Created
February 24, 2023 01:06
-
-
Save acedef/5649fb881d56c3376b0e4df8ede1e941 to your computer and use it in GitHub Desktop.
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
| { | |
| "winlogbeat-2023.02.23": { | |
| "aliases": {}, | |
| "mappings": { | |
| "properties": { | |
| "@timestamp": { "type": "date" }, | |
| "@version": { | |
| "type": "text", | |
| "fields": { "keyword": { "type": "keyword", "ignore_above": 256 } } | |
| }, | |
| "agent": { | |
| "properties": { | |
| "ephemeral_id": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "hostname": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "id": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "type": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "version": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "ecs": { | |
| "properties": { | |
| "version": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "event": { | |
| "properties": { | |
| "action": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "code": { "type": "long" }, | |
| "created": { "type": "date" }, | |
| "kind": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "outcome": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "provider": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "host": { | |
| "properties": { | |
| "architecture": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "hostname": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "id": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ip": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "mac": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "os": { | |
| "properties": { | |
| "build": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "family": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "kernel": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "platform": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "type": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "version": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| } | |
| } | |
| }, | |
| "log": { | |
| "properties": { | |
| "level": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "message": { | |
| "type": "text", | |
| "fields": { "keyword": { "type": "keyword", "ignore_above": 256 } } | |
| }, | |
| "tags": { | |
| "type": "text", | |
| "fields": { "keyword": { "type": "keyword", "ignore_above": 256 } } | |
| }, | |
| "winlog": { | |
| "properties": { | |
| "activity_id": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "api": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "channel": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "computer_name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "event_data": { | |
| "properties": { | |
| "AccessList": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AccessMask": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Action": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ActionName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AdapterName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AdapterSuffixName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Address": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AddressLength": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AlgorithmName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "AuthenticationPackageName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CallerProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CallerProcessName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CalloutKey": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CalloutName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ChangeType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ClientCreationTime": { "type": "date" }, | |
| "ClientProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CommandLine": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Company": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Conditions": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CountOfCredentialsReturned": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CreationUtcTime": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "CurrentDirectory": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Description": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DestinationHostname": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DestinationIp": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DestinationIsIpv6": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DestinationPort": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DestinationPortName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Details": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "DnsServerList": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ElevatedToken": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "EnginePID": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ErrorCode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ErrorDescription": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ErrorMessage": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "EventCountTotal": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "EventIdx": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "EventType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ExtraInfo": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "FileVersion": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "FilterId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "FilterKey": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "FilterName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "FilterType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "GroupMembership": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "HandleId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Hashes": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "HostName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Image": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ImpersonationLevel": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Initiated": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "IntegrityLevel": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "IpAddress": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "IpPort": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Ipaddress": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "KeyFilePath": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "KeyLength": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "KeyName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "KeyType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LayerId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LayerKey": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LayerName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LmPackageName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LogonGuid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LogonId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LogonProcessName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "LogonType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "MandatoryLabel": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "NewProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "NewProcessName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "NewThreadId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "NewTime": { "type": "date" }, | |
| "ObjectName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ObjectServer": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ObjectType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "OldTime": { "type": "date" }, | |
| "Operation": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "OriginalFileName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentCommandLine": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentImage": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentProcessGuid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentProcessName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ParentUser": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Path": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "PreviousTime": { "type": "date" }, | |
| "Priority": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "PrivilegeList": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessCreationTime": { "type": "date" }, | |
| "ProcessGuid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessID": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessingMode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProcessingTimeInMilliseconds": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Product": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProfileChanged": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Protocol": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProviderKey": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ProviderName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "QueryName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "QueryResults": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "QueryStatus": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ReadOperation": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Reason": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "RestrictedAdminMode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ResultCode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "RetryMinutes": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "ReturnCode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "RuleAttr": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "RuleId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "RuleName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Sent UpdateServer": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Service": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceHostname": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceImage": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceIp": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceIsIpv6": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourcePort": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourcePortName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceProcessGuid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SourceUser": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "StartAddress": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "StartFunction": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "StartModule": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Status": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SubjectDomainName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SubjectLogonId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SubjectUserName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SubjectUserSid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SupportInfo1": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "SupportInfo2": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetDomainName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetFilename": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetImage": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetLinkedLogonId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetLogonId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetObject": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetOutboundDomainName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetOutboundUserName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetProcessGuid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetProcessId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetSid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetUser": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetUserName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TargetUserSid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TaskContentNew": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TaskInstanceId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TaskName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TerminalSessionId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TokenElevationType": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "TransmittedServices": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Type": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "URL": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "User": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "UserName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "UserSid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "UtcTime": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "VirtualAccount": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "Weight": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "WorkstationName": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param1": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param10": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param11": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param16": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param19": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param2": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param20": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param21": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param22": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param23": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param3": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param4": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param5": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param6": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param7": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param8": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "param9": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "event_id": { "type": "long" }, | |
| "keywords": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "opcode": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "process": { | |
| "properties": { | |
| "pid": { "type": "long" }, | |
| "thread": { "properties": { "id": { "type": "long" } } } | |
| } | |
| }, | |
| "provider_guid": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "provider_name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "record_id": { "type": "long" }, | |
| "task": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "user": { | |
| "properties": { | |
| "domain": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "identifier": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "type": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "user_data": { | |
| "properties": { | |
| "RmSessionId": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| }, | |
| "UTCStartTime": { "type": "date" }, | |
| "xml_name": { | |
| "type": "text", | |
| "fields": { | |
| "keyword": { "type": "keyword", "ignore_above": 256 } | |
| } | |
| } | |
| } | |
| }, | |
| "version": { "type": "long" } | |
| } | |
| } | |
| } | |
| }, | |
| "settings": { | |
| "index": { | |
| "creation_date": "1677175553395", | |
| "number_of_shards": "1", | |
| "number_of_replicas": "0", | |
| "uuid": "rLI8F8cmQ_-FkKKnAV7uRQ", | |
| "version": { "created": "136267827" }, | |
| "provided_name": "winlogbeat-2023.02.23" | |
| } | |
| } | |
| } | |
| } |
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment