已选择Syslog文件

使用Syslog文件

突出显示

Yes

Yes

Yes

Yes

No

No

No

Yes

No

No

No

No

类型

意途

格式

Integer

数字从-214483648 到214743647。

n/a

IPAddress

ipv4 地址 (例如: 1.1.1.1)。对于支持 ipv6 的解析器,这可以是 ipv4 或 ipv6 地址 (例如: fdeb:f59b:2e13:56c9:xxxx:xxxx:xxxx:xxxx)。

n/a

Long

数字从-9223372036854775808到9223372036854775807。

n/a

MacAddress

以太网MAC地址格式为：00-06-3E-22-51-B9或00：06：3E：22：51：B9。

n/a

String

任何自由形式的字符序列。

n/a

TimeStamp

日期、时间或日期和时间。

日期格式 (请参阅 "日期和时间格式符号")

Symbol

Meaning

Presentation

Examples

G

Era designator

(Text)

AD

y

Year

(Number)

2016 or 06

Y

Week year

Year

2016;16

M

Month in year

(Text & Number)

July or Jul or 07

w

Week in year

(Number)

27

W

Week in month

(Number)

2

D

Day in year

(Number)

129

d

Day in month

(Number)

10

Symbol

Meaning

Presentation

Examples

F

Day of week in month

(Number)

2 (indicating 2nd Wed. in July)

E

Day in week

(Text)

Tuesday or Tue

u

Day number of week

(1=Monday,...,7=Sunday)

Number

a

Am/pm marker

(Text)

AM or PM

H

Hour in day (0~23)

(Number)

0

k

Hour in day (1~24)

(Number)

24

K

Hour in am/pm (0~11)

(Number)

0

h

Hour in am/pm (1~12)

(Number)

12

m

Minute in hour

(Number)

30

s

Second in minute

(Number)

55

S

Millisecond

(Number)

978

z

Time zone

General time zone

Pacific Standard Time or PST or GMT-08:00

Z

Time zone

RFC 822 time zone

-0800 (indicating PST)

X

Time zone

ISO 8601 time zone

-08; -0800; -08:00

ArcSight规则，映射和架构名称

类型

长度

范围

ACL Name (rule)

See "Quick Flex Parser Tool Rules".

??

Additional Data (rule)

See "Quick Flex Parser Tool Rules".

??

AV Engine Version (rule)

See "Quick Flex Parser Tool Rules".

??

Application Protocol event.applicationProtocol

String

31

n/a

Base Event Count event.baseEventCount

Integer

n/a

0 -> 231-1

Bytes In event.bytesIn

Long

n/a

0 -> 231-1

Bytes Out event.bytesOut

Long

n/a

0 -> 231-1

Category Behavior event.categoryBehavior

String

1023

n/a (1)

Category Device Group event.categoryDeviceGroup

String

1023

n/a (1)

Category Object event.categoryObject

String

1023

n/a (1)

Category Outcome event.categoryOutcome

String

1023

n/a (1)

Category Significance event.categorySignificance

String

1023

n/a (1)

Category Technique event.categoryTechnique

String

1023

n/a (1)

Crypto Signature event.cryptoSignature

String

512

n/a

Custom URI event.customURI

String

-

n/a (2)

Destination Account (rule)

See "Quick Flex Parser Tool Rules".

??

Destination Address (rule)

See "Quick Flex Parser Tool Rules".

??

Destination Address event.destinationAddress

IPAddress

n/a

IPv4 (3)

Destination Dns Domain event.destinationDnsDomain

String

255

n/a

Destination Host (rule)

See "Quick Flex Parser Tool Rules".

??

Destination Host Name event.destinationHostName

String

1023

n/a

Destination Mac Address event.destinationMacAddress

MacAddress

n/a

MAC (4)

Destination Nt Domain event.destinationNtDomain

String

255

n/a

Destination Port event.destinationPort

Integer

n/a

0 ->65535

Destination Process Name event.destinationProcessName

String

1023

n/a

Destination Service Name event.destinationServiceName

String

1023

n/a

Destination Translated Address event.destinationTranslatedAddress

IPAddress

n/a

IPv4 (3)

Destination Translated Port event.destinationTranslatedPort

Integer

n/a

0 -> 65535

Destination Translated Zone URI event.destinationTranslatedZoneURI

String

-

n/a (2)

Destination User Id event.destinationUserId

String

1023

n/a

Destination User Name event.destinationUserName

String

1023

n/a

Destination User Privileges event.destinationUserPrivileges

String

1023

n/a

Destination Zone URI event.destinationZoneURI

String

-

n/a (2)

Device Action event.deviceAction

String

63

n/a

Device Address (rule)

See "Quick Flex Parser Tool Rules".

Device Address event.deviceAddress

IPAddress

n/a

IPv4 (3)

Device Custom Date 1 event.deviceCustomDate1

TimeStamp

n/a

n/a (5)

Device Custom Date 1 Label event.deviceCustomDate1Label

String

1023

n/a

Device Custom Date 2 event.deviceCustomDate2

TimeStamp

n/a

n/a (5)

Device Custom Date 2 Label event.deviceCustomDate2Label

String

1023

n/a

Device Custom IPv6 Address 1 event.deviceCustomIPv6Address1

IPv6 Address

n/a

IPv6 (8)

Device Custom IPv6 Address 1 Label event.deviceCustomIPv6Address1Label

String

1023

Should be "Device IPv6

Address". See also "Device

Address or Host" in "Quick Flex Parser Tool Rules".

Device Custom IPv6 Address 2 event.deviceCustomIPv6Address2

IPv6 Address

n/a

IPv6 (8)

Device Custom IPv6 Address 2 Label event.deviceCustomIPv6Address2 Label

String

1023

Should be "Source IPv6

Address". See also "Source

Address or Host" in "Quick Flex Parser Tool Rules".

Device Custom IPv6 Address 3 event.deviceCustomIPv6Address3

IPv6 Address

n/a

IPv6 (8)

Device Customer IPv6 Address 3 Label event.deviceCustomerIPv6Address3Label

String

1023

Should be "Destination

IPv6 Address". See also

"Destination Address or Host" in "Quick Flex Parser Tool Rules".

Device Custom Number 1 event.deviceCustomNumber1

Long

n/a

- 263 -> 263-1

Device Custom Number 1 Label event.deviceCustomNumber1Label

String

1023

n/a

Device Custom Number 2 event.deviceCustomNumber2

Long

n/a

- 263 -> 263-1

Device Custom Number 2 Label event.deviceCustomNumber2Label

String

1023

n/a

Device Custom Number 3 event.deviceCustomNumber3

Long

n/a

-263 -> 263-1

Device Custom Number 3 Label event.deviceCustomNumber3Label

String

1023

n/a

Device Custom String 1 event.deviceCustomString1

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 1 Label event.deviceCustomString1Label

String

1023

n/a

Device Custom String 2 event.deviceCustomString2

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 2 Label event.deviceCustomString2Label

String

1023

n/a

Device Custom String 3 event.deviceCustomString3

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 3 Label event.deviceCustomString3Label

String

1023

n/a

Device Custom String 4 event.deviceCustomString4

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 4 Label event.deviceCustomString4Label

String

1023

n/a

Device Custom String 5 event.deviceCustomString5

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 5 Label event.deviceCustomString5Label

String

1023

n/a

Device Custom String 6 event.deviceCustomString6

String

1023 (4.x)

4000 (5.x)

n/a

Device Custom String 6 Label event.deviceCustomString6Label

String

1023

n/a

Device Dns Domain event.deviceDnsDomain

String

255

n/a

Device Domain event.deviceDomain

String

1023

n/a

Device Event Category event.deviceEventCategory

String

1023

n/a

Device Event Class Id event.deviceEventClassId

String

1023

n/a

Device External Id event.deviceExternalId

String

255

n/a

Device Facility event.deviceFacility

String

1023

n/a

Device Host Name event.deviceHostName

String

63

n/a

Device Host (rule)

See "Quick Flex Parser Tool Rules".

Device Inbound Interface event.deviceInboundInterface

String

15

n/a

Device Mac Address event.deviceMacAddress

MacAddress

n/a

MAC (4)

Device Nt Domain event.deviceNtDomain

String

255

n/a

Device Outbound Interface event.deviceOutboundInterface

String

15

n/a

Device Payload Id event.devicePayloadId

String

128

n/a

Device Process Name event.deviceProcessName

String

1023

n/a

Device Product event.deviceProduct

String

63

n/a

Device Receipt Time event.deviceReceiptTime

TimeStamp

n/a

n/a (5)

Device Severity event.deviceSeverity

String

63

n/a

Device Time Zone event.deviceTimeZone

String

255

n/a

Device Translated Address event.deviceTranslatedAddress

IPAddress

n/a

IPv4 (3)

Device Translated Zone URI event.deviceTranslatedZoneURI

String

-

n/a (2)

Device Vendor event.deviceVendor

String

63

n/a

Device Version event.deviceVersion

String

31

n/a

Device ZoneURI event.deviceZoneURI

String

-

n/a (2)

End Time

event.endTime

TimeStamp

n/a

n/a (5)

External Id event.externalId

String

40

n/a

File Create Time event.fileCreateTime

TimeStamp

n/a

n/a (5)

File Hash event.fileHash

String

255

n/a

File Id event.fileId

String

1023

n/a

File Modification Time event.fileModificationTime

TimeStamp

n/a

n/a (5)

File Name event.fileName

String

1023

n/a

File Path event.filePath

String

1023

n/a

File Permission event.filePermission

String

1023

n/a

File Size event.fileSize

Long

n/a

0 -> 263-1

File Type event.fileType

String

1023

n/a

Flex Date 1 event.flexDate1

TimeStamp

n/a

n/a (5)

Flex Date 1 Label event.flexDate1Label

String

128

n/a

Flex Number 1 event.flexNumber1

Long

n/a

- 263 -> 263-1

Flex Number 1 Label event.flexNumber1Label

String

128

n/a

Flex Number 2 event.flexNumber2

Long

n/a

-2 63 -> 263-1

Flex Number 2 Label event.flexNumber2Label

String

128

n/a

Flex String 1 event.flexString1

String

1023

n/a

Flex String 1 Label event.flexString1Label

String

128

n/a

Flex String 2 event.flexString2

String

1023

n/a

Flex String 2 Label event.flexString2Label

String

128

n/a

Group (rule)

See "Quick Flex Parser Tool Rules".

??

Instance (rule)

See "Quick Flex Parser Tool Rules".

??

Message event.message

String

1023

n/a

Name

event.name

String

512

n/a (9)

Object (rule)

See "Quick Flex Parser Tool Rules".

??

Old File Create Time event.oldFileCreateTime

TimeStamp

n/a

n/a (5)

Old File Hash event.oldFileHash

String

255

n/a

Old File Id event.oldFileId

String

1023

n/a

Old File Modification Time event.oldFileModificationTime

TimeStamp

n/a

n/a (5)

Old File Name event.oldFileName

String

1023

n/a

Old File Path event.oldFilePath

String

1023

n/a

Old File Permission event.oldFilePermission

String

1023

n/a

Old File Size event.oldFileSize

Long

n/a

0 -> 263-1

Old File Type event.oldFileType

String

1023

n/a

Raw Event event.rawEvent

String

4000

n/a (7)

Request Client Application event.requestClientApplication

String

1023

n/a

Request Context event.requestContext

String

2048

n/a

Request Cookies event.requestCookies

String

1023

n/a

Request Method event.requestMethod

String

1023

n/a

Request Url event.requestUrl

String

1023

n/a

Rule Name (rule)

See "Quick Flex Parser Tool Rules".

??

Signature Version (rule)

See "Quick Flex Parser Tool Rules".

??

Source Account (rule)

See "Quick Flex Parser Tool Rules".

??

Source Address (rule)

See "Quick Flex Parser Tool Rules".

??

Source Address event.sourceAddress

IPAddress

n/a

IPv4 (3)

Source Dns Domain event.sourceDnsDomain

String

255

n/a

Source Host (rule)

See "Quick Flex Parser Tool Rules".

??

Source Host Name event.sourceHostName

String

1023

n/a

Source Mac Address event.sourceMacAddress

MacAddress

n/a

MAC (4)

Source Nt Domain event.sourceNtDomain

String

255

n/a

Source Port event.sourcePort

Integer

n/a

0 -> 65535

Source Process Name event.sourceProcessName

String

1023

n/a

Source Service Name event.sourceServiceName

String

1023

n/a

Source Translated Address event.sourceTranslatedAddress

IPAddress

n/a

IPv4 (3)

Source Translated Port event.sourceTranslatedPort

Integer

n/a

0 -> 65535

Source Translated Zone URI event.sourceTranslatedZoneURI

String

-

n/a (2)

Source User Id event.sourceUserId

String

1023

n/a

Source User Name event.sourceUserName

String

1023

n/a

Source User Privileges event.sourceUserPrivileges

String

1023

n/a

Source Zone URI event.sourceZoneURI

String

-

n/a (2)

Start Time event.startTime

TimeStamp

n/a

n/a (5)

Transport Protocol event.transportProtocol

String

31

n/a (6)

Virus Name (rule)

See "Quick Flex Parser Tool Rules".

??

Rule Name

Description and Arguments

ACL Name

定义访问控制列表（ACL）的名称。

参数：

• ACL Name - ACL名称的值映射到event.deviceCustomString1。
• ACL Label - 如果已定义，则该值将映射到event.deviceCustomString1Label。 如果未定义，则"ACL名称"将映射到event.deviceCustomString1Label。

Additional Data

允许您在执行映射时指定自定义附加数据名称。

例如，在映射Token0时，可以输入CUSTOM_NAME作为参数。 以下内容将出现在解析器属性文件中：

additonaldata.CUSTOM_NAME = Token0

AV Engine Version

定义反病毒引擎版本。

参数：

• AV引擎版本 - AV引擎版本的值映射到event.deviceCustomString2。
• AV引擎版本标签 - 如果已定义，则该值将映射到设备自定义字符串2标签。 如果未定义，则"AV引擎版本"将映射到event.deviceCustomString2Label。

Destination Account

标识事件的目标帐户。 如果帐户名称包含Windows域，则会将域名从帐户名称中分离出来。 域名将写入event.destinationNtDomain。

参数：

• AccountName-域名（如果存在）映射到event.destinationNtDomain，Account Name映射到event.destinationUserName。

Destination Address or Host

事件的目标目标; 通常这将是主机地址或主机名。 规则评估目标是地址还是主机名，并将其映射到适当的字段。

参数：

有三种可能的映射：

• 如果值模式与IPV4地址匹配，则该值将映射到event.destinationAddress。
• 如果值模式与IPV6地址匹配，则该值映射到event.customIPv6Address3，"目标IPv6地址"映射到event.customIPv6Address3Label。
• 如果这些条件都不匹配，则将值映射到event.destinationHostName。

Device Address or Host

设备是发生事件的系统，或者是从中检索事件的系统。 规则评估值模式并将值映射到适当的字段。

参数：

有三种可能的映射：

• 如果模式与IPv4地址匹配，则在地址的情况下将值映射到event.destinationAddress，或者在主机的情况下映射到event.deviceAddress。
• 如果模式与IPv6地址匹配，则该值映射到event.customIPv6Address1，"Device IPv6 Address"映射到event.customIPv6Address1Label。
• 如果这些条件都不匹配，则在地址的情况下将值映射到event.destinationHostName，或者在主机的情况下映射到event.deviceHostName。

Group

组可以是应用程序或操作系统作为组引用的任何内容。 TheArcSight事件架构不支持组，因此如果必须定义组，请使用这些约定来处理值。

参数：

• Group Name - Group Name的值映射到event.deviceCustomString6。
• Group Label - 如果已定义，则该值将映射到event.deviceCustomString6Label。 如果未定义，则"Group"将映射到event.deviceCustomString6Label。

Instance

实例是不同事件的表示。 如果产品支持实例，请使用这些约定来映射值：

参数：

• 实例字段值 - 该值映射到event.deviceCustomString3。
• Instance Label - 如果已定义，则该值将映射到event.deviceCustomString3Label。 如果未定义，则"Instance"将映射到event.deviceCustomString3Label。

Object

通用对象。 任何没有自然规则的对象。 使用这些约定来映射值：参数：

• 对象名称 - 对象名称的值映射到event.deviceCustomString6。
• Object Label - 如果已定义，则该值将映射到event.deviceCustomString6Label。

如果未定义，则"对象名称"将映射到event.deviceCustomString6Label。

Rule Name

规则名称的任何实例。 例如，这可以是防火墙规则，映射规则等。 使用这些约定来映射值：

参数：

• 规则名称 - 规则名称的值映射到event.deviceCustomString1。
• 规则标签 - 如果已定义，则该值将映射到event.deviceCustomString1Label。 如果未定义，则"规则名称"将映射到event.deviceCustomString1Label。

Signature Version

这通常是IDS（入侵检测系统）签名版本号。

参数：

• 签名版本 - 签名版本的值映射到event.deviceCustomString2。
• 签名版本标签 - 如果已定义，则该值将映射到event.deviceCustomString2Label。 如果未定义，则"签名版本"将映射到event.deviceCustomString2Label。

Source Account

触发事件的源的帐户。 如果帐户名称包含Windows域，则会将域名从帐户名称中分离出来。 域名将写入event.destinationNtDomain。

参数：

• AccountName-域名（如果存在）映射到event.destinationNtDomain，Account Name映射到event.destinationUserName。

Source Address or Host

作为事件原点或事件发生位置的系统或设备的地址。

参数：

有三种可能的映射：

• 如果模式与IPv4地址匹配，则该值将映射到event.sourceAddress。
• 如果模式与IPv6地址匹配，则该值映射到event.customIPv6Address2，"源IPv6地址"映射到event.customIPv6Address2Label。
• 如果这些条件都不匹配，则源地址将映射到event.sourceHostName。

Virus Name

产品分配给病毒的名称。

参数：

• 病毒名称 - 病毒名称的值映射到event.deviceCustomString1。
• 病毒标签 - 如果已定义，则该值将映射到event.deviceCustomString1Label。 如果未定义，则"病毒名称"将映射到event.deviceCustomString1Label。

显示Syslog标题已启用（显示）

显示启用CEF标头（显示）

Syslog标头已禁用（隐藏）

显示启用CEF标头（显示）

Syslog标头已禁用（隐藏）

显示禁用CEF标头（隐藏）

Syslog File Selected

Syslog File Used

Highlighting

Yes

Yes

Yes

Yes

No

No

No

Yes

No

No

No

No

操作

返回类型

定义和注释

__BASE64Decode

String

该参数是单个 base-64 编码字符串,该字符串被解码为字节,然后使用平台的默认字符集转换为字符串。

__byteArrayToIPAddress

IPAddress

此操作将 ipv4 或 ipv6 地址的字节数组表示形式作为参数,并返回 ip地址对象。此操作只能用于支持 ipv6 的解析器。

__byteArrayToIPv6

IPAddress

此参数返回存储为 ip过来地址对象的 ipv6 地址。使用此参数映射到事件字段或可以具有 ipv6 地址类型的其他字段。仅在不支持 ipv6 的解析器中使用此操作。对于支持 ipv6 的解析器,请使用 _ bytearaytoip 地址操作。

__byteArrayToIPv6String

String

该参数返回存储在字节数组中的 ipv6 地址的字符串表示形式。

__concatenate

String

参数可以是文字字符串或各种类型的其他值。 结果是一个字符串，其中包含连接在一起的所有这些参数。

__concatenate("Active",protocol," Ports:

",portnum)

__concatenate("CompanyName: [",

CompanyName,"]")

__concatenate("PF: ",PassOrBlock)

__concatenateDeleting

String

最后一个参数是一个包含要删除的字符集的文字字符串。 其他参数可以是文字字符串或各种类型的其他值。 结果是一个字符串，它包含连接在一起的所有这些参数（除了最后一个），从非文字参数中删除指定的字符。 例如，如果参数是"Literal"，"Foobar"和"r"（其中第一个和第三个参数是文字的），那么结果将是"LiteralFooba"。 请注意，"Foobar"中的"r"已删除，但"Literal"中的"r"未删除。

__contains

Boolean

此操作搜索另一个字符串中的一个字符串,如果找到该字符串则返回 true,否则返回 false。例如,像__contains(stringInWhichToSearch,stringToFind)

__containsFromList

Boolean

此操作尝试将字符串 (在中搜索的第一个操作数) 与逗号分隔字符串列表匹配,并在找到字符串匹配时返回 true。否则返回 false。例如,

__containsFromList(stringInWhichToSearch,firstStringToFind,secondStringToFind)

__convertMSDNSURL

String

此操作将转换窗体中的 microsoft dns url:

(n)nchars(m)mchars(0) To a normal URL: nchars.mchars

__createLocalTimeStampFromSecondsMicrosZone

TimeStamp

参数是2个长整数和一个字符串。

第一个参数是自1970年1月1日以来的秒数，而第二个参数是秒内的微秒数。 这些组合成一个TimeStamp。 如果第三个参数是有效的时区名称，则相对于该时区的1970年1月1日解释秒数。 否则使用GMT。

目前，微秒的一些精度已经丢失。

__createLocalTimeStampFromGMTSecondsMillis

TimeStamp

这两个参数是每个长整数。第一个是自 1970年1月1日 gmt 以来的秒数,第二个是第二个 gmt 内的毫秒数。它们被合并成一个时间戳。__ createLocalTimeStampFromGMTSecondsMillis(tv_sec,tv_ msec)

__createLocalTimeStampFromGMTSecondNanoseconds

TimeStamp

这两个参数是每个长整数。第一个是自1970年1月1日格林尼治标准时间以来的秒数,第二个是第二个秒内的纳秒数。它们被合并成一个时间戳。目前,纳秒的一些精度已经丢失。

__createLocalTimeStampFromNanoSeconds

TimeStamp

该参数是一个长整数。它是自1970年1月1日格林尼治标准时间以来的纳秒数。它被转换为时间戳。目前,纳秒的一些精度已经丢失。

__createLocalTimeStampFromNTP

TimeStamp

该参数是一个字符串。它应包含自 1970年 gmt 以来小数点前的秒数,以及小数点后的微秒数。它们被合并成一个时间戳。

__createLocalTimeStampFromSecondsSinceEpoch

TimeStamp

该参数是单个长整数,即自 1970年1月1日 gmt 以来的秒数。它被转换为时间戳,小数秒设置为零。

__createLocalTimeStampFrom

SecondsSinceEpoch(srcTimestamp)

__createOptionalTimeStampFromString

TimeStamp

参数是两个字符串。第一个字符串是默认情况下在 yyyyy-MM-dd HH:mm:ss 格式中指定的日期和时间。第二个可选参数指定第一个字符串的格式 (如果它需要与默认值不同)。如果第一个字符串的值为 null,则不会映射任何内容。否则,将使用为第二个参数指定的格式 (如果存在) 或默认格式映射值。

__createRuleFiringInfo

String

此操作采用任意数量的参数。每个都可以是文本字符串,也可以是其他类型的值。结果只是将参数连接在一起作为一个长字符串,在参数之间用逗号。不是文本字符串的参数将转换为字符串。

__createSafeLocalTimeStamp

TimeStamp

第一个参数是一个字符串,它是要分析的日期时间,而第二个参数是一个文本字符串,它是一种格式 (与日期、时间和时间戳标记的格式相同)。该字符串将被解析并作为时间戳返回。大多数错误都会导致返回当前时间。

__createTimeStamp

TimeStamp

第一个参数是 "日期",第二个参数是 "时间"。它们被合并为一个返回的单一时间戳。一切都被认为是在当地时间。

__createTimeStamp(date,time)

__createTimeStampByHexEncodedTime

TimeStamp

该参数是一个由12个十六进制数字组成的字符串,每年各 2个 (0 表示 1970)、月 (0-11)、天 (131)、hou (0-11)、分钟 (0-11) 和秒 (0-11)。毫秒隐式设置为零,数字被解释为本地时间。返回生成的时间戳。

__createTimeStampByStartTimeElapsed

TimeStamp

参数为2个字符串。第一个是 ddMMyyyyy:mm 格式的开始时间,而第二个是以 HH:mm:ss 格式运行的时间。结果是结束时间的时间戳,假设开始时间是本地时间。

__createTimeStampForOpsecStartTime

TimeStamp

该参数是ddMMMyyyy中的单个字符串

HH：mm：ss格式。 它被解析并产生

返回TimeStamp，解释为本地时间。

__createTimeStampStringFromSecondsMicros

String

参数为2个长整数。第一个参数是自 1970年1月1日 gmt 以来的秒数,第二个参数是第二个参数内的微秒数。这些组合到一个时间戳中,然后合并成一个字符串。微秒的一些精度目前已经丢失。

__currentTimestampInSeconds

Long

任何参数都将被忽略。当前时间 (表示为自 1970年1月1日 gmt 以来的秒数) 将作为一个长整数返回。

__divide

Integer

第一个参数是分子,第二个参数是分母。结果是一个整数,其中的分子值除以分母,四舍五入到最接近的整数。

__doubleToAddress

IPAddress

这与数字 to-地址操作相同,只是该参数是双精度浮点数。

__doubleToAddress(DestIP)

__extractNTDomain

String

唯一的参数是一个字符串。如果它包含反斜杠,则返回字符串中最多但不包括该反斜杠的部分。否则,将返回整个字符串。

__extractNTUser

String

唯一的参数是窗体 "domain user" 中的字符串,其中域是 nt 域,用户是 nt 用户名。返回用户名。如果字符串中没有反斜杠,则返回它将保持不变。

__extractProtocol

String

唯一的参数是一个字符串。如果字符串包含任何定义的协议字符串 (tcp、icmp、udp、igmp 或 rtsp),则只返回该字符串 (搜索不区分大小写,并返回找到的第一个协议)。如果找不到任何协议字符串,则返回整个字符串。

__firstOfPositiveInteger

Integer

此操作采用任意数量的整数参数。返回第一个为正的。如果未找到任何正参数,则返回 null。

__foundScanHostName

String

在大多数情况下,将返回主机名。例外的是,如果字符串为 "[未知]",则返回 null。

__getCVEStringFor

String

唯一的参数是字符串，它应该是CVE标识符。 返回的是"CVE | id"，其中id是标识符。 请注意，分隔符是垂直条。

__getDeviceDirection

Enumeration (Integer)

唯一的参数是字符串。 如果它是定义的入站字符串之一（例如，"in"或"incoming"），则返回入站常量（0）。 如果它是定义的出站字符串之一（例如，"outbound"或"=>"），则返回出站常量（1）。 否则返回未知常量（Integer.MIN_VALUE， - 2147483648）。

__getIPv4AddressEmbeddedInIPv6Address

IPAddress

该操作提取并返回嵌入在IPv6地址中的IPv4地址。 返回参数是IPv4地址。 输入参数是字节数组格式的IPv6地址。

要将IPv4地址分配给非IPv6感知解析器中的IPv4地址事件字段：

__getIPv4AddressEmbeddedInIPv6Address (__ stringToIPv6Address ("::ffff:10.14.11.140"))

__getIpV6AddressFromHighLow

String

此运算符采用由十进制数组成的两个字符串参数，并返回IPv6地址的字符串表示形式。 这些数字是IPv6地址的前四个和后四个段的十进制表示。

__getLongMACAddressByHexString

MacAddress

该参数是一个12个字符的十六进制字符串，转换为MAC地址。

__getLongMACAddressByString

MacAddress

唯一的参数是字符串。 它是一个MAC地址，是一个由冒号或短划线分隔的6部分十六进制地址。 它被退回。

__getManhuntPriority

String

这两个参数都是长整数，第一个表示严重性，第二个表示可靠性。 结果是一个包含两个值的乘积的字符串，除以256。

__getNormalizedOS

String

唯一的参数是字符串。 在来自AUP文件的地图中查找此字符串。 如果找到，则返回结果。 否则返回"/ Operating System / param"形式的字符串，其中param是参数字符串，任何斜线都用短划线替换。 例如，"OS / 2"将变为"/ Operating System / OS-2"（除非OS / 2出现在os.mappings.csv映射中，在这种情况下将返回该值）。

