Elastic Common Schema
在 Elasticsearch 中建立清晰数据结构
Elastic Common Schema (ECS) 提供了一种在 Elasticsearch 中建立清晰数据结构的一致方式,方便分析来自不同来源的数据。通过 ECS,用户可以更加广泛地应用诸如仪表板和检测规则等分析内容,可以更加有针对性地创建搜索,还能更轻松地记住字段名称。
为何使用 Common Schema?
无论要执行交互式分析(例如搜索、深入查看、透视和可视化),还是要执行自动化分析(例如告警、检测规则和 Machine Learning 驱动的异常检测),您都需要能够采用统一的格式来检查数据。但是,除非您的数据来源都是同一个,否则由于数据类型不同,各种环境采用的供应商标准各异,您将面临数据格式不一致的问题。
什么是 ECS?
ECS 是一个社区驱动型的开源规范,它定义了一组通用字段、这些字段的 Elasticsearch 数据类型、允许的值和采集到 Elasticsearch 的数据的使用层级。它将 Elastic 中可用的所有分析模式都整合在了一起,包括搜索、向下钻取和透视、数据可视化、基于 Machine Learning 的异常检测、检测规则以及告警
简化内容开发
ECS 可以减少您在开发分析内容上所花费的时间。在公司或组织添加新的数据源时,您可以继续利用已有的搜索和仪表板,而不必每次都创建新的搜索和仪表板。通过采用 ECS,您的环境还可以无比轻松地直接采用那些使用 ECS 的其他方(无论是 Elastic、合作伙伴,还是开源项目)的分析内容。
将数据映射到 ECS
虽然 Elastic 集成会自动将数据映射到 ECS,但您可能还希望将其他数据源标准化为 ECS 格式,以便从中获得益处。有很多选项可以帮助您将数据映射到 ECS。这篇博文就提供了一个很好的示例,介绍如何将安全数据源映射到 ECS。
积极使用 ECS
ECS 是一个不断发展的架构,会根据社区反馈定期进行更新,以解决新的用例。
希望了解更多详情?请访问 Elastic.co/cn 或 ECS 存储库,浏览 ECS 文档。
有任何疑问或建议?请访问 Elastic 论坛,加入我们的 ECS 社区 Slack 频道,或者在 ECS 存储库 中开启一个问题。