Firepower eStreamer 集成指南版本 6.3

了解入侵和关联数据结构

eStreamer 服务可传输多种数据记录类型，以向客户端交付请求的事件和元数据。本章介绍以下类型的事件数据的数据记录的结构：

受管设备生成的入侵事件数据和事件额外数据
管理中心生成的关联（合规性）事件
元数据记录

本章中的以下各节定义事件消息结构：

入侵事件和元数据记录类型。

有关 eStreamer 用于传输数据记录的消息格式的总体概述，请参阅事件数据消息格式。

入侵事件和元数据记录类型

下表列出了目前支持的入侵事件、入侵事件额外数据以及元数据消息的所有记录类型。这些记录类型的数据位于固定长度的字段中。相比之下，关联事件记录包含一个或多个层次的长度可变的嵌套数据块。下表提供了到定义关联数据记录结构的子节的链接。

对于有些记录类型，eStreamer 支持多个的版本。该表指示每个版本的状态（当前版本或旧版本）。当前记录是最新版本。旧记录已被较新的版本替代，但仍可以从 eStreamer 中请求旧记录。

表 3-1 入侵事件与一般元数据记录类型
记录类型	块类型	系列	说明	记录状态	...中描述的数据格式
2	不适用	不适用	数据包数据（版本 4.8.0.2+）	当前	数据包记录 4.8.0.2+
4	不适用	不适用	优先级元数据	当前	优先级记录
9	20	1	入侵影响警报	传统	入侵影响警报数据
9	153	1	入侵影响警报	当前	入侵影响警报数据 5.3+
62	不适用	2	用户元数据	当前	用户记录
66	不适用	不适用	规则消息元数据（版本 4.6.1+）	当前	用于 4.6.1+ 的规则消息记录
67	不适用	不适用	分类元数据（版本 4.6.1+）	当前	用于 4.6.1+ 的分类记录
69	不适用	不适用	关联策略元数据（版本 4.6.1+）	当前	关联策略记录
70	不适用	不适用	关联规则元数据（版本 4.6.1+）	当前	关联规则记录
104	不适用	不适用	入侵事件 (IPv4) 记录 4.9 - 4.10.x	传统	产品的较早版本
105	不适用	不适用	入侵事件 (IPv6) 记录 4.9 - 4.10.x	传统	产品的较早版本
110	4	2	入侵事件额外数据（版本 4.10.0+）	当前	入侵事件额外数据记录
111	5	2	入侵事件额外数据元数据（版本 4.10.0+）	当前	入侵事件额外数据元数据
112	128	1	用于 5.1-5.3.x 的关联事件	传统	用于 5.1-5.3.x 的关联事件
112	156	1	用于 5.4+ 的关联事件	当前	用于 5.4+ 的关联事件
115	14	2	安全区名称元数据	当前	安全区名称记录
116	14	2	接口名称元数据	当前	接口名称记录
117	14	2	访问控制策略名称元数据	当前	访问控制策略名称记录
118	15	2	入侵策略名称元数据	当前	入侵策略名称记录
119	15	2	访问控制规则 ID 元数据	当前	访问控制规则 ID 记录元数据
120	不适用	不适用	访问控制规则操作元数据	当前	访问控制规则操作记录元数据
121	不适用	不适用	URL 类别元数据	当前	URL 类别记录元数据
122	不适用	不适用	URL 信誉元数据	当前	URL 信誉记录元数据
123	不适用	不适用	受管设备元数据	当前	受管设备记录元数据
不适用	64	2	访问控制名称数据块	当前	访问控制策略名称数据块
124	59	2	访问控制策略规则原因数据块	当前	用于 6.0+ 的访问控制策略规则原因数据块
125	不适用	2	恶意软件事件记录（版本 5.1.1+）	当前	恶意软件事件记录 5.1.1+
125	24	2	恶意软件事件（版本 5.1.1+）	当前	恶意软件事件数据块 5.1.1.x
125	33	2	恶意软件事件（版本 5.2.x）	传统	恶意软件事件数据块 5.2.x
125	35	2	恶意软件事件（版本 5.3）	传统	恶意软件事件数据块 5.3
125	44	2	恶意软件事件（版本 5.3.1）	传统	恶意软件事件数据块 5.3.1
125	47	2	恶意软件事件（版本 5.4.x）	当前	恶意软件事件数据块 5.4.x
125	62	2	恶意软件事件（版本 6.0+）	当前	恶意软件事件数据块 6.0+
127	14	2	思科高级恶意软件防护云名称元数据（版本 5.1+）	当前	思科高级恶意软件防护云名称元数据
128	不适用	不适用	恶意软件事件类型元数据（版本 5.1+）	当前	恶意软件事件类型元数据
129	不适用	不适用	恶意软件事件子类型元数据（版本 5.1+）	当前	恶意软件事件子类型元数据
130	不适用	不适用	面向终端的 AMP 检测器类型元数据（版本 5.1+）	当前	面向终端的 AMP 检测器类型元数据
131	不适用	不适用	面向终端的 AMP 文件类型元数据（版本 5.1+）	当前	面向终端的 AMP 文件类型元数据
132 个	不适用	不适用	安全情景名称	当前	安全情景名称
140	27	2	用于 5.2+ 的规则文档数据块	当前	用于 5.2+ 的规则文档数据块
207	不适用	不适用	入侵事件 (IPv4) 记录 5.0.x - 5.1	传统	入侵事件 (IPv4) 记录 5.0.x - 5.1
208	不适用	不适用	入侵事件 (IPv6) 记录 5.0.x - 5.1	传统	入侵事件 (IPv6) 记录 5.0.x - 5.1
260	19	2	ICMP 类型数据数据块	当前	ICMP 类型数据块
270	20	2	ICMP 代码数据块	当前	ICMP 代码数据块
282	不适用	2	用于 5.4.1+ 的⁪安全情报类别元数据	当前	用于 5.4.1+ 的安全情报类别元数据
300	不适用	不适用	用于 6.0+ 的领域元数据	当前	用于 6.0+ 的领域元数据
301	58	2	用于 6.0+ 的终端配置文件	当前	用于 6.0+ 的终端配置文件数据块
302	不适用	不适用	用于 6.0+ 的安全组元数据	当前	用于 6.0+ 的安全组元数据
320	不适用	不适用	用于 6.0+ 的 DNS 记录类型元数据	当前	用于 6.0+ 的 DNS 记录类型元数据
321	不适用	不适用	用于 6.0+ 的 DNS 响应类型元数据	当前	用于 6.0+ 的 DNS 响应类型元数据
322	不适用	不适用	用于 6.0+ 的 Sinkhole 元数据	当前	用于 6.0+ 的 Sinkhole 元数据
350	不适用	不适用	用于 6.0+ 的 Netmap 域元数据	当前	用于 6.0+ 的 Netmap 域元数据
400	34	2	入侵事件记录 5.2.x	传统	入侵事件记录 5.2.x
400	41	2	入侵事件记录 5.3	传统	入侵事件记录 5.3
400	42	2	入侵事件记录 5.3.1	传统	入侵事件记录 5.3.1
400	45	2	入侵事件记录 5.4.x	传统	入侵事件记录 5.4.x
400	60	2	入侵事件记录 6.0+	当前	入侵事件记录 6.0+
500	32	2	文件事件（版本 5.2.x）	传统	用于 5.2 的文件事件
500	38	2	文件事件（版本 5.3）	传统	用于 5.3 的文件事件
500	43	2	文件事件（版本 5.3.1）	传统	用于 5.3.1 的文件事件
500	46	2	文件事件（版本 5.4+）	当前	用于 6.0+ 的文件事件
502	32	2	文件事件（版本 5.2.x）	传统	用于 5.2 的文件事件
502	38	2	文件事件（版本 5.3）	传统	用于 5.3 的文件事件
502	43	2	文件事件（版本 5.3.1）	传统	用于 5.3.1 的文件事件
502	46	2	文件事件（版本 5.4.x）	当前	用于 5.4 的文件事件
502	56	2	文件事件（版本 6.0+）	当前	用于 6.0+ 的文件事件
510	不适用	不适用	用于 5.3+ 的文件类型 ID 元数据	当前	用于 5.3+ 的文件类型 ID 元数据
511	26	2	用于 5.11 - 5.2.x 的文件事件 SHA 散列	传统	用于 5.1.1-5.2.x 的文件事件 SHA 散列
511	40	2	用于 5.3+ 的文件事件 SHA 散列	当前	用于 5.3+ 的文件事件 SHA 散列
515	不适用	不适用	用于 6.0+ 的文件日志存储元数据	当前	用于 6.0+ 的文件日志存储元数据
516	不适用	不适用	用于 6.0+ 的文件日志沙盒元数据	当前	用于 6.0+ 的文件日志沙盒元数据
517	不适用	不适用	用于 6.0+ 的文件日志 Spero 元数据	当前	用于 6.0+ 的文件日志 Spero 元数据
518	不适用	不适用	用于 6.0+ 的文件日志存档元数据	当前	用于 6.0+ 的文件日志存档元数据
519	不适用	不适用	用于 6.0+ 的文件日志静态分析元数据	当前	用于 6.0+ 的文件日志静态分析元数据
520	28	2	用于 5.2+ 的地理位置数据块	当前	用于 5.2+ 的地理位置数据块
530	不适用	不适用	用于 6.0+ 的文件策略名称	当前	用于 6.0+ 的文件策略名称
600	不适用	不适用	SSL 策略名称	当前	SSL 策略名称
601	51	2	SSL 规则 ID	当前	SSL 规则 ID
602	不适用	不适用	SSL 密码套件	当前	用于 5.4+ 的 SSL 证书详细信息数据块
604	不适用	不适用	SSL 版本	当前	SSL 版本
605	不适用	不适用	SSL 服务器证书状态	当前	SSL 服务器证书状态
606	不适用	不适用	SSL 实际操作	当前	SSL 实际操作
607	不适用	不适用	SSL 预期操作	当前	SSL 预期操作
608	不适用	不适用	SSL 流状态	当前	SSL 流状态
613	不适用	不适用	SSL URL 类别	当前	SSL URL 类别
614	50	2	用于 5.4+ 的 SSL 证书详细信息数据块	当前	用于 5.4+ 的 SSL 证书详细信息数据块
700	不适用	不适用	网络分析策略记录	当前	网络分析策略名称记录

数据包记录 4.8.0.2+

eStreamer 服务可传输与数据包记录中的事件相关的数据包数据，格式如下所示。当设置数据包标志（请求消息的“请求标志”(Request Flags) 字段中的位 0）时，发送数据包数据。请参阅请求标志。如果您启用位 23，则记录中会包含扩展事件报头。请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 2 ，表示数据包记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (2) (Record Type (2))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp) （在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	设备 ID (Device ID)
	事件 ID (Event ID)
	事件秒 (Event Second)
	数据包秒 (Packet Second)
	数据包微秒 (Packet Microsecond)
	链路类型 (Link Type)
	数据包长度 (Packet Length)
	数据包数据... (Packet Data...)

下表对数据包记录中的字段进行了说明。

表 3-2 数据包记录字段
字段	数据类型	说明
设备 ID (Device ID)	uint32	设备标识号。您可以通过请求版本 3 或版本 4 元数据获取与它们关联的设备名称。有关详细信息，请参阅受管设备记录元数据。
事件 ID (Event ID)	uint32	事件标识号。
事件秒 (Event Second)	uint32	事件出现的秒数（从 1970/01/01 起）。
数据包秒 (Packet Second)	uint32	捕获数据包的秒数（从 1970/01/01 起）。
数据包微秒 (Packet Microsecond)	uint32	捕获数据包的微秒（一秒的百万分之一）增量。
链路类型 (Link Type)	uint32	链路层类型。目前，此值始终为 `1` （代表以太网层）。
数据包长度 (Packet Length)	uint32	数据包数据中包含的字节数。
数据包数据 (Packet Data)	变量	实际捕获的数据包数据（报头和负载）。

优先级记录

eStreamer 服务可传输与优先级记录中的事件相关的优先级信息，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送优先级信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 4 ，表示优先级记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (4)（Record Type (4))
	记录长度 (Record Length)
	优先级 ID (Priority ID)
	名称长度 (Name Length)																优先级名称... (Priority Name...)

下表对每个优先级特定字段进行了说明。

表 3-3 优先级记录字段
字段	数据类型	说明
优先级 ID (Priority ID)	uint32	表示优先级标识号。
名称长度 (Name Length)	uint16	优先级名称中包含的字节数。
优先级名称 (Priority Name)	变量	与优先级 ID 对应的优先级名称（1 - 高，2 - 中等，3 - 低）。

入侵事件记录 6.0+

下图中的阴影部分表示入侵事件记录中的字段。此数据块的记录类型为系列 2 数据块组中的 400，块类型为系列 2 数据块组中的 60。它替代了块类型 45。已添加 HTTP 响应字段。

您可以通过扩展请求，仅从 eStreamer 请求 6.0+ 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 9（有关提交扩展请求的信息，请参阅提交扩展请求）。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (400) (Record Type (400))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp) （在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	块类型 (60) (Block Type (60))
	块长度 (Block Length)
	设备 ID (Device ID)
	事件 ID (Event ID)
	事件秒 (Event Second)
	事件微秒 (Event Microsecond)
	规则 ID（签名 ID）(Rule ID (Signature ID))
	生成器 ID (Generator ID)
	规则修订 (Rule Revision)
	分类 ID (Classification ID)
	优先级 ID (Priority ID)
	源 IP 地址 (Source IP Address) 源 IP 地址 (Source IP Address) (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）



	目标 IP 地址 (Destination IP Address) 目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）



	源端口或 ICMP 类型 (Source Port or ICMP Type)																目标端口或 ICMP 代码 (Destination Port or ICMP Code)
	IP 协议 ID (IP Protocol ID)								影响标志 (Impact Flags)								影响 (Impact)								已阻止 (Blocked)
	MPLS 标签 (MPLS Label)
	VLAN ID																Pad
	策略 UUID (Policy UUID)
	策略 UUID (Policy UUID)（续）
	策略 UUID (Policy UUID)（续）
	策略 UUID (Policy UUID)（续）
	用户 ID (User ID)
	Web 应用 ID (Web Application ID)
	客户端应用 ID (Client Application ID)
	应用协议 ID (Application Protocol ID)
	访问控制规则 ID (Access Control Rule ID)
	访问控制策略 UUID (Access Control Policy UUID)
	访问控制策略 UUID (Access Control Policy UUID)（续）
	访问控制策略 UUID (Access Control Policy UUID)（续）
	访问控制策略 UUID (Access Control Policy UUID)（续）
	接口入口 UUID (Interface Ingress UUID)
	接口入口 UUID (Interface Ingress UUID)（续）
	接口入口 UUID (Interface Ingress UUID)（续）
	接口入口 UUID (Interface Ingress UUID)（续）
	接口出口 UUID (Interface Egress UUID)
	接口出口 UUID (Interface Egress UUID)（续）
	接口出口 UUID (Interface Egress UUID)（续）
	接口出口 UUID (Interface Egress UUID)（续）
	安全区入口 UUID (Security Zone Ingress UUID)
	安全区入口 UUID (Security Zone Ingress UUID)（续）
	安全区入口 UUID (Security Zone Ingress UUID)（续）
	安全区入口 UUID (Security Zone Ingress UUID)（续）
	安全区出口 UUID (Security Zone Egress UUID)
	安全区出口 UUID (Security Zone Egress UUID)（续）
	安全区出口 UUID (Security Zone Egress UUID)（续）
	安全区出口 UUID (Security Zone Egress UUID)（续）
	连接时间戳 (Connection Timestamp)
	连接实例 ID (Connection Instance ID)																连接计数器 (Connection Counter)
	源国家/地区 (Source Country)																目标国家/地区 (Destination Country)
	IOC 编号 (IOC Number)																安全情景 (Security Context)
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）																SSL 证书指纹 (SSL Certificate Fingerprint)
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）																SSL 实际操作 (SSL Actual Action)
	SSL 流状态 (SSL Flow Status)																网络分析策略 UUID (Network Analysis Policy UUID)
	网络分析策略 UUID (Network Analysis Policy UUID)（续）
	网络分析策略 UUID (Network Analysis Policy UUID)（续）
	网络分析策略 UUID (Network Analysis Policy UUID)（续）
	网络分析策略 UUID (Network Analysis Policy UUID)（续）																HTTP 响应 (HTTP Response)
	HTTP 响应 (HTTP Response)（续）