__getNotZeroPort

Integer

唯一的参数是字符串。 如果它为null，不是有效整数或零，则返回null。

否则（它是一个有效的非零整数），返回数值。

__getOriginator

Enumeration (Integer)

唯一的参数是字符串。 如果字符串是"Source"，则结果是源常量（0）。 如果字符串是

"目的地"，结果是目的地常数（1）。 否则返回未知常量（Integer.MIN_VALUE，2147483648）。

__getOriginatorFromSourcePort

Enumeration (Integer)

参数是Integer（端口号）和文字整数。 如果两者都不为null且端口小于第二个（文字）参数中指定的限制，则返回目标常量（1）。 否则返回源常量（0）。

__getProtocolName

String

唯一的参数是Integer，它将转换为匹配协议的字符串，如RFC 1700中所定义。如果参数为null，则返回null。 如果参数超出范围，则数字本身将作为字符串返回。

__getProtocolNameFromString

String

此操作类似于getProtocolName操作，但参数是字符串而不是整数。 如果字符串不包含有效整数，则返回不变的字符串。

__hexStringToAddress

IPAddress

这与noDotStringFormatToAddress操作类似，不同之处在于参数是十六进制的。 换句话说，它应该是8个十六进制数字，其中每组2个数字是IP地址的一部分，零填充且没有点。 例如，"C0A80A0C"将成为IP地址192.168.10.12。

仅对IPv4和IPv6地址的IPv6感知解析器使用此操作。

__hexStringToLong

Long

一个字符串参数表示十六进制值。 如果它以‘0x‘或‘$‘开头，那么在解析值之前会删除它们。 结果以长整数形式返回。

__hexStringToIPV6Address

IPAddress

对于不支持IPv6的解析器，此运算符将由十六进制数字组成的32个字符的字符串作为输入，并将其转换为IPv6地址。 如果长度为8个字符，就像IPv4地址一样，则返回值为null。 任何其他输入大小都会导致异常。

对于支持IPv6的解析器，此操作已过时，不应使用。

__hexStringToString

String

参数是单个字符串，应包含十六进制数字。 它被转换为一个字节数组（每个字节两个十六进制数字），然后使用UTF-8编码（RFC 3629）将其转换为字符串。 如果输入为null，则结果也为null。

__hourMinuteSecondsToSeconds

Long

参数是单个字符串，格式为HH：mm：ss。 持续时间转换为秒并返回。

__ifAorBThenElse

String

有五个参数。 每个都可以是文字字符串或常规字符串（尽管其他类型转换为字符串）。 如果第一个参数等于第二个参数或第一个参数等于第三个参数，则返回第四个参数。

否则，返回第五个参数。

__ifGreaterOrEqual

String

这四个参数是字符串。 如果前两个参数中的任何一个为null，则返回null并记录错误。 否则，将这两个参数解析为整数并进行比较。 任何解析错误都将值视为零。 如果第一个参数在数值上大于第二个参数，则返回第三个参数。 否则，返回第四个参数。

__ifPositive

String

有三个参数。 如果第一个（整数）操作数为正，则返回第二个（字符串）操作数; 否则，返回第三个（字符串）操作数。

__ifThenElse

String

有四个参数。 每个都可以是文字字符串或常规字符串（尽管其他类型转换为字符串）。 比较前两个参数，如果它们相等，则返回第三个参数作为结果。 否则（如果前两个参数不同），则返回第四个参数。

__ifThenElseAddress

IPAddress

有四个参数。 前两个参数是字符串。 比较前两个参数，如果它们相等，则返回第三个参数作为结果。

否则（如果前两个参数不同），则返回第四个参数。

__ifTrueThenElse

String

有三个参数。 第一个是布尔值（true或false），如果为true，则返回第二个参数; 如果布尔值为false，则返回第三个参数。

__integerConstant

Integer

该参数是单个文字整数，返回。 如果传递的是不是有效整数的文字字符串，则返回null。

__integerToLong

Long

该参数是一个整数，转换为长整数并返回。 如果参数为null，则返回值也是如此。

__length

Integer

此操作检索操作数字符串的长度。

__longToDot4QuadAddress

String

该参数是单个长整数，它以与numberToAddress操作相同的方式转换为IP地址，但随后转换为4部分虚线字符串。 例如，16909060将成为字符串"1.2.3.4"。

__longToInteger

Integer

该参数是一个长整数，转换为整数（可能截断它）并返回。 如果参数为null，则返回值也是如此。

__longToString

String

此操作返回长对象的字符串表示形式。 可选的第二个操作数是基数（整数，最小值为2）。 可选的第三个操作数是最小长度（整数，最小值为0），如果需要实现最小长度，结果将用零填充左边。 这在使数字与字符串相当时很有用。

__longToTimeStamp

TimeStamp

该参数是一个长整数，是GMT 1970年1月1日以来的毫秒数。 它被转换为TimeStamp。

__noDot4QuadStringsToAddress

IPAddress

参数是4个字符串，每个字符串都是十进制数字，并且按正常顺序排列IP地址。 例如，字符串"192"，"168"，"10"，"12"将成为IP地址192.168.10.12.

