 诊断问题或声称已验证时，需提供观察到的字段、搜索或数据模型验证输出。

绝不臆造事件结构或字段含义。证据不完整时，先保留并评估所有有依据的对象级事实。将每个缺失字段或制品标记为 unknown，并仅对受其影响的结论设置条件；缺失的上下文不得抹去已提供的证据。明确区分已提供的观察结果、有文档依据的事实、假设、暂定结论和未验证步骤。

适用场景

当主要目标是提供有文档依据的提取指南、受证据约束的提取草案、语义 CIM 映射、验证步骤或规范化差距诊断时，使用此技能。对相邻工作应用以下边界。

工作流概览

1. 选择提取机制

阅读 public-guidance.md。根据事件结构，确定有文档依据且适用的机制：自动键值提取、正则表达式或分隔符提取、内联 EXTRACT、可复用的 REPORT 加 transforms.conf，或临时 SPL 命令。区分持久化知识对象与仅限搜索的 SPL。将索引时提取视为对性能敏感的例外，而非默认做法。

如果缺少源事件或部署上下文，仅提供有引用依据的一般指南。在提出具体配置前，答案结尾必须直接请求提供有代表性的事件、sourcetype、产品和版本，以及期望的持久化范围；仅列出这些缺失项并不满足要求。

2. 起草受证据约束的提取方案

采用针对已提供样本的最简方案。仅在提供有代表性的事件和期望字段时，给出具体的 props.conf、transforms.conf 或 SPL。解释该方案为何适用于事件结构，并说明有关 sourcetype、应用上下文、分隔符、多值基数、多值行为，以及持久化搜索时范围与临时范围的假设。

指出不必要的宽泛键值提取、无界的可变键扩展、重复的计算字段逻辑、脆弱的仅匹配样本的规则，以及过早采用索引时提取等问题。证据不足时，询问缺失的样本和期望字段，或仅提供明确标记为未经验证的模板/检查清单。

3. 制定语义 CIM 映射计划

指出目标 CIM 数据集；如果事件含义可能对应多个候选数据集，请暂定说明候选项并请用户选择。根据源字段语义进行映射，而非依据名称相似度。在证据允许时，区分必需字段、推荐字段或预期字段、必需标签、数据集约束、别名、计算字段、查找表、事件类型、数据丰富以及值规范化。

如果缺少目标数据集、源语义或已安装模型详情，则保留任何有依据的字段事实，将候选映射标为暂定，并请求最少的缺失证据。请用户查阅 Data Model Editor 或已安装的模型 JSON，以获取完整约束和继承字段；不得声称公开参考表格包含全部信息。

4. 定义或评估验证

提供相关检查路径：常规搜索字段检查、Pivot/Datasets、datamodel 或 from datamodel、datamodelsimple，或 CIM Validation 数据模型的 Missing Extractions 和 Untagged Events 数据集。说明预期的成功证据：正确的值会显示，必需的标签/事件类型会选中预期事件，边缘情况能保留提取行为。

除非提供了实际搜索或部署结果，否则将运行时验证标记为 unverified。没有结果时，仅提供命令和预期观察结果。有结果时，仅评估这些结果能够证明的内容。

验证专用回答应简明扼要。使用一条简短的状态说明、最多五个重点验证步骤，以及一份简洁的预期证据清单。对于每种不同的验证目的，优先选择一条有代表性的搜索，而不是罗列多个变体。不要在多个部分重复前置条件、边界、引用或同一注意事项。验证专用回答不得超过 900 个词。如果用户要求更长的操作手册，请先在此限制内给出完整的验证回答，之后再提供更长的操作手册。

5. 诊断规范化缺口

将每个疑似缺失或错误的提取、别名、查找表、标签、事件类型、计算字段或 CIM 映射，与提供的原始事件、配置片段、字段输出或数据模型验证结果关联起来。即使缺少其他材料，也要保留已确认的事实。

将语义/配置方面的解释与可能的部署、应用安装、集群包、托管 Cloud 变更或加速原因分开。提供范围明确的语义修复计划以及确认该计划所需的确切证据。如果只提供了症状，不要作出诊断；请索取针对待定决策所需的最少安全信息，包括有代表性的事件、相关的当前配置、搜索输出、目标数据集、产品/版本和拓扑。

边界

在此处理提取编写和 CIM 映射语义。只有跨越边界的工作才转交：

• 治理、所有权、命名、打包策略和生命周期决策，转交给知识对象治理；
• 数据源接入传输、HEC、令牌和索引路由，转交给相关的数据接入负责人；
• 加速设计、tstats 调优、摘要和加速故障，转交给数据模型与搜索加速负责人；
• 无关的搜索/仪表板修复，转交给相应的故障排查负责人；以及
• 应用安装、托管 Cloud 变更、集群包、审批和生产部署，转交给相应的 Splunk 运维人员。

没有直接证据时，不要声称已完成运行时验证、具备发布条件、问题普遍存在、跨系统关联、遥测基线或回滚就绪。

示例

• “为这些脱敏事件和字段选择一种持久化提取方式。”
• “将这些现有字段映射到 Authentication CIM 数据集。”
• “根据提供的配置评估这些 Missing Extractions 结果。”

故障排查

• 没有样本：提供附有引用的机制说明或未经验证的模板，然后索取有代表性的事件和目标字段。
• 材料不完整：保留所有有依据的事实，仅将缺失的事实标记为未知；只对受影响的映射或诊断设置限制。
• 没有运行时结果：提供验证命令和预期观察结果；将验证标记为未验证。
• 仍可能存在运维原因：将其与语义判断分开，并且只转交跨越边界的运维操作。

最终答复规范

返回前，请核实：

• 在每项有文档依据的关键操作或结论旁，附上可公开访问的引用。
• 在基于证据进行诊断之前，请索取最少且安全的证据集；保留所有有依据的对象级事实，并仅让缺失字段限制受影响的结论。
• 说明假设、预期的成功证据，以及哪些内容仍属暂定或未经验证。
• 仅在答复超出此技能的边界时，指定负责人或转交路径；否则，说明答复仍在限定的字段提取与 CIM 映射范围内。