下表对每个入侵事件记录数据字段进行了说明。

表 3-4 入侵事件记录 6.0+ 字段
字段	数据类型	说明
块类型 (Block Type)	unint32	启动入侵事件数据块。值始终为 60。
块长度 (Block Length)	unint32	入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据的字节数。
设备 ID (Device ID)	unit32	包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。
事件 ID (Event ID)	uint32	事件标识号。
事件秒 (Event Second)	uint32	事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）
事件微秒 (Event Microsecond)	uint32	事件检测的时间戳微秒（一秒的百万分之一）增量。
规则 ID（签名 ID）(Rule ID (Signature ID))	uint32	与事件对应的规则标识号。
生成器 ID (Generator ID)	uint32	生成事件的 Firepower 系统预处理器的标识号。
规则修订 (Rule Revision)	uint32	规则版本号。
分类 ID (Classification ID)	uint32	事件分类消息的标识号。
优先级 ID (Priority ID)	uint32	与事件相关的优先级的标识号。
源 IP 地址 (Source IP Address)	uint8[16]	事件中使用的源 IPv4 或 IPv6 地址。
目标 IP 地址 (Destination IP Address)	uint8[16]	事件中使用的目标 IPv4 或 IPv6 地址。
源端口或 ICMP 类型 (Source Port or ICMP Type)	uint16	如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。
目标端口或 ICMP 代码 (Destination Port or ICMP Code)	uint16	如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。
IP 协议 ID (IP Protocol ID)	uint8	IANA 指定的协议号。例如： `0` - IP `1` - ICMP `6` - TCP `17` - UDP
影响标志 (Impact Flags)	bits[8]	事件的影响标志值。低阶八位表示影响级别。值包括： `0x01` （位 0）- 源或目标主机位于系统监控的网络中。 `0x02` （位 1）- 源或目标主机存在于网络映射中。 `0x04` （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使用IP协议。 `0x08` （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。 `0x10` （位 4）- 有漏洞映射到事件中检测到的服务器。 `0x20` （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。 `0x40` （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。 `0x80` （位 7）- 有漏洞映射到事件中检测到的客户端。（仅限版本 5.0+）以下影响级别值映射到管理中心上的特定优先级中。`X` 表示值可以为 0 或 1：灰色（0，未知）：`00X00000` 红色（1，易受攻击）：`XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX` （仅限版本 5.0+）橙色（2，可能易受攻击）：`00X0011X` 黄色（3，当前不易受攻击）：`00X0001X` 蓝色（4，未知目标）：`00X00001`
影响 (Impact)	uint8	事件的影响标志值。其值如下： `1` - 红色（易受攻击） `2` - 橙色（可能易受攻击） `3` - 黄色（目前不易受攻击） `4` - 蓝色（未知目标） `5` - 灰色（未知影响）
已阻止 (Blocked)	uint8	表示事件是否已被阻止的值。 `0` - 未被阻止 `1` - 已阻止 `2` - 将被阻止（但配置不允许）
MPLS 标签 (MPLS Label)	uint32	MPLS 标签。
VLAN ID	uint16	表示数据包起源的 VLAN 的 ID。
Pad	uint16	已保留供将来使用。
策略 UUID (Policy UUID)	uint8[16]	充当入侵策略的唯一标识符的策略 ID 号码。
用户 ID (User ID)	uint32	用户的内部标识号（如适用）。
Web 应用 ID (Web Application ID)	uint32	Web 应用（如适用）的内部标别号。
客户端应用 ID (Client Application ID)	uint32	客户端应用（如适用）的内部标别号。
应用协议 ID (Application Protocol ID)	uint32	应用协议的内部标识号（如适用）。
访问控制规则 ID (Access Control Rule ID)	uint32	充当访问控制规则的唯一标识符的规则 ID 号码。
访问控制策略 UUID (Access Control Policy UUID)	uint8[16]	充当访问控制策略的唯一标识符的策略 ID 号码。
接口入口 UUID (Interface Ingress UUID)	uint8[16]	充当入口接口的唯一标识符的接口 ID 号码。
接口出口 UUID (Interface Egress UUID)	uint8[16]	充当出口接口的唯一标识符的接口 ID 号码。
安全区入口 UUID (Security Zone Ingress UUID)	uint8[16]	充当入口安全区的唯一标识符的区域 ID 号码。
安全区出口 UUID (Security Zone Egress UUID)	uint8[16]	充当出口安全区的唯一标识符的区域 ID 号码。
连接时间戳 (Connection Timestamp)	uint32	与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
连接实例 ID (Connection Instance ID)	uint16	生成连接事件的受管设备上 Snort 实例的数字 ID。
连接计数器 (Connection Counter)	uint16	用于区别同一秒发生的连接事件的值。
源国家/地区 (Source Country)	uint16	源主机的国家/地区代码。
目标国家/地区 (Destination Country)	uint 16	目标主机的国家/地区代码。
IOC 编号 (IOC Number)	uint16	与此事件相关的威胁的 ID 号码。
安全情景 (Security Context)	uint8[16]	流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。
SSL 证书指纹 (SSL Certificate Fingerprint)	uint8[20]	SSL 服务器证书的 SHA1 散列。
SSL 实际操作 (SSL Actual Action)	uint16	根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括： `0` -‘未知’ `1` -‘请勿解密’ `2` -‘阻止’ `3` -‘阻止并重置’ `4` -‘解密（已知密钥）’ `5` -‘解密（更换秘钥）’ `6` -‘解密（放弃）’
SSL 流状态 (SSL Flow Status)	uint16	SSL 流量的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括： `0` -‘未知’ `1` -‘不匹配’ `2` -‘成功’ `3` -‘非缓存会话’ `4` -‘未知密码套件’ `5` -‘不受支持的密码套件’ `6` -‘不受支持的 SSL 版本’ `7` -‘使用的 SSL 压缩’ `8` -‘在被动模式中无法解密的会话’ `9` -‘握手错误’ `10` -‘解密错误’ `11` -‘待处理服务器名称分类查找’ `12` -‘待处理通用名称分类查找’ `13` -‘内部错误’ `14` -‘网络参数不可用’ `15` -‘服务器证书处理无效’ `16` -‘服务器证书指纹不可用’ `17` -‘无法缓存持有者 DN’ `18` -‘无法缓存颁发者 DN’ `19` -‘未知 SSL 版本’ `20` -‘外部证书列表不可用’ `21` -‘外部证书指纹不可用’ `22` -‘内部证书列表无效’ `23` -‘内部证书列表不可用’ `24` -‘内部证书不可用’ `25` -‘内部证书指纹不可用’ `26` -‘服务器证书验证不可用’ `27` -‘服务器证书验证失败’ `28` -‘操作无效’
网络分析策略 UUID (Network Analysis Policy UUID)	uint8[16]	创建入侵事件的网络分析策略的 UUID。
HTTP 响应 (HTTP Response)	uint32	HTTP 请求的响应代码。

入侵影响警报数据 5.3+

入侵影响警报 5.3+ 事件包含影响事件的相关信息。当将入侵事件与系统网络映射数据进行比较且影响已确定时，系统传输入侵影响警报数据。它使用记录类型为 9 的标准记录报头，接着是系列 1 数据块类型为系列 1 数据块组中的 153 的入侵影响警报数据块。（影响警报数据块是系列 1 类型的数据块。有关系列 1 数据块的详细信息，请参阅了解发现（系列 1）块。）

您可以通过在请求消息的标志字段中设置位 5 来请求 eStreamer 只传输入侵影响事件。
有关请求消息的详细信息，请参阅事件流请求消息格式。这些警报的版本 1 只处理 IPv4。5.3 中引入的版本 2 除了处理 IPv4 之外，还处理 IPv6 事件。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (9) (Record Type (9))
	eStreamer 服务器时间戳 (eStreamer Server Timestamp) （在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	入侵影响警报块类型 (153)（Intrusion Impact Alert Block Type (153))
	入侵影响警报块长度 (Intrusion Impact Alert Block Length)
	事件 ID (Event ID)
	设备 ID (Device ID)
	事件秒 (Event Second)
	影响 (Impact)
	源 IP 地址 (Source IP Address)
	源 IP 地址 (Source IP Address) (Source IP Address)（续）
	源 IP 地址 (Source IP Address)（续）
	源 IP 地址 (Source IP Address)（续）
	目标 IP 地址 (Destination IP Address)
	目标 IP 地址 (Destination IP Address)（续）
	目标 IP 地址 (Destination IP Address)（续）
	目标 IP 地址 (Destination IP Address)（续）
影响说明	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	说明...(Description...)

下表对影响事件中的每个数据字段进行了说明。

表 3-5 影响事件数据字段
字段	数据类型	说明
入侵影响警报块类型 (Intrusion Impact Alert Block Type)	uint32	表示后面是入侵影响警报数据块。此字段的值始终为 `153` 。请参阅入侵事件和元数据记录类型。
入侵影响警报块长度 (Intrusion Impact Alert Block Length)	uint32	表示入侵影响警报数据块的长度，包括后面的所有数据以及入侵影响警报块类型和长度的 8 个字节。
事件 ID (Event ID)	uint32	表示事件标识号。
设备 ID (Device ID)	uint32	表示受管设备标识号。
事件秒 (Event Second)	uint32	表示检测到事件的秒数（从 1970/01/01 起）。
影响 (Impact)	bits[8]	事件的影响标志值。低阶八位表示影响级别。值包括： `0x01` （位 0）- 源或目标主机位于系统监控的网络中。 `0x02` （位 1）- 源或目标主机存在于网络映射中。 `0x04` （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使用IP协议。 `0x08` （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。 `0x10` （位 4）- 有漏洞映射到事件中检测到的服务器。 `0x20` （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。 `0x40` （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。 `0x80` （位 7）- 有漏洞映射到事件中检测到的客户端。（仅限版本 5.0+）以下影响级别值映射到管理中心上的特定优先级中。`X` 表示值可以为 0 或 1：灰色（0，未知）：`00X00000` 红色（1，易受攻击）：`XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX` （仅限版本 5.0+）橙色（2，可能易受攻击）：`00X0011X` 黄色（3，当前不易受攻击）：`00X0001X` 蓝色（4，未知目标）：`00X00001`
源 IP 地址 (Source IP Address)	uint8[16]	与影响事件相关的主机的 IP 地址。可能包含 IPv4 地址或 IPv6 地址。有关详细信息，请参阅IP 地址。
目标 IP 地址 (Destination IP Address)	uint8[16]	与影响事件相关的目标 IP 地址的 IP 地址（如适用）。可能包含 IPv4 地址或 IPv6 地址。有关详细信息，请参阅IP 地址。如果无目标 IP 地址，则此值为 `0` 。
字符串块类型 (String Block Type)	uint32	启动包含影响名称的字符串数据块。此值始终设置为 `0` 。有关字符串块的详细信息，请参阅字符串数据块。
字符串块长度 (String Block Length)	uint32	事件说明字符串块中的字节数。这包括字符串块类型的四个字节，字符串块长度的四个字节以及说明中的字节数。
说明 (Description)	字符串	影响事件的说明。

用户记录

请求元数据时，您可以检索有关 Firepower 系统中的组件生成的事件中引用的用户的信息。eStreamer 服务可传输包含用户记录中的事件的用户信息的元数据，格式如下所示。用户记录包含用户 ID 和相应的名称。用户元数据记录可用于通过将元数据与用户 ID 值相关联的方法来确定与事件相关联的用户名。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送用户信息。请参阅请求标志。）

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (62) (Record Type (62))
	记录长度 (Record Length)
	用户 ID (User ID)
	名称长度 (Name Length)
	名称...(Name...)

下表对用户记录中的字段进行了说明。

表 3-6 用户记录字段
字段	数据类型	说明
用户 ID (User ID)	uint32	用户 ID 号码。此字段是此记录的唯一密钥。
名称长度 (Name Length)	uint32	用户名称中包含的字节数。
名称 (Name)	字符串	用户的名称。

用于 4.6.1+ 的规则消息记录

系统通过规则消息记录传输事件的规则消息信息，格式如下所示。当您请求版本 2 或版本 3 元数据时，eStreamer 服务传输用于 4.6.1+ 的规则消息记录。用于 4.6.1+ 的规则消息记录包含用于 4.6 及更低版本的规则消息记录中包含的字段，但也具有”新 UUID“( new UUID) 和”修订 UUID“(Revision UUID) 字段。（当设置对应的元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 14（版本 2）、位 15（版本 3）或位 20（版本 4））时，发送版本 2、版本 3 或版本 4 元数据信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 66 ，表示规则消息版本 2 记录。

根据防火墙配置，有成千上万条规则。每个规则都可能会生成单独的记录规则消息记录。
如果缓存元数据并请求此记录，请确保分配足够的内存。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (66) (Record Type (66))
	记录长度 (Record Length)
签名密钥	生成器 ID (Generator ID)
	规则 ID (Rule ID)
	修订号 (Revision Number)
	呈现的签名 ID (Rendered Signature ID)
	消息长度 (Message Length)																规则 UUID (Rule UUID)
规则 UUID	规则 UUID (Rule UUID)（续）
	规则 UUID (Rule UUID)（续）
	规则 UUID (Rule UUID)（续）
	规则 UUID (Rule UUID)（续）																规则修订 UUID (Rule Revision UUID)
规则修订 UUID	规则修订 UUID (Rule Revision UUID)（续）
	规则修订 UUID (Rule Revision UUID)（续）
	规则修订 UUID (Rule Revision UUID)（续）
	规则修订 UUID (Rule Revision UUID)（续）																消息... (Message...)

下表对每个规则特定字段进行了说明。

表 3-7 规则消息记录字段
字段	数据类型	说明
生成器 ID (Generator ID)	uint32	生成器标识号。
规则 ID (Rule ID)	uint32	本地计算机的规则标别号。
规则修订 (Rule Revision)	uint32	规则修订号。目前，所有规则消息的此值均设置为 `0` 。
呈现的签名 ID (Rendered Signature ID)	uint32	Firepower 系统界面呈现的规则标识号。
消息长度 (Message Length)	uint16	规则文本中包含的字节数。
UUID	uint8[16]	充当规则的唯一标识符的规则 ID 号码。
修订 UUID (Revision UUID)	uint8[16]	充当修订的唯一标识符的规则修订 ID 号码。
消息 (Message)	变量	触发事件的规则消息。

用于 4.6.1+ 的分类记录

eStreamer 服务可传输用于 4.6.1+ 的分类记录中的事件的分类信息，格式如下所示。用于 4.6.1+ 的分类记录包含用于 4.6 及更低版本的分类记录中包含的字段，但也具有新 UUID 和修订 UUID 字段。（当设置版本 3 或版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 15 或位 20）时，发送分类信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 67 ，表示分类版本 2 记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (67) (Record Type (67))
	记录长度 (Record Length)
	分类 ID (Classification ID)
	名称长度 (Name Length)																名称... (Name...)
	名称 (Name)（续）...
	说明长度 (Description Length)																说明... (Description...)
	说明 (Description)（续）...
分类 UUID (Classification UUID)	分类 UUID (Classification UUID)
	分类 UUID (Classification UUID)（续）
	分类 UUID (Classification UUID)（续）
	分类 UUID (Classification UUID)（续）
分类修订 UUID (Classification Revision UUID)	分类修订 UUID (Classification Revision UUID)
	分类修订 UUID (Classification Revision UUID)（续）
	分类修订 UUID (Classification Revision UUID)（续）
	分类修订 UUID (Classification Revision UUID)（续）

下表对分类记录中的字段进行了说明。

表 3-8 分类记录字段
字段	数据类型	说明
分类 ID (Classification ID)	uint32	分类 ID 号码。
名称长度 (Name Length)	uint16	名称中包含的字节数。
名称 (Name)	字符串	分类名称。
说明长度 (Description Length)	uint16	说明中包含的字节数。
说明 (Description)	字符串	分类说明。
UUID	uint8[16]	充当分类的唯一标识符的分类 ID 号码。
修订 UUID (Classification Revision UUID)	uint8[16]	充当分类修订的唯一标识符的分类修订 ID 号码。

关联策略记录

eStreamer 服务可传输包含关联策略记录中关联事件的关联策略的元数据，格式如下所示。（当设置版本 3 或版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 15 或位 20）时，发送关联策略信息。请参阅请求标志。）请注意，“记录类型”(Record Type)
字段（出现在“消息长度”(Message Length) 字段后面）的值为 69 ，表示关联策略记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (69) (Record Type (69))
	记录长度 (Record Length)
	关联策略 ID (Correlation Policy ID)
	名称长度 (Name Length)																名称... (Name...)
	说明长度 (Description Length)																说明... (Description...)
关联策略 ID (Correlation Policy ID)	关联策略 UUID (Correlation Policy UUID)
	关联策略 UUID (Correlation Policy UUID)（续）
	关联策略 UUID (Correlation Policy UUID)（续）
	关联策略 UUID (Correlation Policy UUID)（续）
关联策略修订 UUID (Correlation Policy Revision UUID)	关联策略修订 UUID (Correlation Policy Revision UUID)
	关联策略修订 UUID (Correlation Policy Revision UUID)（续）
	关联策略修订 UUID (Correlation Policy Revision UUID)（续）
	关联策略修订 UUID (Correlation Policy Revision UUID)（续）

下表对关联策略记录中的字段进行了说明。

表 3-9 关联策略记录字段
字段	数据类型	说明
关联策略 ID (Correlation Policy ID)	uint32	关联策略 ID 号码。此字段是此记录的唯一密钥。
名称长度(Name Length)	uint16	关联策略名称中包含的字节数。
名称 (Name)	字符串	触发事件的关联策略的名称。
说明长度 (Description Length)	uint16	关联策略说明中包含的字节数。
说明 (Description)	字符串	触发事件的关联策略的说明。
UUID	uint8[16]	充当关联策略的唯一标识符的关联策略 ID 号码。
修订 UUID (Revision UUID)	uint8[16]	充当关联策略的唯一标识符的关联策略修订 ID 号码。

关联规则记录

eStreamer 服务可传输包含有关触发关联规则记录中的关联事件的关联规则的信息的元数据，格式如下所示。（当设置版本 3 或版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 15 或位 20）时，发送关联规则信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 70 ，表示关联规则记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (70) (Record Type (70))
	记录长度 (Record Length)
	关联规则 ID (Correlation Rule ID)
	名称长度 (Name Length)																名称... (Name...)
	名称... (Name...)																说明长度 (Description Length)
	说明... (Description...)
	事件类型长度 (Event Type Length)																事件类型... (Event Type...)
	事件类型... (Event Type...)																关联规则 UUID (Correlation Rule UUID)
关联规则 ID (Correlation Rule ID)	关联规则 UUID (Correlation Rule UUID)（续）
	关联规则 UUID (Correlation Rule UUID)（续）
	关联规则 UUID (Correlation Rule UUID)（续）
	关联规则 UUID (Correlation Rule UUID)（续）																关联修订 UUID (Correlation Revision UUID)
关联规则修订 UUID (Correlation Rule Revision UUID)	关联规则修订 UUID (Correlation Rule Revision UUID)（续）
	关联规则修订 UUID (Correlation Rule Revision UUID)（续）
	关联规则修订 UUID (Correlation Rule Revision UUID)（续）
	关联规则修订 UUID (Correlation Rule Revision UUID)（续）。																允许列表规则 UUID (Allow List Rule UUID)
允许列表规则 UUID	允许列表规则 UUID (Allow List Rule UUID)（续）
	允许列表规则 UUID (Allow List Rule UUID)（续）
	允许列表规则 UUID (Allow List Rule UUID)（续）
	允许列表规则 UUID (Allow List Rule UUID)（续）

下表对关联规则记录中的字段进行了说明。

表 3-10 关联规则记录字段
字段	数据类型	说明
关联规则 ID (Correlation Rule ID)	uint32	关联规则 ID 号码。此字段是此记录的唯一密钥。
名称长度 (Name Length)	uint16	关联规则名称中包含的字节数。
名称 (Name)	字符串	触发事件的关联规则的名称。
说明长度 (Description Length)	uint16	关联规则说明中包含的字节数。
说明 (Description)	字符串	触发事件的关联规则的说明。
事件类型长度 (Event Type Length)	uint16	事件类型说明中包含的字节数。
事件类型	字符串	触发关联规则的事件的说明。
UUID	uint8[16]	充当关联规则的唯一标识符的关联规则 ID 号码。
修订 UUID (Correlation Rule UUID)	uint8[16]	充当关联规则修订的唯一标识符的关联规则修订 ID 号码。
允许列表规则 UUID (Allow List Rule UUID)	uint8[16]	充当作为允许列表违规结果发送的事件的唯一标识符的关联 ID 号码。

入侵事件额外数据记录

eStreamer 服务可传输与入侵事件额外数据记录中的入侵事件相关的事件额外数据。记录类型始终为 110 。

事件额外数据出现在封装事件额外数据数据块中，该数据块的数据块类型值始终为 4 。（事件额外数据数据块是系列 2 数据块。有关系列 2 数据块的详细信息，请参阅了解系列 2 数据块。）

支持的额外数据类型包括 IPv6 源地址和目标地址，以及通过 HTTP 代理或负载均衡器与网络服务器连接的客户端的源 IP 地址（v4 或 v6）。下图显示入侵事件额外数据记录的格式。

如果在请求消息的“请求标志”(Request Flags) 字段中设置位 27，您将收到每个入侵事件的事件额外数据。如果设置位 20，您也会收到入侵事件额外数据元数据中描述的事件额外数据元数据。如果启用位 23，eStreamer 将包含扩展事件报头。有关设置请求标志的信息，请参阅请求标志。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (110)（Record Type (110))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp)（在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	事件额外数据数据块类型 (4) (Event Extra Data Data Block Type (4))
	事件额外数据数据块长度 (Event Extra Data Data Block Length)
	设备 ID (Device ID)
	事件 ID (Event ID)
	事件秒 (Event Second)
	类型 (Type)
	BLOB 块类型 (1) (BLOB Block Type (1))
	BLOB 长度 (BLOB Length)
	事件额外数据 (Event Extra Data)

请注意，事件额外数据块结构包含一个 BLOB 块类型，该块类型是 Firepower 系统版本 4.10 中引入的几种可变长度数据结构之一。

下表对入侵事件额外数据记录中的字段进行了说明。

表 3-11 入侵事件额外数据数据块字段
字段	数据类型	说明
事件额外数据数据块类型 (Event Extra Data Data Block Type)	uint32	启动事件额外数据数据块。值始终为 `4` 。块类型为系列 2 数据块；有关详细信息，请参阅了解系列 2 数据块。
事件额外数据数据块长度 (Event Extra Data Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
设备 ID (Device ID)	uint32	受管设备标识号。
事件 ID (Event ID)	uint32	事件标识号。
事件秒 (Event Second)	uint32	事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
类型 (Type)	uint32	额外数据类型的标识符；例如： `2` - XFF 客户端 (IPv6) `9` - HTTP URI
BLOB 块类型 (BLOB Block Type)	uint32	启动包含额外数据的 BLOB 数据块。值始终为 `1` 。块类型为系列 2 数据块。
长度 (Length)	uint32	BLOB 数据块中的字节总数。
额外数据 (Extra Data)	变量	额外数据的内容。数据类型在“类型”(Type) 字段中指示。

入侵事件额外数据元数据

eStreamer 服务可传输与入侵事件额外数据元数据记录中的入侵事件额外数据记录相关的事件额外数据元数据。记录类型始终为 111 。

事件额外数据元数据出现在封装事件额外数据元数据数据块中，该数据块的数据块类型值始终为 5 。事件额外数据数据块是系列 2 数据块。

如果在请求消息的“请求标志”(Request Flags) 字段中设置位 20，您将收到事件额外数据元数据。如果想收到入侵事件和事件额外数据元数据，还必须设置位 2。请参阅请求标志。如果您启用位 23，则记录中会包含扩展事件报头。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (111) (Record Type (111))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp) （在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	事件额外数据元数据数据块类型 (5) (Event Extra Data Metadata Data Block Type (5))
	数据块长度 (Data Block Length)
	类型 (Type)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	名称... (Name...)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	编码 (Encoding)

请注意，块结构包含封装字符串块类型，该块类型是 Firepower 系统版本 4.10 中引入的几种系列 2 可变长度数据结构之一。

下表对事件额外数据元数据记录中的字段进行了说明。

表 3-12 事件额外数据元数据数据块字段
字段	数据类型	说明
事件额外数据元数据数据块类型 (Event Extra Data Metadata Data Block Type)	uint32	启动事件额外数据元数据数据块。值始终为 `5` 。块类型为系列 2 数据块。
事件额外数据元数据数据块长度 (Event Extra Data Metadata Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
类型 (Type)	uint32	额外数据的类型。与关联事件额外数据记录中的类型字段匹配。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动客户端应用版本的字符串数据块。值始终为 `0` 。块类型为系列 2 数据块。
字符串块长度 (String Block Length)	uint32	客户端应用版本字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上版本字符串中的字节数。
名称 (Name)	字符串	事件额外数据类型的名称，例如 XFF 客户端 (IPv6) 和 HTTP URI。
字符串块类型 (String Block Type)	uint32	启动客户端应用 URL 的字符串数据块。值始终为 `0` 。块类型为系列 2 数据块。
字符串块长度 (String Block Length)	uint32	客户端应用 URL 字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上 URL 字符串中的字节数。
编码 (Encoding)	字符串	用于事件额外数据的编码，如 IPv4、IPv6 或字符串。

安全区名称记录

eStreamer 服务可传输包含有关与安全区名称记录中的入侵事件或连接事件关联的安全区的名称的信息的元数据，格式如下所示。（当设置版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送安全区信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 115 ，表示安全区名称记录。它包含一个 UUID 字符串数据块，该数据块的块类型为系列 2 数据块组中的 14。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (115) (Record Type (115))
	记录长度 (Record Length)
	安全区名称数据块 (14) (Security Zone Name Data Block (14))
	安全区名称数据块长度 (Security Zone Name Data Block Length)
	安全区 UUID (Security Zone UUID)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	安全区名称... (Security Zone Name...)

下表对安全区名称数据块中的字段进行了说明。

表 3-13 安全区名称数据块字段
字段	数据类型	说明
安全区名称数据块类型 (Security Zone Name Data Block Type)	uint32	启动安全区名称数据块。值始终为 `14` 。块类型为系列 2 数据块。
安全区名称数据块长度 (Security Zone Name Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
安全区 UUID (Security Zone UUID)	uint8[16]	与连接事件相关的安全区的唯一标识符。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含安全区名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	安全区名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上名称中的字节数。
安全区名称 (Security Zone Name)	字符串	安全区名称。

接口名称记录

eStreamer 服务可传输包含有关与接口名称记录中的入侵事件或连接事件关联的接口的名称的信息的元数据，格式如下所示。（当设置版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送接口名称信息。请参阅请求标志。）请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 116 ，表示接口名称记录。它包含一个 UUID 字符串数据块，该数据块的块类型为系列 2 数据块组中的 14。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (116) (Record Type (116))
	记录长度 (Record Length)
	接口名称数据块 (14) (Interface Name Data Block (14))
	接口名称数据块长度 (Interface Name Data Block Length)
	接口 UUID (Interface UUID)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	接口名称... (Interface Name...)

下表对接口名称数据块中的字段进行了说明。

表 3-14 接口名称数据块字段
字段	数据类型	说明
接口名称数据块类型 (Interface Name Data Block Type)	uint32	启动接口名称数据块。值始终为 `14` 。块类型为系列 2 数据块。
接口名称数据块长度 (Interface Name Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
接口 UUID (Interface UUID)	uint8[16]	充当与连接事件关联的接口的唯一标识符的接口 ID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含接口名字的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	接口名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上接口名称中的字节数。
接口名称 (Interface Name)	字符串	接口名称。

访问控制策略名称记录

eStreamer 服务可传输有关触发访问控制策略名称记录中的入侵事件或连接事件的访问控制策略的名称的元数据，格式如下所示。（当设置版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送访问控制策略名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 117 ，表示访问控制策略名称记录。它包含一个 UUID 字符串数据块，该数据块的块类型为系列 2 数据块组中的 14。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (117) (Record Type (117))
	记录长度 (Record Length)
	访问控制策略名称数据块 (14) (Access Control Policy Name Data Block (14))
	访问控制策略名称数据块长度 (Access Control Policy Name Data Block Length)
	访问控制策略 UUID (Access Control Policy UUID)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	访问控制策略名称... (Access Control Policy Name...)

下表对访问控制策略名称数据块中的字段进行了说明。

表 3-15 访问控制策略名称数据块字段
字段	数据类型	说明
访问控制策略名称数据块类型 (Access Control Policy Name Data Block Type)	uint32	启动访问控制策略名称数据块。值始终为 `14` 。块类型为系列 2 数据块。
访问控制策略名称数据块长度 (Access Control Policy Name Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
访问控制策略 UUID (Access Control Policy UUID)	uint8[16]	充当与入侵事件或连接事件关联的访问控制策略的唯一标识符的 ID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含访问控制策略的名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	访问控制策略名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上访问控制策略名称中的字节数。
访问控制策略名称 (Access Control Policy Name)	字符串	访问控制策略名称。

访问控制规则 ID 记录元数据

eStreamer 服务可传输包含有关触发访问控制规则 ID 记录中的入侵事件或连接事件的访问控制规则的信息的元数据，格式如下所示。当设置版本 4 元数据标志（请求消息的“请求标志”
(Request Flags) 字段中的位 20）时，发送访问控制规则元数据。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 119 ，表示访问控制规则 ID 记录。它包含一个规则 ID 数据块，该数据块的块类型为系列 2 数据块组中的 15。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (119) (Record Type (119))
	记录长度 (Record Length)
	访问控制规则 ID 数据块 (15) (Access Control Rule ID Data Block (15))
	访问控制规则 ID 数据块长度 (Access Control Rule ID Data Block Length)
AC 规则 UUID	访问规则策略 UUID (Access Rule Policy UUID)
	访问控制规则 UUID (Access Control Rule UUID)（续）
	访问控制规则 UUID (Access Control Rule UUID)（续）
	访问控制规则 UUID (Access Control Rule UUID)（续）
	访问控制规则 ID (Access Control Rule ID)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	访问控制规则名称... (Access Control Rule Name...)

下表对访问控制规则 ID 数据块中的字段进行了说明。

表 3-16 访问控制规则 ID 数据块字段
字段	数据类型	说明
访问控制规则 ID 数据块类型 (Access Control Rule ID Data Block Type)	uint32	启动访问控制规则 ID 数据块。值始终为 `15` 。块类型为系列 2 数据块。
访问控制规则 ID 数据块长度 (Access Control Rule ID Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
访问控制规则 UUID (Access Control Rule UUID)	uint8[16]	访问控制规则的 UUID。此字段与访问控制规则 ID 一起是此记录的唯一密钥。
访问控制规则 ID (Access Control Rule ID)	uint32	充当与连接事件相关的访问控制策略中的规则的内部标识符。此字段与访问控制规则 UUID 一起是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含访问控制规则的名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上规则名称中的字节数。
访问控制规则名称 (Access Control Rule Name)	字符串	访问控制规则名称。

受管设备记录元数据

eStreamer 服务可传输包含有关与受管设备记录中的入侵事件相关的受管设备的信息的元数据，
格式如下所示。当设置版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送受管设备元数据。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 123 ，表示受管设备记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (123) (Record Type (123))
	记录长度 (Record Length)
	设备 ID (Device ID)
	名称长度 (Name Length)
	名称...(Name...)

下表对受管设备记录中的字段进行了说明。

表 3-17 受管设备记录字段
字段	数据类型	说明
设备 ID (Device ID)	uint32	受管设备的 ID 号码。此字段是此记录的唯一密钥。
名称长度 (Name Length)	uint32	名称中包含的字节数。
名称 (Name)	字符串	受管设备名称。

恶意软件事件记录 5.1.1+

下图中的阴影部分表示恶意软件事件记录中的字段。记录类型为 125。

您可以通过在事件版本为 2 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”
(Request Flags) 字段中的位 30）请求恶意软件事件记录。请参阅请求标志。如果您启用位 23，则记录中会包含扩展事件报头。它包含一个恶意软件事件数据块，该数据块的块类型为 24、33、35、44、47 或在系列 2 数据块组中。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (125) (Record Type (125))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp) （在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	恶意软件事件数据块 (Malware Event Data Block)

下表对每个恶意软件事件记录数据字段进行了说明。

表 3-18 恶意软件事件记录字段
字段	数据类型	说明
恶意软件事件数据块 (Malware Event Data Block)	变量	表示恶意软件事件数据块。有关详细信息，请参阅恶意软件事件数据块 6.0+。

思科高级恶意软件防护云名称元数据

eStreamer 服务可传输包含有关与思科高级恶意软件防护云名称记录中的入侵事件或连接事件相
关的思科高级恶意软件防护云（简称 AMP 云或云）的名称的信息的元数据，格式如下所示。（当设置版本 4 元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送 AMP 云名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 127 ，表示思科高级恶意软件防护云名称记录。它包含一个 UUID 字符串数据块，该数据块的块类型为系列 2 数据块组中的 14。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (127) (Record Type (127))
	记录长度 (Record Length)
	思科高级恶意软件防护云名称数据块 (14) (思科高级恶意软件防护云 Name Data Block (14))
	思科高级恶意软件防护云名称数据块长度 (思科高级恶意软件防护云 Name Data Block Length)
	思科高级恶意软件防护云 UUID (思科高级恶意软件防护云 UUID)
	思科高级恶意软件防护云思科高级恶意软件防护云 UUID ( UUID)（续）
	思科高级恶意软件防护云 UUID (思科高级恶意软件防护云 UUID)（续）
	思科高级恶意软件防护云 UUID (思科高级恶意软件防护云 UUID)（续）
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	思科高级恶意软件防护云名称...(Name...)

下表对思科高级恶意软件防护云名称数据块中的字段进行了说明。

表 3-19 思科高级恶意软件防护云名称数据块字段
字段	数据类型	说明
思科高级恶意软件防护云名称数据块类型 (思科高级恶意软件防护云 Name Data Block Type)	uint32	启动思科高级恶意软件防护云名称数据块。值始终为 `14` 。块类型为系列 2 数据块。
思科高级恶意软件防护云名称数据块长度 (思科高级恶意软件防护云 Name Data Block Length)	uint32	数据块的长度。包括数据字节数加上两个数据块报头字段中的 8 个字节。
思科高级恶意软件防护云 UUID (思科高级恶意软件防护云 UUID)	uint8[16]	充当与连接事件关联的思科高级恶意软件防护云的唯一标识符的思科高级恶意软件防护云 ID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含思科高级恶意软件防护云名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	思科高级恶意软件防护云名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上思科高级恶意软件防护云名称中的字节数。
思科高级恶意软件防护云名称 (思科高级恶意软件防护云 Name)	字符串	思科高级恶意软件防护云名称。

恶意软件事件类型元数据

eStreamer 服务可传输包含恶意软件事件类型记录中的事件的恶意软件事件类型信息的元数据，格式如下所示。（当设置元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送恶意软件事件类型。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 128 ，表示恶意软件事件类型记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (128) (Record Type (128))
	记录长度 (Record Length)
	恶意软件事件类型 ID (Malware Event Type ID)
	恶意软件事件类型长度 (Malware Event Type Length)
	恶意软件事件类型... (Malware Event Type...)

下表对恶意软件事件类型记录中的字段进行了说明。

表 3-20 恶意软件事件类型记录字段
字段	数据类型	说明
恶意软件事件类型 ID (Malware Event Type ID)	uint32	恶意软件事件类型 ID 号码。此字段是此记录的唯一密钥。
恶意软件事件类型长度 (Malware Event Type Length)	uint32	恶意软件事件类型中包含的字节数。
恶意软件事件类型 (Malware Event Type)	字符串	恶意软件事件类型。

恶意软件事件子类型元数据

eStreamer 服务可传输包含恶意软件事件子类型记录中的事件的恶意软件事件子类型信息的元数据，格式如下所示。（当设置元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 20）时，发送恶意软件事件类型。请参阅请求标志。）请注意，“消息长度”
(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 129 ，表示恶意软件事件子类型记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (129) (Record Type (129))
	记录长度 (Record Length)
	恶意软件事件子类型 ID (Malware Event Subtype ID)
	恶意软件事件子类型长度 (Malware Event Subtype Length)
	恶意软件事件子类型... (Malware Event Subtype...)

下表对恶意软件事件子类型记录中的字段进行了说明。

表 3-21 恶意软件事件子类型记录字段
字段	数据类型	说明
恶意软件事件子类型 ID (Malware Event Subtype ID)	uint32	恶意软件事件子类型 ID 号码。此字段是此记录的唯一密钥。
恶意软件事件子类型长度 (Malware Event Subtype Length)	uint32	恶意软件事件子类型中包含的字节数。
恶意软件事件子类型 (Malware Event Subtype)	字符串	恶意软件事件子类型。

面向终端的 AMP 检测器类型元数据

eStreamer 服务可传输包含面向终端的 AMP 检测器类型记录中的事件的面向终端的 AMP 检测器类型信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”
(Request Flags) 字段中的位 1、14、15 或 20）时，发送面向终端的 AMP 检测器类型信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在”消息长度“(Message Length) 字段后面）的值为 130 ，表示面向终端的 AMP 检测器类型记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (130) (Record Type (130))
	记录长度 (Record Length)
	面向终端的 AMP 检测器类型 ID (面向终端的 AMP Detector Type ID)
	面向终端的 AMP 检测器类型长度 (面向终端的 AMP Detector Type Length)
	面向终端的 AMP 检测器类型... (面向终端的 AMP Detector Type...)

下表对面向终端的 AMP 检测器类型记录中的字段进行了说明。

表 3-22 面向终端的 AMP 检测器类型记录字段
字段	数据类型	说明
面向终端的 AMP 检测器类型 ID (面向终端的 AMP Detector Type ID)	uint32	面向终端的 AMP 检测器类型 ID 号码。此字段是此记录的唯一密钥。
面向终端的 AMP 检测器类型长度 (面向终端的 AMP Detector Type Length)	uint32	面向终端的 AMP 检测器类型中包含的字节数。
面向终端的 AMP 检测器类型 (面向终端的 AMP Detector Type)	字符串	面向终端的 AMP 检测器的类型。

面向终端的 AMP 文件类型元数据

eStreamer 服务可传输包含面向终端的 AMP 文件类型记录中的事件的面向终端的 AMP 文件类型信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送面向终端的 AMP 文件类型信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 131 ，表示面向终端的 AMP 文件类型记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (131) (Record Type (131))
	记录长度 (Record Length)
	面向终端的 AMP 文件类型 ID (面向终端的 AMP File Type ID)
	面向终端的 AMP 文件类型长度 (面向终端的 AMP File Type Length)
	面向终端的 AMP 文件类型... (面向终端的 AMP File Type...)

下表对面向终端的 AMP 文件类型记录中的字段进行了说明。

表 3-23 面向终端的 AMP 文件类型记录字段
字段	数据类型	说明
面向终端的 AMP 文件类型 ID (面向终端的 AMP File Type ID)	uint32	面向终端的 AMP 文件类型 ID 号码。此字段是此记录的唯一密钥。
面向终端的 AMP 文件类型长度 (面向终端的 AMP File Type Length)	uint32	面向终端的 AMP 文件类型中包含的字节数。
面向终端的 AMP 文件类型 (面向终端的 AMP File Type)	字符串	被检测文件的类型。

安全情景名称

eStreamer 服务可传输包含安全情景名称信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送安全情景名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 132 ，表示安全情景名称记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (132) (Record Type (132))
	记录长度 (Record Length)
	安全情景 UUID (Security Context UUID)
	安全情景 UUID (Security Context UUID)（续）
	安全情景 UUID (Security Context UUID)（续）
	安全情景 UUID (Security Context UUID)（续）
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	安全情景名称... (Security Context Name...)

下表对安全情景名称记录中的字段进行了说明。

表 3-24 安全情景名称记录字段
字段	数据类型	说明
安全情景 UUID (Security Context UUID)	uint8[16]	安全情景的 UUID。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含安全情景名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	安全情景名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“安全情景名称” (Security Context Name) 中的字节数。
安全情景名称 (Security Context Name)	字符串	安全情景名称。

用于 5.4+ 的关联事件

关联事件（在 5.0 之前的版本中称为合规性事件）包含关联策略违规的相关信息。此消息使用标准 eStreamer 消息报头并指定记录类型为 112，随后是类型为系列 1 数据块组中的 156 的关联数据块。数据块类型 156 与其前身（块类型 128）的区别在于其包含 IPv6 支持。

关联事件的 5.4+ 版本具有地理位置、安全情报以及 SSL 支持等新字段。

只有通过扩展请求，才能从 eStreamer 请求 5.4+ 关联事件，要提交扩展请求，您需要在流请求消息中请求事件类型代码 31 和版本代码 9（请参阅提交扩展请求了解有关提交扩展请求的信息）。您可以选择启用初始事件流请求消息的标志字段中的位 23，以包含扩展事件报头。您也可以启用标志字段中的位 20，以包含用户元数据。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (112)（Record Type (112))
	记录长度 (Record Length)
	eStreamer 服务器时间戳 (eStreamer Server Timestamp)（在事件中，只有当位 23 已设置时）
	留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）
	关联块类型 (156) (Correlation Block Type (156))
	关联块长度 (Correlation Block Length)
	设备 ID (Device ID)
	（关联）事件秒 ((Correlation) Event Second)
	事件 ID (Event ID)
	策略 ID (Policy ID)
	规则 ID (Rule ID)
	优先级 (Priority)
	字符串块类型 (0) (String Block Type (0))																																事件说明
	字符串块长度 (String Block Length)
	说明... (Description...)																								事件类型
	事件设备 ID (Event Device ID)
	签名 ID (Signature ID)
	签名生成器 ID (Signature Generator ID)
	（触发器）事件秒 ((Trigger) Event Second)
	（触发器）事件微秒 ((Trigger) Event Microsecond)
	事件 ID (Event ID)
	事件定义的掩码 (Event Defined Mask)
	事件影响标志 (Event Impact Flags)								IP 协议 (IP Protocol)								网络协议 (Network Protocol)
	源 IP (Source IP)
	源主机类型 (Source Host Type)								源 VLAN ID (Source VLAN ID)																源操作系统指纹 UUID (Source OS Fprt UUID)								源操作系统指纹 UUID (Source OS Fprt UUID)
	源操作系统指纹 UUID (Source OS Fingerprint UUID)（续）
	源操作系统指纹 UUID (Source OS Fingerprint UUID)（续）
	源操作系统指纹 UUID (Source OS Fingerprint UUID)（续）
	源操作系统指纹 UUID (Source OS Fingerprint UUID)（续）																								源重要性 (Source Criticality)
	源临界点 (Source Criticality)（续）								源用户 ID (Source User ID)
	源用户 ID (Source User ID)（续）								源端口 (Source Port)																源服务器 ID (Source Server ID)
	源服务器 ID (Source Server ID)（续）																								目标 IP (Destination IP)
	目标 IP (Destination IP)（续）																								目标主机类型 (Host Type)
	目标 VLAN ID (Destination VLAN ID)																目标操作系统指纹 UUID (Destination OS Fingerprint UUID)																目标操作系统指纹 UUID (Dest OS Fingerprint UUID)
	目标操作系统指纹 UUID (Destination OS Fingerprint UUID)（续）
	目标操作系统指纹 UUID (Destination OS Fingerprint UUID)（续）
	目标操作系统指纹 UUID (Destination OS Fingerprint UUID)（续）
	目标操作系统指纹 UUID (Destination OS Fingerprint UUID)（续）																目标重要性 (Destination Criticality)
	目标用户 ID (Destination User ID)
	目标端口 (Destination Port)																目标服务器 ID (Destination Server ID)
	目标服务器 ID (Destination Server ID)（续）																影响 (Impact)								已阻止 (Blocked)
	入侵策略 (Intrusion Policy)
	入侵策略 (Intrusion Policy )（续）
	入侵策略 (Intrusion Policy )（续）
	入侵策略 (Intrusion Policy )（续）
	规则操作 (Rule Action)
	字符串块类型 (0) (String Block Type (0))																																NetBIOS 域
	字符串块长度 (String Block Length)
	NetBIOS 域...(NetBIOS Domain...)
	URL 类别 (URL Category)
	URL 信誉 (URL Reputation)
	字符串块类型 (0) (String Block Type (0))																																URL
	字符串块长度 (String Block Length)
	URL...
	客户 ID (Client ID)
	字符串块类型 (0) (String Block Type (0))																																客户端版本
	字符串块长度 (String Block Length)
	客户端版本...(Client Version...)
	访问控制策略版本 (Access Control Policy Revision)
	访问控制策略版本 (Access Control Policy Revision)（续）
	访问控制策略版本 (Access Control Policy Revision)（续）
	访问控制策略版本 (Access Control Policy Revision)（续）
	访问控制规则 ID (Access Control Rule ID)
	入口接口 UUID (Ingress Interface UUID)
	入口接口 UUID (Ingress Interface UUID)（续）
	入口接口 UUID (Ingress Interface UUID)（续）
	入口接口 UUID (Ingress Interface UUID)（续）
	出口接口 UUID (Egress Interface UUID)
	出口接口 UUID (Egress Interface UUID)（续）
	出口接口 UUID (Egress Interface UUID)（续）
	出口接口 UUID (Egress Interface UUID)（续）
	入口区 UUID (Ingress Zone UUID)
	入口区 UUID (Ingress Zone UUID)（续）
	入口区 UUID (Ingress Zone UUID)（续）
	入口区 UUID (Ingress Zone UUID)（续）
	出口区 UUID (Egress Zone UUID)
	出口区 UUID (Egress Zone UUID)（续）
	出口区 UUID (Egress Zone UUID)（续）
	出口区 UUID (Egress Zone UUID)（续）
	源 IPv6 地址 (Source IPv6 Address)
	源 IPv6 地址 (Source IPv6 Address)（续）
	源 IPv6 地址 (Source IPv6 Address)（续）
	源 IPv6 地址 (Source IPv6 Address)（续）
	目的 IPv6 地址 (Destination IPv6 Address)
	目标 IPv6 地址 (Destination IPv6 Address)（续）
	目标 IPv6 地址 (Destination IPv6 Address)（续）
	目标 IPv6 地址 (Destination IPv6 Address)（续）
	源国家/地区 (Source Country)																目标国家/地区 (Destination Country)
	安全情报 UUID (Security Intelligence UUID)
	安全情报 UUID (Security Intelligence UUID)（续）
	安全情报 UUID (Security Intelligence UUID)（续）
	安全情报 UUID (Security Intelligence UUID)（续）
	安全情景 (Security Context)
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	SSL 策略 ID (SSL Policy ID)
	SSL 策略 ID (SSL Policy ID)（续）
	SSL 策略 ID (SSL Policy ID)（续）
	SSL 策略 ID (SSL Policy ID)（续）
	SSL 规则 ID (SSL Rule ID)（续）
	SSL 实际操作 (SSL Actual Action)
	SSL 流状态 (SSL Flow Status)
	SSL 证书指纹 (SSL Certificate Fingerprint)
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）

