CEF 格式的审核事件常用关键字

外部标识

事件的全局唯一 ID (GUID)。

suser

来自外部 Active Directory 或 LDAP 的发起事件的用户的登录名或发起事件的用户的用户名。

KSMGUserRole

发起事件的用户角色列表。

如果有多个角色，他们会被作为用逗号隔开的列表指定。

如果用户没有角色，则不记录。

KSMGAccountType

发起事件的 KSMG 用户的账户类型。

src

从其发起事件的计算机的 IPv4 地址。

c6a2Label

该值始终为 SourceIPv6 Address。

如果发起事件的计算机的 IP 地址是 IPv6 格式，则记录。

c6a2

从其发起事件的计算机的 IPv6 地址。

dst

处理事件的节点的 IPv4 地址。

c6a3Label

该值始终为 NodeIPv6 地址。

如果处理事件的节点的 IP 地址是 IPv6 格式，则记录。

c6a3

处理事件的节点的 IPv6 地址。

dpt

处理事件的节点的端口。

cn1Label

该值始终为 EventPart。

cn1

包含事件信息的部分的编号。

cn2Label

该值始终为 TotalEventParts。

cn2

包含事件信息的部分总数。

outcome

事件结果。可能的值：成功，失败。