__noDot4QuadStringsToAddress (src_ip1,src_ ip2,src_ip3,src_ip4)

__noDotStringFormatToAddress

IPAddress

该参数是一个12位十进制数字的字符串，其中每组3位数字是IP地址的一部分，零填充且没有点。 例如，"192168010012"将成为IP地址192.168.10.12。

__numberToAddress

IPAddress

该参数是单个长整数，它被转换为IP地址，其中最重要的字节对应于地址的最右边部分。 例如，16909060将成为IP地址1.2.3.4。

__numberToAddress(IPAddress)

__oneOf

String

此操作采用任意数量的标记名称或表达式。 每个都可以是文字字符串或常规字符串。 返回第一个非null而不是zerolength的。

__oneOfAddress

IPAddress

对于不支持IPv6的解析器，此操作仅返回第一个非空IPv4地址。 对于支持IPv6的解析器，此操作将返回第一个非空IPv4或IPv6地址。

__oneOfDateTime

TimeStamp

参数是任意数量的TimeStamp标记。 返回第一个非空的标记。

__oneOfHostName

String

对于非IPv6感知解析器，此操作与oneOf操作类似，但跳过任何看起来像IP地址的参数（4个十进制数字，由3个句点分隔）。

对于支持IPv6的解析器，此操作与oneOf操作类似，但跳过任何看起来像IPv4或IPv6地址的参数。

__oneOfInteger

Integer

这类似于oneOf操作，但结果将被解析为整数并返回。 如果该值不是有效数字，则返回null。

__oneOfLong

Long

这与oneOf操作类似，但结果将被解析为长整数并返回。 如果该值不是有效数字，则返回null。

__oneOfMac

MacAddress

这类似于oneOf操作，但结果被解析为MAC地址（六个八位字节的十六进制表示，用冒号分隔）并返回。 例如，00：08：74：4C：7F：1D。 如果该值不是有效的MAC地址，则返回null。

__oneOfNetBIOSName

String

这类似于oneOf操作，除了在返回结果之前删除一个或两个前导反斜杠（如果存在）。

__parseMultipleTimeStamp

TimeStamp

第一个参数是包含时间戳值的令牌名称，以字符串形式传递。 如果为null，则返回null。 否则，第二个和任何其他参数是包含常量时间戳格式的令牌名称（如Java的SimpleDateFormat类所定义）。 它们用于尝试解析第一个参数。 在没有抛出异常的情况下，第一个工作的结果将作为TimeStamp返回。 如果所有格式都不起作用，则抛出异常。

__parseMutableTimeStamp

TimeStamp

该参数是单个字符串，可以采用以下格式之一：

MMM dd HH：mm：ss

MMM dd HH：mm：ss.SSS zzz

MMM dd HH：mm：ss.SSS

MMM dd HH：mm：ss zzz

MMM dd yyyy HH：mm：ss

MMM dd yyyy HH：mm：ss.SSS zzz

MMM dd yyyy HH：mm：ss.SSS

MMM dd yyyy HH：mm：ss zzz

如果在成功之前调用了此操作，则首先尝试相同的格式。 如果使用前四种格式之一（不包括一年），则按照setYearToCurrentYear操作的描述更改年份。 如果没有格式工作，则会向日志写入致命错误并返回null。

__parseMutableTimeStampSilently

TimeStamp

这与_parseMutableTimeStamp操作相同，只是当没有格式工作时，不会向日志写入致命错误。

__parseSignedLong

Long

这与safeToLong操作相同，只是允许使用前导"+"符号。

__product

Integer

每个参数都是整数变量或字符串常量，可以是浮点值。 结果是一个整数，其参数的乘积值乘以一起并四舍五入到最接近的整数。

__regexToken

String

此操作将两个字符串作为参数。 第一个是要解析的字符串。 第二个是正则表达式（文字字符串）。 如果正则表达式为空或null，则结果与第一个参数相同。 否则，使用正则表达式解析要解析的字符串，并将第一个匹配组（括号内的表达式）作为字符串返回。 例如，如果参数是"foobar"和"fo +（o。*）（r）"，则结果将是"oba"。

__regexToken(proto,".*?/(.*)")

__regexTokenAsAddress

IPAddress

对于不支持IPv6的解析器，此操作类似于regexToken操作：它接受两个字符串参数，然后将结果（预期为四部分点分十进制格式）从字符串转换为IP地址。 也就是说，如果参数是"foo / 192.168.10.12 / bar"和"[a-z] + /（[0- 9 。] +） / bar"，结果将是IP地址192.168.10.12。

__regexTokenAsAddress (dst,"(.*?)[: ].*")

对于支持IPv6的解析器，此操作可以返回IPv4和IPv6地址。

__regexTokenAsInteger

Integer

这类似于regexToken操作，也使用2个字符串参数，但结果然后从字符串转换为整数（如果它不是有效数字，则返回null）。

__regexTokenAsInteger (port,".*?:(d+)")

__regexTokenAsInteger (dst,".*?:(d+)[:

].*")

__regexTokenAsLong

Long

这类似于regexToken操作，也使用2个字符串参数，但结果然后从字符串转换为长整数（如果它不是有效数字则为null）。

__regexTokenFindAndJoin

String

有五个字符串参数。 第一个参数是要处理的字符串。 第二个是具有至少一个捕获组的正则表达式。 第三个是可选的连接分隔符。 第四个和第五个分别是可选字符串，用于预先添加和附加到最终结果。 该操作重复尝试在要处理的字符串中查找正则表达式，每次从最后一次找到正则表达式的末尾开始。 每次找到它时，正则表达式中的捕获组将添加到结果中，并在它们之间使用连接分隔符。 最后，如果它们不为null，则添加prepend和append字符串。

__regexTokenNoWarning

String

此操作与regexToken操作类似。 主要区别在于：1）正则表达式必须匹配整个字符串，而不仅仅是在其中找到，2）如果正则表达式不匹配，则不记录警告。

__replaceAll

String

这三个参数都是字符串。 第一个是起始字符串，第二个是正则表达式，第三个是替换字符串。 在起始字符串中找到的正则表达式的每个位置都替换为替换字符串，并返回结果。 请注意，替换字符串可以包含对正则表达式中捕获组的引用，形式为"$ n"，其中n为0到9。