请注意，记录结构包含一个字符串块类型，该数据块为系列 1 中的数据块。有关系列 1 数据块的信息，请参阅了解发现（系列 1）块。

表 3-25 关联事件 5.4+ 数据字段
字段	数据类型	说明
关联块类型 (Correlation Block Type)	uint32	表示随后的关联事件数据块。此字段的值始终为 156。请参阅了解发现（系列 1）块。
关联块长度 (Correlation Block Length)	uint32	关联数据块的长度，包括关联块类型和长度的 8 个字节加上随后的关联数据。
设备 ID (Device ID)	uint32	生成关联事件的受管设备或管理中心的内部标识号。值 0 表示管理中心。您可以通过请求版本 3 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。
（关联）事件秒 ((Correlation) Event Second)	uint32	表示生成关联事件的时间的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
事件 ID (Event ID)	uint32	关联事件标识号。
策略 ID (Policy ID)	uint32	违反的关联策略的标识号。有关如何从数据库获取策略标识号的信息，请参阅服务记录。
规则 ID (Rule ID)	uint32	触发策略违规事件的关联规则的标识号。有关如何从数据库获取策略标识号的信息，请参阅服务记录。
优先级 (Priority)	uint32	分配给事件的优先级。该项是从 0 到 5 的整数值。
字符串块类型 (String Block Type)	uint32	启动包含关联违规事件说明的字符串数据块。此值始终设置为 0。有关字符串块的详细信息，请参阅字符串数据块。
字符串块长度 (String Block Length)	uint32	事件说明字符串块中的字节数，包括字符串块类型的四个字节，字符串块长度的四个字节加上说明中的字节数。
说明 (Description)	字符串	关联事件的说明。
事件类型 (Event Type)	uint8	表示关联事件是由入侵事件、主机发现事件还是用户事件触发的： 1 - 入侵 2 - 主机发现 3 - 用户
事件设备 ID (Event Device ID)	uint32	生成触发关联事件的事件的设备的标识号。您可以通过请求版本 3 元数据获取设备名称。有关详细信息，请参阅受管设备记录元数据。
签名 ID (Signature ID)	uint32	如果事件为入侵事件，则表示与事件对应的规则识别号。否则，该值为 0。
签名生成器 ID (Signature Generator ID)	uint32	如果事件为入侵事件，则表示生成事件的 Firepower 系统预处理器或规则引擎的 ID 号码。
（触发器）事件秒 ((Trigger) Event Second)	uint32	表示事件触发关联策略规则的时间的 UNIX 时间戳（自 1970/01/01 起经过的秒数）
（触发器）事件微秒 ((Trigger) Event Microsecond)	uint32	检测到事件的微秒（一秒的百万分之一）增量。
事件 ID (Event ID)	uint32	设备思科生成的事件的标识号。
事件定义的掩码 (Event Defined Mask)	bits[32]	此字段中的设置位表示后面消息中哪些是有效的字段。有关每个位值的列表，请参阅表 3-23。
事件影响标志 (Event Impact Flags)	bits[8]	事件的影响标志值。低阶八位表示影响级别。值包括： 0x01（位 0）- 源或目标主机位于系统监控的网络中。 0x02（位 1）- 源或目标主机存在于网络映射中。 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使用IP协议。 0x08（位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。 0x10（位 4）- 有漏洞映射到事件中检测到的服务器。 0x20（位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。 0x40（位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。 0x80（位 7）- 有漏洞映射到事件中检测到的客户端。（仅限版本 5.0+）以下影响级别值映射到管理中心上的特定优先级中。`X` 表示值可以为 0 或 1：灰色（0，未知）：`00X00000` 红色（1，易受攻击）：`XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX` （仅限版本 5.0+）橙色（2，可能易受攻击）：`00X0011X` 黄色（3，当前不易受攻击）：`00X0001X` 蓝色（4，未知目标）：`00X00001`
IP 协议 (IP Protocol)	uint8	与事件关联的 IP 协议的标识符（如适用）。
网络协议 (Network Protocol)	uint16	与事件关联的网络协议（如适用）。
源 IP 地址 (Source IP Address)	uint8[4]	保留此字段，但不再填充。源 IPv4 地址存储在源 IPv6 地址字段中。有关详细信息，请参阅IP 地址。
源主机类型 (Source Host Type)	uint8	源主机的类型： 0 - 主机 1 - 路由器 2 - 网桥
源 VLAN ID (Source VLAN ID)	uint16	源主机的 VLAN 标识号（如适用）。
源操作系统指纹 UUID (Source OS Fingerprint UUID)	uint8[16]	充当源主机操作系统的唯一标识符的指纹 ID 号码。有关获取映射到指纹 ID 的值的信息，请参阅服务记录。
源重要性 (Source Criticality)	uint16	源主机的用户定义临界值： 0 - 无 1 - 低 2 - 中 3 - 高
源用户 ID (Source User ID)	uint32	系统识别的登录源主机的用户的标识号。
源端口 (Source Port)	uint16	事件中的源端口。
源服务器 ID (Source Server ID)	uint32	源主机上运行的服务器的标识号。
目标 IP 地址 (Destination IP Address)	uint8[4]	保留此字段，但不再填充。目标 IPv4 地址存储在目标 IPv6 地址字段中。有关详细信息，请参阅IP 地址。
目标主机类型	uint8	目标主机的类型： 0 - 主机 1 - 路由器 2 - 网桥
目标 VLAN ID (Destination VLAN ID)	uint16	目标主机的 VLAN 标识号（如适用）。
目标操作系统指纹 UUID (Destination OS Fingerprint UUID)	uint8[16]	充当目标主机操作系统的唯一标识符的指纹 ID 号码。有关获取映射到指纹 ID 的值的信息，请参阅服务记录。
目标重要性 (Destination Criticality)	uint16	目标主机的用户定义临界值： 0 - 无 1 - 低 2 - 中 3 - 高
目标用户 ID (Destination User ID)	uint32	系统识别的登录目标主机的用户的标识号。
目标端口 (Destination Port)	uint16	事件中的目标端口。
目标服务 ID (Destination Service ID)	uint32	源主机上运行的服务器的标识号。
影响 (Impact)	uint8	事件的影响标志值。其值如下： `1` - 红色（易受攻击） `2` - 橙色（可能易受攻击） `3` - 黄色（目前不易受攻击） `4` - 蓝色（未知目标） `5` - 灰色（未知影响）
已阻止 (Blocked)	uint8	表示触发入侵事件的数据包发生了什么情况的值。 0 - 未丢弃入侵事件 1 - 已丢弃入侵事件（当部署为内联、交换或路由式部署时丢弃） 2 - 如果已向在内联、交换或路由式部署中配置的设备应用入侵策略，则触发事件的数据包本应已丢弃。
入侵策略 (Intrusion Policy)	uint8[16]	与事件关联的入侵策略的 UUID。
规则操作 (Rule Action)	uint32	针对触发事件的规则在用户界面中选择的操作（允许、阻止等）。
字符串块类型 (String Block Type)	uint32	启动包含 NetBIOS 域的字符串数据块。此值始终设置为 0。有关字符串块的详细信息，请参阅字符串数据块。
字符串块长度 (String Block Length)	uint32	事件说明字符串块中的字节数，包括字符串块类型的四个字节、字符串块长度的四个字节，加上 NetBIOS 域中的字节数。
NetBIOS 域 (NetBIOS Domain)	字符串	NetBIOS 域的名称
URL 类别 (URL Category)	uint32	指示 URL 类别的编号。有关详细信息，请参阅URL 类别记录元数据。
URL 信誉 (URL Reputation)	uint32	URL 信誉的 ID 号码。请参阅 URL 信誉记录元数据
字符串块类型 (String Block Type)	uint32	启动包含 URL 的字符串数据块。此值始终设置为 0。有关字符串块的详细信息，请参阅字符串数据块。
字符串块长度 (String Block Length)	uint32	事件说明字符串块中的字节数，包括字符串块类型的四个字节、字符串块长度的四个字节，加上 URL 中的字节数。
URL	字符串	触发相关事件的 URL。
客户 ID (Client ID)	uint32	检测到事件的客户端的 ID 号码。
字符串块类型 (String Block Type)	uint32	启动包含客户端版本的字符串数据块。此值始终设置为 0。有关字符串块的详细信息，请参阅字符串数据块。
字符串块长度 (String Block Length)	uint32	事件说明字符串块中的字节数，包括字符串块类型的四个字节、字符串块长度的四个字节，加上客户端版本中的字节数。
客户端版本 (Client Version)	字符串	检测到事件的客户端的版本。
访问控制策略版本 (Access Control Policy Revision)	uint8[16]	与触发的关联事件相关的规则版本号。
访问控制规则 ID (Access Control Rule ID)	uint32	触发事件的规则的内部标识符。
入口接口 UUID (Ingress Interface UUID)	uint8[16]	充当与关联事件相关的入口接口的唯一标识符的接口 ID。
出口接口 UUID (Egress Interface UUID)	uint8[16]	充当与关联事件相关的出口接口的唯一标识符的接口 ID。
入口区 UUID (Ingress Zone UUID)	uint8[16]	充当与关联事件相关的入口安全区的唯一标识符的区域 ID。
出口区 UUID (Egress Zone UUID)	uint8[16]	充当与关联事件相关的出口安全区的唯一标识符的区域 ID。
源 IPv6 地址 (Source IPv6 Address)	uint8[16]	事件中源主机的 IP 地址，采用 IPv6 地址八位组。
目的 IPv6 地址	uint8[16]	事件中目标主机的 IP 地址，采用 IPv6 地址八位组。
源国家/地区 (Source Country)	uint16	源主机的国家/地区代码。
目标国家/地区 (Destination Country)	uint16	目标主机的国家/地区代码。
安全情报 UUID (Security Intelligence UUID)	uint8[16]	为安全情报配置的访问控制策略的 UUID。
安全情景 (Security Context)	uint8[16]	流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。
SSL 策略 ID (SSL Policy ID)	uint8[16]	处理连接的 SSL 策略的 ID 编号。
SSL 规则 ID (SSL Rule ID)	uint32	处理连接的 SSL 规则或默认操作的 ID 编号。
SSL 实际操作 (SSL Actual Action)	uint32	根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括： `0` -‘未知’ `1` -‘请勿解密’ `2` -‘阻止’ `3` -‘阻止并重置’ `4` -‘解密（已知密钥）’ `5` -‘解密（更换秘钥）’ `6` -‘解密（放弃）’
SSL 流状态 (SSL Flow Status)	uint32	SSL 流量的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括： `0` -‘未知’ `1` -‘不匹配’ `2` -‘成功’ `3` -‘非缓存会话’ `4` -‘未知密码套件’ `5` -‘不受支持的密码套件’ `6` -‘不受支持的 SSL 版本’ `7` -‘使用的 SSL 压缩’ `8` -‘在被动模式中无法解密的会话’ `9` -‘握手错误’ `10` -‘解密错误’ `11` -‘待处理服务器名称分类查找’ `12` -‘待处理通用名称分类查找’ `13` -‘内部错误’ `14` -‘网络参数不可用’ `15` -‘服务器证书处理无效’ `16` -‘服务器证书指纹不可用’ `17` -‘无法缓存持有者 DN’ `18` -‘无法缓存颁发者 DN’ `19` -‘未知 SSL 版本’ `20` -‘外部证书列表不可用’ `21` -‘外部证书指纹不可用’ `22` -‘内部证书列表无效’ `23` -‘内部证书列表不可用’ `24` -‘内部证书不可用’ `25` -‘内部证书指纹不可用’ `26` -‘服务器证书验证不可用’ `27` -‘服务器证书验证失败’ `28` -‘操作无效’
SSL 证书指纹 (SSL Certificate Fingerprint)	uint8[20]	SSL 服务器证书的 SHA1 散列。

了解系列 2 数据块

从版本 4.10.0 开始， eStreamer 服务使用第二系列数据块打包入侵事件额外数据等记录。有关该系列中的所有块类型列表，请参阅表 3-26。与系列 1 数据块一样，系列 2 数据块也支持可变长度字段和嵌套式数据块的层次结构。系列 2 数据块类型包括基元数据块，这些基元数据块与系列 1 基元数据块类型提供相同的用于封装嵌套式内部块的机制。但是，系列 2 块与系列 1 块具有不同的编号系统。

以下示例展示如何使用基元数据块。列表数据块（系列 2 块类型 31）定义一个操作系统指纹数组（每个指纹本身都是一个具有可变长度的类型 87 数据块）。类型 31 数据块的总体长度通过数据块长度 (Data Block Length) 字段进行自描述，包含消息的数据部分的长度，不包括块类型和块长度字段中的 8 个字节。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	列表数据块类型 (2) (List Data Block Type (2))
	数据块长度 (Data Block Length)
服务器指纹 (Server Fingerprints)	操作系统指纹块类型 (87) (Operating System Fingerprint Block Type (87))*
	操作系统指纹块长度 (Operating System Fingerprint Block Length)
	操作系统服务器指纹数据... (Operating System Server Fingerprint Data...)

在下表中，“数据块状态”(Data Block Status) 字段指示该块是当前版本（最新版本）还是旧版本（在较旧的版本中使用，但仍可以通过 eStreamer 请求）。

表 3-26 系列 2 块类型
类型	内容	数据块状态	说明
0	字符串	当前	封装可变字符串数据。有关详细信息，请参阅字符串数据块。
1	BLOB	当前	封装二进制数据，专门用于横幅。有关详细信息，请参阅BLOB 数据块。
2	列表	当前	封装其他数据块列表。有关详细信息，请参阅列表数据块。
3	通用列表	当前	封装其他数据块列表。对于反序列化，它相当于列表数据块。有关详细信息，请参阅通用列表数据块。
4	事件额外数据	当前	包含入侵事件额外数据。有关详细信息，请参阅入侵事件额外数据记录。
5	额外数据类型	当前	包含额外数据元数据。有关详细信息，请参阅入侵事件额外数据元数据。
14	UUID 字符串映射	当前	各种元数据消息将 UUID 值映射到描述性字符串时使用的块。请参阅UUID 字符串映射数据块。
15	访问控制策略规则 ID 元数据	当前	包含访问控制规则的元数据。请参阅访问控制策略规则 ID 元数据块。
16	恶意软件事件	传统	包含有关恶意软件事件的信息，如在思科高级恶意软件防护云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户。请参阅恶意软件事件数据块 5.1。被块 24 否决，恶意软件事件数据块 5.3.1。
19	ICMP 类型数据块	当前	包含描述 ICMP 类型的元数据。请参阅ICMP 类型数据块。
20	ICMP 代码数据块	当前	包含描述 ICMP 代码的元数据。请参阅ICMP 代码数据块。
21	访问控制策略规则原因数据块	当前	包含解释访问控制策略规则原因的信息。请参阅用于 6.0+ 的访问控制策略规则原因数据块。
22	IP 信誉类别数据块	当前	包含有关 IP 信誉类别（解释 IP 地址被阻止的原因）的信息。请参阅访问控制策略名称数据块。
23	文件事件	传统	包含有关文件事件的信息，如文件的源、SHA 散列以及处置情况。请参阅用于 5.1.1.x 的文件事件。它被块 32 替代，访问控制策略规则 ID 元数据块。
24	恶意软件事件	传统	包含恶意软件事件的信息，如在内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户。请参阅恶意软件事件数据块 5.1.1.x。否决块 16，恶意软件事件数据块 5.1。被块 33 否决，恶意软件事件数据块 5.3.1。
25	入侵事件	传统	包含有关入侵事件的信息，包括将入侵事件与连接事件和恶意软件事件匹配的信息。请参阅入侵事件记录 5.1.1.x。被块 34 否决，入侵事件记录 5.2.x。
26	文件事件 SHA 散列	传统	包含已识别为包含恶意软件的文件的 SHA 散列和名称。请参阅用于 5.1.1-5.2.x 的文件事件 SHA 散列。被块 40 否决，用于 5.3+ 的文件事件 SHA 散列。
27	规则文档数据块	当前	包含有关用于生成事件的规则的信息。有关详细信息，请参阅用于 5.2+ 的规则文档数据块。
28	地理位置数据块	当前	包含国家/地区代码及相应的国家/地区名称。请参阅用于 5.2+ 的地理位置数据块。
32	文件事件	传统	包含有关文件事件的信息，如文件的源、SHA 散列以及处置情况。请参阅用于 5.2 的文件事件。它否决用于 5.1.1.x 的文件事件。被块 38 否决，用于 5.3 的文件事件。
33	恶意软件事件	当前	包含恶意软件事件的信息，如在内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户。请参阅恶意软件事件数据块 5.2.x。否决块 24，恶意软件事件数据块 5.1.1.x。被块 35 否决，恶意软件事件数据块 5.3。
34	入侵事件	传统	包含有关入侵事件的信息，包括将入侵事件与连接事件和恶意软件事件匹配的信息。请参阅入侵事件记录 5.2.x。否决块 25。被块 41 否决，入侵事件记录 5.3。
35	恶意软件事件	传统	包含有关恶意软件事件的信息，包括 IOC 信息。请参阅恶意软件事件数据块 5.3。否决块 33，恶意软件事件数据块 5.2.x。被块 44 否决，恶意软件事件数据块 5.3。
38	文件事件	传统	包含有关文件事件的信息，如文件的源、SHA 散列以及处置情况。请参阅用于 5.3 的文件事件。它否决块 32。被块 43 否决，恶意软件事件数据块 6.0+。
39	IOC 名称数据块	当前	包含有关 IOC 的信息。请参阅用于 5.3+ 的 IOC 名称数据块
40	文件事件 SHA 散列	当前	包含已识别为包含恶意软件的文件的 SHA 散列和名称。请参阅用于 5.3+ 的文件事件 SHA 散列。否决块 26，用于 5.1.1-5.2.x 的文件事件 SHA 散列。
41	入侵事件	传统	包含有关入侵事件的信息，包括将入侵事件与 IOC 匹配的信息。请参阅入侵事件记录 5.3。否决块 34。被块 42 否决，入侵事件记录 5.3.1。
42	入侵事件	当前	包含有关入侵事件的信息，包括将入侵事件与 IOC 匹配的信息。请参阅入侵事件记录 5.3.1。否决块 41，入侵事件记录 5.3。
43	文件事件	传统	包含有关文件事件的信息，如文件的源、SHA 散列以及处置情况。请参阅用于 5.3.1 的文件事件。否决块 38，用于 5.3 的文件事件。被块 46 否决，用于 6.0+ 的文件事件
44	恶意软件事件	传统	包含有关恶意软件事件的信息，包括 IOC 信息。请参阅恶意软件事件数据块 6.0+。否决块 35，恶意软件事件数据块 5.3。被块 47 否决，恶意软件事件数据块 6.0+
46	文件事件	当前	包含有关文件事件的信息，如文件的源、SHA 散列以及处置情况。请参阅恶意软件事件数据块 6.0+。否决块 43，用于 5.3.1 的文件事件。
47	恶意软件事件	当前	包含有关恶意软件事件的信息，包括 IOC 信息。请参阅恶意软件事件数据块 6.0+。否决块 44，恶意软件事件数据块 5.3.1。

系列 2 基元数据块

系列 2 和系列 1 块都包含一组用于封装可变长度块列表以及消息中的可变长度字符串和 BLOB 的基元。基元数据块具有在上文数据块报头中讨论的标准 eStreamer 块报头，但它们仅出现在其他数据块中。给定的块类型可以包含任何数字。有关这些块的结构的详细信息，请参阅以下内容：

字符串数据块

eStreamer 服务使用字符串数据块发送消息中的字符串数据。这些块常出现在其他数据块中，用于识别，例如，操作系统或服务器名称。

空字符串数据块（不包含任何数据，只有报头字段）的块长度为 8。eStreamer 在字符串值没有任何内容时使用空字符串数据块，出现这种情况的一个例子是，操作系统的供应商未知时操作系统数据块中的操作系统供应商字符串字段。

字符串数据块的块类型为系列 2 数据块组中的 0。

注此数据块中返回的字符串不总是以空值终止（即字符串字符后面不总是 0）。

下图显示字符串数据块的格式：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	数据块类型 (0) (Data Block Type (0))
	数据块长度 (Data Block Length)
	字符串数据... (String Data...)

