代码之家 › 专栏 › 技术社区 › user8402764

在公共事件格式(CEF)中,如何在实际应用程序中使用字段版本?

arcsight logging

0

user8402764 · 技术社区 · 7 年前

我正在编写一个程序,以公共事件格式(CEF)输出日志,同时引用 this document ,它分解了CEF的组成方式。然而,我对这一特定部分中“版本”的含义感到困惑:

这是他们展示的示例:

9月19日08:26:10主机CEF:0 |安全| threatmanager | 1.0 | 100 |蠕虫成功停止| 10 | src=10.0.0.1 dst=2.1.2.2 spt=1232

该文档指出,“版本是一个整数,标识CEF格式的版本。事件消费者使用此信息来确定以下字段代表什么”。我将其解释为,版本由事件消费者和生产者定义,并用作某种标识符。然而,我不确定这是否正确,即使正确,我也找不到一个具体的实际例子来说明它是如何使用的。这个示例日志和我搜索示例时发现的所有CEF日志都使用零。

有没有人知道我的解释是否正确和/或是否有实际使用的例子?

1 回复 | 直到 7 年前

1

0

J. Doe 7 年前

长期以来只有一个版本,但现在有一个1.0版本,它主要用于指示事件在正常地址字段中包含IPv6地址。

IPv4或将被省略。如果有任何IPv6地址,它们将位于设备自定义IPv6地址中领域。字节输入和字节输出字段限制为整数大小(最多2^31-1)。

长值(高达2^63-1)。

在CEF事件中,版本不使用小数,因此它只是CEF:0和CEF:1。