__replaceFirst

String

这三个参数都是字符串。 第一个是起始字符串，第二个是正则表达式，第三个是替换字符串。 在起始字符串中找到正则表达式的第一个位置，它由替换字符串替换，并返回结果。 请注意，替换字符串可以包含对正则表达式中捕获组的引用，形式为"$ n"，其中n为0到9。

__reverseDottedDecimalAddress

ByteOrder

String

该参数是作为字符串传递的IP地址，必须具有正好3个点字符。 结果是以字符串形式返回的IP地址，但按顺序颠倒了4个部分。 例如，传递‘2.1.168.192‘将导致返回‘192.168.1.2‘。

__safeToDate

TimeStamp

此操作与createOptionalTimeStampFromString操作类似，不同之处在于如果发生错误，则返回null。

__safeToInteger

Integer

参数是单个字符串，它将转换为整数，如果字符串不是有效数字，则为null。 对于使用" - "指定整数字段（例如Microsoft Windows XP SP2 Personal Firewall）上的空值的日志格式很有用。

__safeToInteger(bytes)

__safeToInteger(srcPort)

__safeToLong

Long

参数是单个字符串，转换为长整数，如果字符串不是有效数字，则返回null。

__safeToLong(time_taken)

__safeToRoundedLong

Long

该参数是一个字符串，它被解析为一个数字（可以有一个小数部分），然后四舍五入到最近的长整数并返回。 如果字符串不是有效数字，则返回null。

__setYearToCurrentYear

TimeStamp

该参数是单个TimeStamp，其年份被强制设置为当前年份加上或减去1（部分取决于syslog.future.limit属性）。 这用于没有定义年份的TimeStamps。

__signedNumberToAddress

IPAddress

该参数是一个长整数，作为IP地址返回，但字节顺序反转。

__simpleMap

String

有n + 1或n + 2参数。 第一个参数是要在地图中查找的字符串。 接下来的n个参数是地图，以字符串文字的形式，每个字符串文字都有一个键，一个等号和一个值。 如果键与第一个参数匹配，则返回该键的值。 如果最终参数是单个字符，则将其用作分隔符而不是等号。 例如，如果参数是（除了第一个之外的所有文字）："Foo"，"Bar = 17"，"Foo = 34"，则返回值将为"34"。 如果没有键匹配，则返回null。

__simpleMap(FileInfected,"0=No",

"1=Yes","=")

__simpleMap(Type,"8=Success",

"16=Failure")

__split

String

此操作需要三个参数。 第一个是要拆分的字符串（一个字符串）。 第二个是分隔符（文字字符串）。 第三个是索引（一个字面整数）。 如果分隔符或索引为空或null，则结果与第一个参数相同。 否则，要分割的字符串将在分隔符的出现位置拆分，并返回index‘th字符串。 例如，如果参数是"要拆分的字符串"，""（空格）和"2"，则结果将为"字符串"。

__splitAsAddress

IPAddress

对于不支持IPv6的解析器，此操作类似于拆分操作：它需要三个字符串参数，然后将结果（预期为四部分点分十进制格式）从字符串转换为IP地址。 也就是说，如果参数是"foo / 192.168.10.12 / bar"，"/"和2，则结果将是IP地址192.168.10.12。

对于支持IPv6的解析器，此操作会将结果转换为IPv4或IPv6地址。

__splitAsInteger

Integer

这类似于拆分操作，也使用3个字符串参数，但结果然后从字符串转换为整数（如果它不是有效数字，则返回null）。

__splitAsLong

Long

这类似于拆分操作，也使用3个字符串参数，但结果然后从字符串转换为长整数（如果它不是有效数字，则为null）。

__stringConstant

String

这需要一个字符串文字参数，并返回它。

__stringConstant("Example")

__stringToIPv6Address

IPAddress

在不支持IPv6的解析器中，此操作将IPv6地址的字符串表示形式作为输入，并返回IPv6地址类型的值。

不应在支持IPv6的解析器中使用此操作。 而是使用IP地址令牌解析器或直接将IPv6地址字符串映射到事件字段。

__stringTrim

String

该参数是一个字符串，返回时删除了任何前导或尾随空白字符。

__subtract

Integer

这两个参数必须是整数变量，或者可以是浮点值的字符串常量。 结果是一个整数，第一个参数的值减去第二个参数并四舍五入到最接近的整数。

__sum

Integer

每个参数必须是整数变量，或者可以是浮点值的字符串常量。 结果是一个整数，其中参数总和的值加在一起并四舍五入到最接近的整数

__toHex

String

参数是一个长整数和一个文字整数。 第一个参数的值转换为十六进制并返回，填充到第二个参数指定的位数，并以"0x"开头。 请注意，奇数长度向下舍入，如果指定的长度不足，则第一个参数的某些位将丢失。 例如，参数为65535和8，结果为"0x0000FFFF"。 使用65535和3的参数，结果为"0xFF"（3向下舍入为2，并且65535的高位丢失）。

__toLongTimeStamp

Long

该参数是单个字符串，是yyyy-MM-dd HH：mm：ss格式的日期和时间。 解析该字符串，将其解释为本地时间，并将返回的结果日期作为自格林威治标准时间1970年1月1日以来的长整数毫秒数。

__toLowerCase

String

该参数是单个字符串，转换为小写并返回。

__toLowerCase(protocol)

__toUpperCase

String

该参数是单个字符串，转换为大写并返回。

__toUpperCase(protocol)

__useCurrentYear

TimeStamp

该参数是单个TimeStamp，返回时其年份更改为当前年份。 计算在当地时区完成，这将影响年底附近的结果。

__useCurrentYear(date)