下表对字符串数据块的字段进行了说明。

表 3-27 字符串块字段
字段	数据类型	说明
数据块类型 (Data Block Type)	uint32	启动字符串数据块。值始终为 `0` 。
数据块长度 (Data Block Length)	uint32	字符串数据块报头与字符串数据的总长度（字节数）。
字符串数据 (String Data)	字符串	包含字符串数据，且可能在字符串结尾包含一个终止字符（空字节）。

BLOB 数据块

eStreamer 服务使用 BLOB 数据块传送二进制数据。例如，主机发现记录使用 BLOB 块承载捕获的服务器横幅。BLOB 数据块的块类型为系列 2 数据块组中的 1。

下图显示 BLOB 数据块的格式：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	数据块类型 (1) (Data Block Type (0))
	数据块长度 (Data Block Length)
	二进制数据... (Binary Data...)

下表对 BLOB 数据块的字段进行了说明。

表 3-28 BLOB 数据块字段
字段	数据类型	说明
数据块类型 (Data Block Type)	uint32	启动 BLOB 数据块。值始终为 `1` 。
数据块长度 (Data Block Length)	uint32	BLOB 数据块中的字节数，包括 BLOB 块类型和长度字段的八个字节，加上随后的二进制数据的长度。
二进制数据 (Binary Data)	变量	包含服务器横幅等二进制数据。

列表数据块

eStreamer 服务使用列表数据块封装数据块列表。例如，eStreamer 可以使用列表数据块发送 TCP 服务器列表，每个 TCP 服务器本身就是一个数据块。列表数据块的块类型为系列 2 数据块组中的 2。

下图显示列表数据块的基本格式：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	块类型 (2) (Block Type (2))
	块长度 (Block Length)
	封装数据块数... (Encapsulated Data Blocks...)

下表对列表数据块的字段进行了说明。

表 3-29 列表数据块字段
字段	数据类型	说明
块类型 (Block Type)	uint32	启动列表数据块。值始终为 `2` 。
块长度 (Block Length)	uint32	列表块和封装数据中的字节数。例如，如果列表中包含三个子服务器数据块，则此处的值包含子服务器数据块中的字节总数，加上列表块报头的八个字节。
封装数据块数 (Encapsulated Data Blocks)	变量	封装数据块数最多可以是列表块长度中的最大字节数。

通用列表数据块

eStreamer 服务使用通用列表数据块封装数据块列表。例如，主机配置文件数据块包含有关多个客户端应用的信息，并使用通用列表数据块在消息中嵌入客户端应用数据块列表。通用列表数据块的块类型为系列 2 数据块组中的 3。

下图显示通用列表数据块的基本结构：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	数据块类型 (3) (Data Block Type (3))
	数据块长度 (Data Block Length)
	封装数据块数... (Encapsulated Data Blocks...)

下表对通用列表数据块的字段进行了说明。

表 3-30 通用列表数据块字段
字段	字节数	说明
数据块类型 (Data Block Type)	uint32	启动通用列表数据块。值始终为 `3` 。
数据块长度 (Data Block Length)	uint32	通用列表块和封装数据块中的字节数。此数字包括通用列表块报头字段的八个字节，加上所有封装数据块中的字节总数。
封装数据块数 (Encapsulated Data Blocks)	变量	封装数据块数最多可以是通用列表块长度中的最大字节数。

UUID 字符串映射数据块

eStreamer 服务使用各种元数据消息中的 UUID 字符串映射数据块，将 UUID 值映射到描述性字符串。UUID 字符串映射数据块的块类型为系列 2 中的 14。

下图显示 UUID 字符串映射数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	UUID 字符串映射块类型 (14) (UUID String Mapping Block Type (14))
	UUID 字符串映射块长度 (UUID String Mapping Block Length)
	UUID
	UUID（续）
	UUID（续）
	UUID（续）
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	名称...(Name...)

下表对 UUID 字符串映射数据块中的字段进行了说明。

表 3-31 UUID 字符串映射数据块字段
字段	数据类型	说明
UUID 字符串映射块类型 (UUID String Mapping Block Type)	uint32	启动 UUID 字符串映射块。值始终为 `14` 。
UUID 字符串映射块长度 (UUID String Mapping Block Length)	uint32	UUID 字符串映射块中的字节总数，包括 UUID 字符串映射块类型和长度字段的八个字节，加上随后的数据字节数。
UUID	uint8[16]	UUID 识别的事件或其他对象的唯一标识符。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含与 UUID 相关的描述性名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“名称”(Name) 字段中的字节数。
名称 (Name)	字符串	描述性名称。

名称说明映射数据块

eStreamer 服务使用各种元数据消息中的名称说明映射数据块，将 ID 值映射到名称和描述性字符串。名称说明映射数据块的块类型为系列 2 中的 61。

下图显示名称说明映射数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	名称说明映射块类型 (61) (Name Desciption Mapping Block Type (61))
	名称说明块长度 (Name Description Block Length)
	ID
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	名称... (Name...)
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	说明...(Description...)

下表对名称说明映射数据块中的字段进行了说明。

表 3-32 名称说明映射数据块字段
字段	数据类型	说明
名称说明映射块类型 (Name Description Mapping Block Type)	uint32	启动名称说明映射块。值始终为 `61` 。
名称说明映射块长度 (Name Description Mapping Block Length)	uint32	名称说明映射块中的字节总数，包括名称说明映射块类型和长度字段的八个字节，加上随后的数据字节数。
ID	unit32	ID 识别的事件或其他对象的唯一标识符。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含与 ID 相关的名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“名称”(Name) 字段中的字节数。
名称 (Name)	字符串	事件或对象的名称。
字符串块类型 (String Block Type)	uint32	启动包含与 ID 相关的说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“说明”(Description) 字段中的字节数。
说明 (Description)	字符串	对与 ID 相关的对象或事件的说明。

访问控制策略规则 ID 元数据块

eStreamer 服务用访问控制策略规则 ID 元数据块包含有关访问控制策略规则 ID 的信息。此数据块的块类型为系列 2 中的 15。

下图显示访问控制策略规则 ID 元数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	访问控制策略规则 ID 元数据块类型 (15) (Access Control Policy Rule ID Metadata Block Type (15))
	访问控制策略规则 ID 元数据块长度 (Access Control Policy Rule ID Metadata Block Length)
	修订版 (Revision)
	修订版 (Revision)（续）
	修订版 (Revision)（续）
	修订版 (Revision)（续）
	规则 ID (Rule ID)
名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	名称...(Name...)

下表对访问控制策略规则 ID 元数据块中的字段进行了说明。

表 3-33 访问控制策略规则 ID 元数据块字段
字段	数据类型	说明
访问控制策略规则 ID 元数据块类型 (Access Control Policy Rule ID Metadata Block Type)	uint32	启动访问控制策略规则 ID 元数据块。值始终为 `15` 。
访问控制策略规则 ID 元数据块长度 (Access Control Policy Rule ID Metadata Block Length)	uint32	访问控制策略规则 ID 块中的字节总数，包括访问控制策略规则 ID 元数据块类型和长度字段的八个字节，加上随后的数据的字节数。
修订版 (Revision)	uint8[16]	与触发的关联事件相关的规则版本号。
规则 ID (Rule ID)	uint32	触发事件的规则的内部标识符。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含与访问控制策略规则相关的描述性名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“名称”(Name) 字段中的字节数。
名称 (Name)	字符串	访问控制策略规则的描述性名称。

ICMP 类型数据块

eStreamer 服务使用 ICMP 类型数据块包含有关 ICMP 类型的信息。此数据块的记录类型为系列 2 中的 260，块类型为系列 2 中的 19。

下图显示 ICMP 类型数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (260) (Record Type (260))
	ICMP 类型数据块类型 (19) (ICMP Type Data Block Type (19))
	ICMP 类型数据块长度 (ICMP Type Data Block Length)
	类型 (Type)																协议 (Protocol)
说明	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	说明...(Description...)

下表对 ICMP 类型数据块中的字段进行了说明。

表 3-34 ICMP 类型数据块字段
字段	数据类型	说明
ICMP 类型数据块类型 (ICMP Type Data Block Type)	uint32	启动 ICMP 类型数据块。值始终为 `19` 。
ICMP 类型数据块长度 (ICMP Type Data Block Length)	uint32	ICMP 类型数据块中的字节总数，包括 ICMP 类型数据块类型和长度字段的八个字节，加上随后的数据字节数。
类型 (Type)	uint16	事件的 ICMP 类型。
协议 (Protocol)	uint16	IANA 指定的协议号。例如： `0` - IP `1` - ICMP `6` - TCP `17` - UDP
字符串块类型 (String Block Type)	uint32	启动包含对 ICMP 类型的说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上说明 (Description) 字段中的字节数。
说明 (Description)	字符串	对事件的 ICMP 类型的说明。

ICMP 代码数据块

eStreamer 服务用 ICMP 代码数据块包含有关访问控制策略规则 ID 的信息。此数据块的记录类型为系列 2 中的 270，块类型为系列 2 中的 20。

下图显示访问控制策略规则 ID 元数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (270) (Record Type (270))
	ICMP 代码数据块类型 (20) (ICMP Code Data Block Type (20))
	ICMP 代码数据块长度 (ICMP Code Data Block Length)
	代码 (Code)																类型 (Type)
说明	协议 (Protocol)																字符串块类型 (0) (String Block Type (0))
	字符串块类型 (0) (String Block Type (0))（续）																字符串块长度 (String Block Length)
	字符串块长度 (String Block Length)（续）																说明... (Description...)

下表对 ICMP 代码数据块中的字段进行了说明。

表 3-35 ICMP 代码数据块字段
字段	数据类型	说明
ICMP 代码数据块类型 (ICMP Code Data Block Type)	uint32	启动 ICMP 代码数据块。值始终为 `20` 。
ICMP 代码数据块长度 (ICMP Code Data Block Length)	uint32	ICMP 代码数据块中的字节总数，包括 ICMP 代码数据块类型和长度字段的八个字节，加上随后的数据字节数。
代码 (Code)	uint16	事件的 ICMP 代码。
类型 (Type)	uint16	事件的 ICMP 类型。
协议 (Protocol)	uint16	IANA 指定的协议号。例如： `0` - IP `1` - ICMP `6` - TCP `17` - UDP
字符串块类型 (String Block Type)	uint32	启动包含对 ICMP 代码的说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上说明 (Description) 字段中的字节数。
说明 (Description)	字符串	对事件的 ICMP 代码的说明。

用于 5.4.1+ 的安全情报类别元数据

eStreamer 服务可传输包含⁪安全情报类别信息的元数据，格式如下所示。请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 282 ，表示⁪
安全情报类别记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (282) (Record Type (282))
	记录长度 (Record Length)
	⁪安全情报 UUID (Security Intelligence UUID)
	安全情报 UUID (Security Intelligence UUID)（续）
	安全情报 UUID (Security Intelligence UUID)（续）
	安全情报 UUID (Security Intelligence UUID)（续）
	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	安全情报类别... (Security Intelligence Category...)

下表对安全情景名称记录中的字段进行了说明。

表 3-36 安全情景名称记录字段
字段	数据类型	说明
安全情报 UUID (Security Intelligence UUID)	uint8[16]	安全情报的 UUID。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含安全情报类别的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	安全情报类别字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“配置文件名称” (File Name) 字段中的字节数。
安全情报类别 (Security Intelligence Category)	字符串	安全情报类别。

用于 6.0+ 的领域元数据

eStreamer 服务可传输包含领域信息的元数据，格式如下所示。请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 300 ，
表示领域元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (300) (Record Type (300))
	记录长度 (Record Length)
	领域 ID (Realm ID)
	领域名称长度 (Realm Name Length)
	领域名称... (Realm Name...)

下表对领域元数据记录中的字段进行了说明。

表 3-37 领域元数据记录字段
字段	数据类型	说明
领域 ID (Realm ID)	uint32	领域的唯一 ID 号码。此字段是此记录的唯一密钥。
领域名称长度 (Realm Name Length)	uint32	“领域名称”(Realm Name) 中包含的字节数。
领域名称 (Realm Name)	字符串	领域名称

用于 6.0+ 的终端配置文件数据块

eStreamer 服务使用终端配置文件数据块来包含有关网络终端的信息。此数据块的记录类型为系列 2 中的 301，块类型为系列 2 中的 58。

下图显示访问控制策略规则 ID 元数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (301) (Record Type (301))
	终端配置文件块类型 (58) (Endpoint Profile Block Type (58))
	终端配置文件数据块长度 (Endpoint Profile Data Block Length)
	ID
配置文件名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	配置文件名称... (Profile Name...)
全称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	全名...(Full Name...)

下表对终端配置文件数据块中的字段进行了说明。

表 3-38 终端配置文件数据块字段
字段	数据类型	说明
终端配置文件数据块类型 (Endpoint Profile Data Block Type)	uint32	启动终端配置文件数据块。值始终为 `58` 。
终端配置文件数据块长度 (Endpoint Profile Data Block Length)	uint32	终端配置文件数据块中的字节总数，包括终端配置文件数据块类型和长度字段的八个字节，加上随后的数据字节数。
ID	uint32	终端的 ID 号码。
字符串块类型 (String Block Type)	uint32	启动包含终端的配置文件的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	配置文件名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“配置文件名称”(Profile Name) 字段中的字节数。
配置文件名称 (Profile Name)	字符串	终端配置文件的名称。
字符串块类型 (String Block Type)	uint32	启动包含终端的全名的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	全名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“全名”(Full Name) 字段中的字节数。
全称 (Full Name)	字符串	配置文件的完全限定名称，提供该类型终端的关系层次结构。

用于 6.0+ 的安全组元数据

eStreamer 服务可传输包含⁪安全组信息的元数据，格式如下所示。请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 302 ，表示安全
组元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (302) (Record Type (302))
	记录长度 (Record Length)
	安全组 ID (Security Group ID)
	安全组名称长度 (Security Group Name Length)
	安全组名称... (Security Group Name...)

