LEEF 活动组件
日志事件扩展格式 （LEEF） 是 JSA 的自定义事件格式，其中包含 JSA 可读且易于处理的事件。LEEF 格式由 Syslog 标头、LEEF 标头和事件属性组成。
系统日志标题
syslog 报头包含提供事件的系统的时间戳和 IPv4 地址或主机名。系统日志标头是 LEEF 格式的可选组件。如果包括系统日志标头，则必须用空格将系统日志标头与 LEEF 标头分隔开。系统日志标头必须符合 RFC 3164 或 RFC 5424 中规定的格式。
RFC 3164 标头格式：
JSA 的优先级标记是可选的。
<优先标记><timestamp><IP 地址或主机名>
优先级标记（如果存在）必须为 1- 3 位，并且必须用尖括号括起来。例如 <13>。
RFC 3164 标头的示例：
<1月18日>11：07：53 192.168.1.1
1 月 18 日 11：07：53 我的主机名
RFC 5424 标头格式：
需要优先级标记。
<优先标记>1<timestamp><IP 地址或主机名>
优先级标记必须为 1 - 3 位，并且必须括在尖括号内。例如，<13>。时间戳的格式必须为：yyy-MM-ddTHH：mm：ss。SSSZ。
“T” 必须是字面上的 T 字符。
“Z”可以是 Z 字面值，也可以是具有以下格式的时区值：-04：00
RFC 5424 标头的示例：
<13>1 2019-01-18T11：07：53.520Z 192.168.1.1
<133>1 2019-01-18T11：07：53.520+07：00 myhostname
LEEF 标题
LEEF 标头是 LEEF 事件的必填字段。LEEF 标头是一组以 （|） 分隔的管道值，用于标识您的软件或设备到 JSA。
以下列表显示：
LEEF:Version|Vendor|Product|Version|EventID|LEEF:1.0|Microsoft|MSExchange|2013 SP1|15345|LEEF:2.0|Lancope|StealthWatch|6.5|41|^|
事件属性
事件属性标识设备或软件产生的事件的有效负载信息。每个事件属性都是一个键值对，带有用于分隔各个有效负载事件的选项卡。LEEF 格式包含许多预定义的事件属性， JSA 使用这些属性对事件进行分类和显示。
以下列表显示：
key=value<tab>key=value<tab>key=value<tab>key=value<tab>
src=192.0.2.0 dst=172.50.123.1 sev=5 cat=异常 srcPort=81 dstPort=21 usrName=joe.black
DelimiterCharacter使用 LEEF 2.0 标头中的指定属性的备用分隔符。您可以为该字符使用单个字符或十四角值。十六角值可以用前缀 0x 或 x 表示，后跟一系列 1-4 个字符 （0-9A-Fa-f）。
分隔符 |
头 |
|---|---|
Caret （^） |
|
Caret（十四角值） |
|
垂直条断开 （¦） |
|
下表介绍了 LEEF 格式。
类型 |
进入 |
分隔符 |
描述 |
|---|---|---|---|
系统日志标题 |
IP 地址 |
空间 |
向 JSA 提供事件的软件或设备的 IP 地址或主机名。 JSA 使用系统日志标头中的 IP 地址将事件路由到事件管道中的正确日志源。请勿在 syslog 标头中使用 IPv6 地址。JSA 无法将系统日志标头中的 IPv6 地址路由到事件管道。此外，IPv6 地址可能无法在 JSA 的日志源标识符字段中正确显示。 当 JSA 无法理解 syslog 报头中的 IP 地址时，系统将默认使用数据包地址来正确路由事件。 |
LEEF 标题 |
LEEF：版本 |
管 |
LEEF 版本信息是一个整数值，用于标识用于事件的 LEEF 格式的主要版本和次要版本，例如
|
LEEF 标题 |
供应商或制造商名称 |
管 |
Vendor 是一个文本字符串，用于标识以 LEEF 格式发送系统日志事件的设备的供应商或制造商，例如
当 LEEF 标头中指定时，“供应商和产品”字段必须包含唯一值。 |
LEEF 标题 |
产品名称 |
管 |
产品字段是一个文本字符串，用于标识将事件日志发送至 JSA 的产品，例如
当 LEEF 标头中指定时，“供应商和产品”字段必须包含唯一值。 |
LEEF 标题 |
产品版本 |
管 |
版本是一个字符串，用于标识发送事件日志的软件或设备的版本，例如
|
LEEF 标题 |
事件ID |
管 |
事件 ID 是事件的唯一标识符。 EventID 的目的是为事件提供细粒度的唯一标识符，而无需检查有效负载信息。EventID 可以包含已识别的数字或文本说明，例如
注意：
跨支持多种语言的产品，事件 ID 的值必须是一致且静态的。如果您的产品支持多语种事件，则可以在 EventID 字段中使用数字值或文本值，但当设备或应用的语言发生变化时，不得转换值。EventID 字段不能超过 255 个字符。 |
LEEF 标题 |
分隔符字符 |
管 |
|
事件属性 |
预定义密钥条目 |
选项 卡 分隔符字符 |
事件属性是一组键值对，用于提供有关安全事件的详细信息。每个事件属性都必须用制表符或分隔符分隔，但属性顺序不会实施，例如
|