下表对安全组元数据记录中的字段进行了说明。

表 3-39 安全组元数据记录字段
字段	数据类型	说明
安全组 ID (Security Group ID)	uint32	安全组的 ID 号码。此字段是此记录的唯一密钥。
安全组名称长度 (Security Group Name Length)	uint32	“安全组名称”(Security Group Name) 中包含的字节数。
安全组名称 (Security Group Name)	字符串	安全组名称

用于 6.0+ 的 DNS 记录类型元数据

eStreamer 服务可传输包含 DNS 记录类型信息的元数据，格式如下所示。请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 320 ，表示 DNS 记录类型元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (320) (Record Type (161))
	记录长度 (Record Length)
	名称说明块类型 (61) (Name Description Block Type (61))
	名称说明数据块长度 (Name Description Data Block Length)
	DNS 记录 ID (DNS Record ID)
DNS 记录类型名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	DNS 记录类型名称... (DNS Record Type Name...)
DNS 记录类型说明 (DNS Record Type Description)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	DNS 记录类型说明... (DNS Record Type Description...)

下表对 DNS 记录类型元数据记录中的字段进行了说明。

表 3-40 DNS 记录类型元数据字段
字段	数据类型	说明
名称说明数据块类型 (Name Description Data Block Type)	uint32	启动名称说明数据块。值始终为 `61` 。
名称说明数据块长度 (Name Description Data Block Length)	uint32	名称说明数据块中的字节总数，包括名称说明数据块类型和长度字段的八个字节，加上随后的数据的字节数。
DNS 记录 ID (DNS Record ID)	uint32	DNS 记录的 ID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含 DNS 记录类型名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	DNS 记录类型名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“DNS 记录类型名称” (DNS Record Type Name) 字段中的字节数。
DNS 记录类型名称 (DNS Record Type Name)	字符串	DNS 记录类型的名称。
字符串块类型 (String Block Type)	uint32	启动包含 DNS 记录类型说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	DNS 记录类型说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“DNS 记录类型说明” (DNS Record Type Description) 字段中的字节数。
DNS Record Type Description	字符串	DNS 记录类型的说明。

用于 6.0+ 的 DNS 响应类型元数据

eStreamer 服务可传输 DNS 响应类型元数据，格式如下所示。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 321 ，表示 DNS 响应类型元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (321) (Record Type (161))
	记录长度 (Record Length)
	名称说明块类型 (61) (Name Description Block Type (61))
	名称说明数据块长度 (Name Description Data Block Length)
	DNS 响应 ID (DNS Response ID)
DNS 响应类型名称 (DNS Response Type Name)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	DNS 响应类型名称... (DNS Response Type Name...)
DNS 响应类型说明 (DNS Response Type Description)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	DNS 响应类型说明 (DNS Response Type Description...)

下表对 DNS 响应类型元数据记录中的字段进行了说明。

表 3-41 DNS 响应类型元数据字段
字段	数据类型	说明
名称说明数据块类型 (Name Description Data Block Type)	uint32	启动名称说明数据块。值始终为 `61` 。
名称说明数据块长度 (Name Description Data Block Length)	uint32	名称说明数据块中的字节总数，包括名称说明数据块类型和长度字段的八个字节，加上随后的数据的字节数。
DNS 响应 ID (DNS Response ID)	uint32	DNS 响应的 ID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含 DNS 响应类型名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	DNS 响应类型名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“DNS 响应类型名称” (DNS Response Type Name) 字段中的字节数。
DNS 响应类型名称 (DNS Response Type Name)	字符串	DNS 响应类型的名称。
字符串块类型 (String Block Type)	uint32	启动包含 DNS 响应类型说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	DNS 响应类型说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“DNS 响应类型说明”(DNS Response Type Description) 字段中的字节数。
DNS 响应类型说明 (DNS Response Type Description)	字符串	DNS 响应类型的说明。

用于 6.0+ 的 Sinkhole 元数据

eStreamer 服务可传输包含 Sinkhole 信息的元数据，格式如下所示。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 322 ，表示 Sinkhole 元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (322) (Record Type (322))
	记录长度 (Record Length)
	UUID 字符串数据块类型 (14) (UUID String Data Block Type (14))
	UUID 字符串数据块长度 (UUID String Data Block Length)
	Sinkhole UUID
	Sinkhole UUID（续）
	Sinkhole UUID（续）
	Sinkhole UUID（续）
Sinkhole 名称 (Sinkhole Name)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	Sinkhole 名称... (Sinkhole Name...)

下表对 Sinkhole 元数据记录中的字段进行了说明。

表 3-42 Sinkhole 元数据记录字段
字段	数据类型	说明
UUID 字符串数据块类型 (UUID String Data Block Type)	uint32	启动 UUID 字符串数据块。值始终为 `14` 。
UUID 字符串数据块长度 (UUID String Data Block Length)	uint32	UUID 字符串数据块中的字节总数，包括 UUID 字符串数据块类型和长度字段的八个字节，加上随后的数据字节数。
Sinkhole UUID	uint8[16]	Sinkhole 的 UUID 号码。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含 Sinkhole 名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	Sinkhole 名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“Sinkhole 名称” (Sinkhole Name) 字段中的字节数。
Sinkhole 名称 (Sinkhole Name)	字符串	Sinkhole 的名称。

用于 6.0+ 的 Netmap 域元数据

eStreamer 服务可传输包含⁪ Netmap 域信息的元数据，格式如下所示。请注意，“记录类型”
(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 350 ，表示 Netmap 域元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (350) (Record Type (350))
	记录长度 (Record Length)
	Netmap 域 ID (Netmap Domain ID)
	Netmap 域名长度 (Netmap Domain Name Length)
	Netmap 域名... (Netmap Domain Name...)

下表对 Netmap 域元数据记录中的字段进行了说明。

表 3-43 Sinkhole 元数据记录字段
字段	数据类型	说明
Netmap 域 ID (Netmap Domain ID)	uint32	Netmap 域的 ID 号码。此字段是此记录的唯一密钥。
Netmap 域名长度 (Netmap Domain Name Length)	uint32	“Netmap 域名”(Netmap Domain Name) 中包含的字节数。
Netmap 域名 (Netmap Domain Name)	字符串	Netmap 域名

用于 6.0+ 的访问控制策略规则原因数据块

eStreamer 服务用访问控制规则策略规则原因数据块包含有关访问控制策略规则 ID 的信息。
此数据块的记录类型为系列 2 中的 124，块类型为系列 2 中的 59。它替代了块类型 21。
“原因”(Reason) 字段已从 16 位增加至 32 位。

下图显示访问控制策略规则 ID 元数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (124) (Record Type (124))
	访问控制策略规则原因数据块类型 (59) (Access Control Policy Rule Reason Data Block Type (59))
	访问控制策略规则原因数据块长度 (Access Control Policy Rule Reason Data Block Length)
	原因 (Reason)
说明	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	说明...(Description...)

下表对访问控制策略规则原因数据块中的字段进行了说明。

表 3-44 访问控制策略规则原因数据块字段
字段	数据类型	说明
访问控制策略规则原因数据块类型 (Access Control Policy Rule Reason Data Block Type)	uint32	启动访问控制策略规则原因数据块。值始终为 `59` 。
访问控制策略规则原因数据块长度 (Access Control Policy Rule Reason Data Block Length)	uint32	访问控制策略规则原因数据块中的字节总数，包括访问控制策略规则原因数据块类型和长度字段的八个字节，加上随后的数据的字节数。
原因 (Reason)	uint32	触发事件的规则的原因编号。规则原因是一个可以在其中设置多个位的二进制位图。规则可能有多种原因。位值如下： 1 - IP 阻止 2 - IP 监控 4 - 用户绕行 8 - 文件监控 16 - 文件阻止 32 - 入侵监控 64 - 入侵阻止 128 - 阻止继续传输文件 256 - 允许继续传输文件 512 - 文件自定义检测 1024 - SSL 阻止 2048 - DNS 阻止 4096 - DNS 监控 8192 - URL 阻止 16384 - URL 监控 32768 - 内容限制 65536 - 智能应用绕行 131072 - WSA 威胁
字符串块类型 (String Block Type)	uint32	启动包含访问控制策略规则原因的说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上说明 (Description) 字段中的字节数。
说明 (Description)	字符串	规则原因的说明。

访问控制策略名称数据块

eStreamer 服务用访问控制策略名称数据块包含有关访问控制策略名称的信息。此数据块的块类型为系列 2 中的 64。

下图显示访问控制策略名称元数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	访问控制策略名称数据块类型 (64) (Access Control Policy Name Data Block Type (64))
	访问控制策略名称数据块长度 (Access Control Policy Name Data Block Length)
	访问控制策略 UUID (Access Control Policy UUID)
	访问控制策略 UUID (Access Control Policy UUID)（续）
	访问控制策略 UUID (Access Control Policy UUID)（续）
	访问控制策略 UUID (Access Control Policy UUID)（续）
	传感器 ID (Sensor ID)
名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	名称...(Name...)

下表对访问控制策略名称元数据块中的字段进行了说明。

表 3-45 访问控制策略策略名称数据块字段
字段	数据类型	说明
访问控制策略名称数据块类型 (Access Control Policy Name Data Block Type)	uint32	启动访问控制策略名称数据块。值始终为 `64` 。
访问控制策略名称数据块长度 (Access Control Policy Name Data Block Length)	uint32	访问控制策略名称数据块中的字节总数，包括访问控制策略名称数据块类型和长度字段的八个字节，加上随后的数据的字节数。
访问控制策略 UUID (Access Control Policy UUID)	uint8[16]	访问控制策略的 UUID
传感器 ID (Sensor ID)	uint32	与访问控制策略关联的传感器的 ID 号码
字符串块类型 (String Block Type)	uint32	启动包含访问控制策略的名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“名称”(Name) 字段中的字节数。
名称 (Name)	字符串	访问控制策略的名称

IP 信誉类别数据块

eStreamer 服务使用 IP 信誉类别数据块包含有关信誉类别的信息。此数据块的块类型为系列 2 中的 22。

下图显示 IP 信誉类别数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	IP 信誉类别数据块类型 (22) (IP Reputation Category Data Block Type (22))
	IP 信誉类别数据块长度 (IP Reputation Category Data Block Length)
	规则 ID (Rule ID)
	策略 UUID (Policy UUID)
	策略 UUID (Policy UUID)（续）
	策略 UUID (Policy UUID)（续）
	策略 UUID (Policy UUID)（续）
说明	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	类别名称... (Category Name...)

下表对 IP 信誉类别数据块中的字段进行了说明。

表 3-46 IP 信誉类别数据块字段
字段	数据类型	说明
IP 信誉类别数据块类型 (IP Reputation Category Data Block Type)	uint32	启动 IP 信誉类别数据块。值始终为 `22` 。
IP 信誉类别数据块长度 (IP Reputation Category Data Block Length)	uint32	IP 信誉类别数据块的字节总数，包括 IP 信誉类别数据块类型和长度字段的八个字节，加上随后的数据字节数。
规则 ID (Rule ID)	uint32	触发事件的规则的内部标识符。
策略 UUID (Policy UUID)	uint8[16]	触发事件的策略的 UUID。
字符串块类型 (String Block Type)	uint32	启动包含对 IP 信誉类别的说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	类别名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“类别名称”(Category Name) 字段中的字节数。
类别名称 (Category Name)	字符串	规则的类别名称。

用于 6.0+ 的文件事件

文件事件数据块包含通过网络发送的文件的相关信息。这包括连接信息，文件是否是恶意软件以及用于识别文件的特定信息。文件事件的块类型为系列 2 数据块组中的 56。它替代了块类型 46。已添加 ISE 集成、文件分析、本地恶意软件分析以及容量处理状态等字段。

您可以通过在事件版本为 5 且事件代码为 111 的请求消息中设置文件事件标志（“请求标志”
(Request Flags) 字段中的位 30）请求文件事件记录。请参阅请求标志。如果您启用位 23，则记录中会包含扩展事件报头。

下图显示文件事件数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	文件事件块类型 (56) (File Event Block Type (56))
	文件事件块长度 (File Event Block Length)
	设备 ID (Device ID)
	连接实例 (Connection Instance)																连接计数器 (Connection Counter)
	连接时间戳 (Connection Timestamp)
	文件事件时间戳 (File Event Timestamp)
	源 IP 地址 (Source IP Address) 源 IP 地址 (Source IP Address) (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）



	目标 IP 地址 (Destination IP Address) 目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）



	处理结果 (Disposition)								SPERO 处置情况 (SPERO Disposition)								文件存储状态 (File Storage Status)								文件分析状态 (File Analysis Status)
	本地恶意软件分析统计信息 (Local Malware Analysis Stat.)								存档文件状态 (Archive File Status)								威胁评分 (Threat Score)								操作 (Action)
	SHA 散列 (SHA Hash)
	SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续）






	文件类型 ID (File Type ID)
文件名	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件名... (File Name...)
	文件大小 (File Size) 文件大小 (File Size)（续）
	文件大小 (File Size) 文件大小 (File Size)（续）
	方向 (Direction)								应用 ID (Application ID)
	应用 ID (App ID)（续）								用户 ID (User ID)
URI	用户 ID (User ID)（续）								字符串块类型 (0) (String Block Type (0))
	字符串块类型 (0) (String Block Type (0))（续）。								字符串块长度 (String Block Length)
	字符串块长度 (String Block Length)（续）								URI...
签名	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	签名... (Signature...)
	源端口 (Source Port)																目标端口 (Destination Port)
	协议 (Protocol)								访问控制策略 UUID (Access Control Policy UUID)
	访问控制策略 UUID (Access Control Policy UUID)（续）
	访问控制策略 UUID (Access Control Policy UUID)（续）访问控制策略 UUID (Access Control Policy UUID)（续）

	访问控制策略 UUID (AC Pol UUID)（续）								源国家/地区 (Source Country)																目标国家 / 地区 (Dst. Country)
	目标国家/地区 (Dst. Country)（续）								Web 应用 ID (Web Application ID)
	Web 应用ID (Web App. ID)（续）								客户端应用 ID (Client Application ID)
	客户端应用ID (Client App. ID)（续）								安全情景 (Security Context)
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Cont.)（续）								SSL 证书指纹 (SSL Certificate Fingerprint)
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Cert. Fpt.)（续）								SSL 实际操作 (SSL Actual Action)																SSL 流状态 (SSL Flow Status)
存档 SHA	SSL 流状态 (SSL Flow Stat.)（续）								字符串块类型 (0) (String Block Type (0))
	字符串块类型 (Str. Blk Type)（续）								字符串长度 (String Length)
	字符串长度 (Str. Length)（续）								存档 SHA... (Archive SHA...)
存档名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	存档名称... (Archive Name...)
	存档深度 (Archive Depth)								HTTP 响应代码...(HTTP Response Code...)
	HTTP 响应代码 (HTTP Response Code)

下表对文件事件数据块中的字段进行了说明。

表 3-47 用于 6.0+ 的文件事件数据块字段
字段	数据类型	说明
文件事件块类型 (File Event Block Type)	uint32	启动文件事件数据块。值始终为 56。
文件事件块长度 (File Event Block Length)	uint32	文件事件块中的字节总数，包括文件事件块类型和长度字段的八个字节，加上随后的数据的字节数。
设备 ID (Device ID)	uint32	生成事件的设备的 ID。
连接实例 (Connection Instance)	uint16	生成事件的设备上的 Snort 实例。用于将该事件与连接或入侵事件相关联。
连接计数器 (Connection Counter)	uint16	用于区别同一秒发生的连接事件的值。
连接时间戳 (Connection Timestamp)	uint32	相关连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
文件事件时间戳 (File Event Timestamp)	uint32	识别文件类型以及生成文件事件时的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
源 IP 地址 (Source IP Address)	uint8[16]	连接源的 IPv4 或 IPv6 地址。
目标 IP 地址 (Destination IP Address)	uint8[16]	连接目标的 IPv4 或 IPv6 地址。
处理结果 (Disposition)	uint8	文件的恶意软件状态。可能的值包括： `1` - CLEAN 文件是安全的，不包含恶意软件。 `2` - UNKNOWN 不确定文件是否包含恶意软件。 `3` - MALWARE 文件包含恶意软件。 `4` - UNAVAILABLE 软件无法向 AMP 云发送请求以了解处置情况，或 AMP 云服务未响应此请求。 `5` - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理。
SPERO 处置情况 (SPERO Disposition)	uint8	表示文件分析中是否使用了 SPERO 签名。如果值为 `1` 、`2` 或 `3` ，则表示使用了 SPERO 分析。如果是任何其他值，则表示未使用 SPERO 分析。
文件存储状态 (File Storage Status)	uint8	文件的存储状态。可能的值如下： `1` - 文件已存储 `2` - 文件已存储 `3` - 无法存储文件 `4` - 无法存储文件 `5` - 无法存储文件 `6` - 无法存储文件 `7` - 无法存储文件 `8` - 文件太大 `9` - 文件太小 `10` - 无法存储文件 `11` - 文件未存储，无法获取处置情况
文件分析状态 (File Analysis Status)	uint8	是否已发送该文件进行动态分析。可能的值如下： `0` - 未发送文件进行分析 `1` - 已发送进行分析 `2` - 已发送进行分析 `4` - 已发送进行分析 `5` - 发送失败 `6` - 发送失败 `7` - 发送失败 `8` - 发送失败 `9` - 文件太小 `10` - 文件太大 `11` - 已发送进行分析 `12` - 分析完成 `13` - 故障（网络问题） `14` - 故障（速率限制） `15` - 故障（文件太大） `16` - 故障（文件读取错误） `17` - 故障（内部库错误） `19` - 文件未发送，无法获取处置情况 `20` - 故障（无法运行文件） `21` - 故障（分析超时） `22` - 已发送进行分析 `23` - 文件传输文件容量已处理 - 由于无法将文件提交到沙盒进行分析而导致文件容量已处理（存储到传感器上） `25` - 文件传输服务器限制超出容量已处理 - 服务器上的速率限制导致文件容量已处理 `26` - 通信故障 - 云连接故障导致文件容量已处理 `27` - 未发送 - 因配置原因导致文件未发送 `28` - 预分类不匹配 - 未发送文件进行动态分析，因为预分类在文件中未找到任何嵌入式或可疑对象 `29` - 传输已发送沙盒私有云 - 已将文件发送到私有云进行动态分析 `30` - 传输未发送沙盒私有云 - 未将文件发送到私有云进行分析
本地恶意软件分析状态 (Local Malware Analysis Status)	uint8	文件的恶意软件分析状态。可能的值包括： `0` - 文件未分析 `1` - 分析完成 `2` - 分析失败 `3` - 手动分析请求
存档文件状态 (Archive File Status)	uint8	正在被检测的存档的状态。可能会有以下值： `0` - 不适用 - 文件没有被作为存档进行检测 `1` - 待处理 - 正在检测存档 `2` - 提取 - 已成功检测，且无任何问题 `3` - 失败 - 检测失败，系统资源不足 `4` - 超出深度 - 成功，但存档超出了嵌套的检测深度 `5` - 加密 - 部分成功，存档已加密或包含加密的存档 `6` - 无法检出 - 部分成功，文件可能已变形或损坏
威胁评分 (Threat Score)	uint8	0 到 100 之间的数值，基于在动态分析期间观察到的潜在恶意行为而打出。
操作 (Action)	uint8	根据文件类型对文件执行的操作。可能会有以下值： `1` - 检测 `2` - 阻止 `3` - 恶意软件云查找 `4` - 恶意软件阻止 `5` - 恶意软件允许列表 `6` - 云查找超时 `7` - 自定义检测 `8` - 自定义检测阻止 `9` - 存档阻止（超出深度） `10` - 存档阻止（已加密） `11` - 存档阻止（检查失败）
SHA 散列 (SHA Hash)	uint8[32]	二进制格式的文件的 SHA-256 散列。
文件类型 ID (File Type ID)	uint32	映射至文件类型的 ID 编号。此字段的含义在随此事件提供的元数据中传输。有关详细信息，请参阅面向终端的 AMP 文件类型元数据。
文件名 (File Name)	字符串	文件的名称。
文件大小 (File Size)	uint64	文件的大小（字节数）。
方向 (Direction)	uint8	指示是否已上传或下载此文件的值。可能会有以下值： `1` - 下载 `2` - 上传目前该值取决于协议（例如，如果连接是 HTTP，则其值为 Download）。
应用 ID (Application ID)	uint32	通过文件传送映射至应用的 ID 编号。
用户 ID (User ID)	uint32	系统识别的登录目标主机的用户的 ID 号码。
URI	字符串	连接的统一资源标识符 (URI)。
签名 (Signature)	字符串	字符串格式的文件的 SHA-256 散列。
源端口 (Source Port)	uint16	连接源的端口号。
目标端口 (Destination Port)	uint16	连接的目标的端口号。
协议 (Protocol)	uint8	用户指定的 IANA 协议号。例如： `1` - ICMP `4` - IP `6` - TCP `17` - UDP 目前仅限 TCP。
访问控制策略 UUID (Access Control Policy UUID)	uint8[16]	触发事件的访问控制策略的唯一标识符。
源国家/地区 (Source Country)	uint16	源主机的国家/地区代码。
目标国家/地区 (Destination Country)	uint16	目标主机的国家/地区代码。
Web 应用 ID (Web Application ID)	uint32	Web 应用（如适用）的内部标别号。
客户端应用 ID (Client Application ID)	uint32	客户端应用（如适用）的内部标别号。
安全情景 (Security Context)	uint8(16)	流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。
SSL 证书指纹 (SSL Certificate Fingerprint)	uint8[20]	SSL 服务器证书的 SHA1 散列。
SSL 实际操作 (SSL Actual Action)	uint16	根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括： `0` -‘未知’ `1` -‘请勿解密’ `2` -‘阻止’ `3` -‘阻止并重置’ `4` -‘解密（已知密钥）’ `5` -‘解密（更换秘钥）’ `6` -‘解密（放弃）’
SSL 流状态 (SSL Flow Status)	uint16	SSL 流的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括： `0` -‘未知’ `1` -‘不匹配’ `2` -‘成功’ `3` -‘非缓存会话’ `4` -‘未知密码套件’ `5` -‘不受支持的密码套件’ `6` -‘不受支持的 SSL 版本’ `7` -‘使用的 SSL 压缩’ `8` -‘在被动模式中无法解密的会话’ `9` -‘握手错误’ `10` -‘解密错误’ `11` -‘待处理服务器名称分类查找’ `12` -‘待处理通用名称分类查找’ `13` -‘内部错误’ `14` -‘网络参数不可用’ `15` -‘服务器证书处理无效’ `16` -‘服务器证书指纹不可用’ `17` -‘无法缓存持有者 DN’ `18` -‘无法缓存颁发者 DN’ `19` -‘未知 SSL 版本’ `20` -‘外部证书列表不可用’ `21` -‘外部证书指纹不可用’ `22` -‘内部证书列表无效’ `23` -‘内部证书列表不可用’ `24` -‘内部证书不可用’ `25` -‘内部证书指纹不可用’ `26` -‘服务器证书验证不可用’ `27` -‘服务器证书验证失败’ `28` -‘操作无效’
字符串块类型 (String Block Type)	uint32	启动包含存档 SHA 的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	存档 SHA 字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。
存档 SHA (Archive SHA)	字符串	包含该文件的父存档的 SHA1 散列。
字符串块类型 (String Block Type)	uint32	启动包含“存档名称”(Archive Name) 的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	存档名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。
存档名称 (Archive Name)	字符串	父存档的名称。
存档深度 (Archive Depth)	uint8	嵌套文件的层数。例如，如果文本文件位于压缩存档中，则此值为`1` 。
HTTP 响应代码 (HTTP Response Code)	uint32	HTTP 响应代码 (HTTP Response Code)

恶意软件事件数据块 6.0+

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 62。它替代了块 47。已添加 HTTP 响应字段。

您可以通过在事件版本为 7 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”
(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	恶意软件事件块类型 (62) (Malware Event Block Type (62))
	恶意软件事件块长度 (Malware Event Block Length)
	代理 UUID (Agent UUID)
	代理 UUID (Agent UUID)（续）
	代理 UUID (Agent UUID)（续）
	代理 UUID (Agent UUID)（续）
	云 UUID (Cloud UUID)
	云 UUID (Cloud UUID)（续）
	云 UUID (Cloud UUID)（续）
	云 UUID (Cloud UUID)（续）
	恶意软件事件时间戳 (Malware Event Timestamp)
	事件类型 ID (Event Type ID)
	事件子类型 ID (Event Subtype ID)
检测名称 (Detection Name)	检测器 ID (Detector ID)								字符串块类型 (0) (String Block Type (0))
	字符串块类型 (0) (String Block Type (0))（续）								字符串块长度 (String Block Length)
	字符串块长度 (String Block Length)（续）								检测名称... (Detection Name...)
用户	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	用户... (User...)
文件名	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件名... (File Name...)
文件路径	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件路径... (File Path...)
文件 SHA 哈希	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件 SHA 散列... (File SHA Hash...)
	文件大小 (File Size)
	面向终端的 AMP 文件类型 ( File Type)
	文件时间戳 (File Timestamp)
父文件名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	父文件名... (Parent File Name...)
父文件 SHA 散列	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	父文件 SHA 散列... (Parent File SHA Hash...)
事件说明	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	事件说明... (Event Description...)
	设备 ID (Device ID)
	连接实例 (Connection Instance)																连接计数器 (Connection Counter)
	连接事件时间戳 (Connection Event Timestamp)
	方向 (Direction)								源 IP 地址 (Source IP Address)
	源 IP 地址 (Source IP Address) (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）源 IP 地址 (Source IP Address)（续）


	源 IP (Source IP)（续）								目标 IP 地址 (Destination IP Address)
	目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）目标 IP 地址 (Destination IP Address)（续）


	目标 IP (Destination IP)（续）								应用 ID (Application ID)
	App. ID (App. ID)（续）								用户 ID (User ID)
	用户 ID (User ID)（续）								访问控制策略 UUID (Access Control Policy UUID)
	访问控制策略 UUID (Access Control Policy UUID)（续）访问控制策略 UUID (Access Control Policy UUID)（续）访问控制策略 UUID (Access Control Policy UUID)（续）


URI	访问控制策略 UUID (AC Pol UUID)（续）								处理结果 (Disposition)								追溯处理结果 (Retro. Disposition)								字符串块类型 (0) (Str. Block Type (0))
	字符串块类型 (0) (String Block Type (0))（续）																								字符串块长度 (String Block Length)
	字符串块长度 (String Block Length)（续）																								URI...
	源端口 (Source Port)																目标端口 (Destination Port)
	源国家/地区 (Source Country)																目标国家/地区 (Destination Country)
	Web 应用 ID (Web Application ID)
	客户端应用 ID (Client Application ID)
	操作 (Action)								协议 (Protocol)								威胁评分 (Threat Score)								IOC 编号 (IOC Number)
	IOC 编号 (IOC Number)（续）								安全情景 (Security Context)
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Context)（续）
	安全情景 (Security Cont.)（续）								SSL 证书指纹 (SSL Certificate Fingerprint)
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Certificate Fingerprint)（续）
	SSL 证书指纹 (SSL Cert Fpt)（续）								SSL 实际操作 (SSL Actual Action)																SSL 流状态 (SSL Flow Status)
存档 SHA	SSL 流状态 (SSL Flow Stat.)（续）								字符串块类型 (0) (String Block Type (0))
	字符串块类型 (Str. Blk Type)（续）								字符串块类型 (0) (String Block Type (0))
	字符串长度 (Str. Length)（续）								存档 SHA... (Archive SHA...)
存档名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	存档名称... (Archive Name...)
	存档深度 (Archive Depth)								HTTP 响应 (HTTP Response)
	HTTP 响应 (HTTP Resp.)（续）

下表对恶意软件事件数据块中的字段进行了说明。

表 3-48 用于 6.0+ 的恶意软件事件数据块字段
字段	数据类型	说明
恶意软件事件块类型 (Malware Event Block Type)	uint32	启动恶意软件事件数据块。值始终为 62。
恶意软件事件块长度 (Malware Event Block Length)	uint32	恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。
代理 UUID (Agent UUID)	uint8[16]	报告恶意软件事件的面向终端的 AMP 代理的内部唯一 ID。
云 UUID (Cloud UUID)	uint8[16]	发生恶意软件事件的 AMP 云的内部唯一 ID。
恶意软件事件时间戳 (Malware Event Timestamp)	uint32	恶意软件事件生成时间戳。
事件类型 ID (Event Type ID)	uint32	恶意软件事件类型的内部 ID。
事件子类型 ID (Event Subtype ID)	uint32	导致恶意软件检测的操作的内部 ID。
检测器 ID (Detector ID)	uint8	检测到恶意软件的检测技术的内部 ID。
字符串块类型 (String Block Type)	uint32	启动包含检测名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。
检测名称 (Detection Name)	字符串	检测到或被隔离的恶意软件的名称。
字符串块类型 (String Block Type)	uint32	启动包含用户名的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。
用户 (User)	字符串	安装思科代理并发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。
字符串块类型 (String Block Type)	uint32	启动包含文件名的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。
文件名 (File Name)	字符串	被检测或隔离的文件的名称。
字符串块类型 (String Block Type)	uint32	启动包含文件路径的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。
文件路径 (File Path)	字符串	被检测或隔离的文件的文件路径，不包括文件名。
字符串块类型 (String Block Type)	uint32	启动包含文件 SHA 散列的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。
文件 SHA 散列 (File SHA Hash)	字符串	被检测或隔离的文件 SHA-256 散列值的呈现字符串。
文件大小 (File Size)	uint32	被检测或隔离的文件的大小（字节）。
面向终端的 AMP 文件类型 ( File Type)	uint32	被检测或隔离文件的文件类型。此字段的含义在随此事件提供的元数据中传输。有关详细信息，请参阅面向终端的 AMP 文件类型元数据。
文件时间戳 (File Timestamp)	uint32	创建被检测或隔离的文件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。
字符串块类型 (String Block Type)	uint32	启动包含父文件名的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。
父文件名 (Parent File Name)	字符串	检测期间访问被检测或隔离文件的文件的名称。
字符串块类型 (String Block Type)	uint32	启动包含父文件 SHA 散列的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列” (Parent File SHA Hash) 字段中的字节数。
父文件 SHA 散列 (Parent File SHA Hash)	字符串	检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。
字符串块类型 (String Block Type)	uint32	启动包含事件说明的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。
活动说明 (Event Description)	字符串	与事件类型相关的其他事件信息。
设备 ID (Device ID)	uint32	生成事件的设备的 ID。
连接实例 (Connection Instance)	uint16	生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。
连接计数器 (Connection Counter)	uint16	用于区别同一秒发生的连接事件的值。
连接事件时间戳 (Connection Event Timestamp)	uint32	连接事件的时间戳。
方向 (Direction)	uint8	表示文件是否已上传或下载。可能会有以下值： `1` - 下载 `2` - 上传目前该值取决于协议（例如，如果连接是 HTTP，则其值为 Download）。
源 IP 地址 (Source IP Address)	uint8[16]	连接源的 IPv4 或 IPv6 地址。
目标 IP 地址 (Destination IP Address)	uint8[16]	连接目标的 IPv4 或 IPv6 地址。
应用 ID (Application ID)	uint32	通过文件传送映射至应用的 ID 号码。
用户 ID (User ID)	uint32	系统识别的登录目标主机的用户的标识号。
访问控制策略 UUID (Access Control Policy UUID)	uint8[16]	作为触发事件的访问控制策略的唯一标识符的标别号。
处理结果 (Disposition)	uint8	文件的恶意软件状态。可能的值包括： `1` - CLEAN 文件是安全的，不包含恶意软件。 `2` - UNKNOWN 不确定文件是否包含恶意软件。 `3` - MALWARE 文件包含恶意软件。 `4` - UNAVAILABLE 软件无法向 AMP 云发送请求以了解处置情况，或 AMP 云服务未响应此请求。 `5` - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理。
追溯处置情况 (Retrospective Disposition)	uint8	处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。
字符串块类型 (String Block Type)	uint32	启动包含 URI 的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。
URI	字符串	连接的 URI。
源端口 (Source Port)	uint16	连接源的端口号。
目标端口 (Destination Port)	uint16	连接的目标的端口号。
源国家/地区 (Source Country)	uint16	源主机的国家/地区代码。
目标国家/地区 (Destination Country)	uint 16	目标主机的国家/地区代码。
Web 应用 ID (Web Application ID)	uint32	被检测 Web 应用的内部标识号（如适用）。
客户端应用 ID (Client Application ID)	uint32	被检测客户端应用的内部标识号（如适用）。
操作 (Action)	uint8	根据文件类型对文件执行的操作。可能会有以下值： `1` - 检测 `2` - 阻止 `3` - 恶意软件云查找 `4` - 恶意软件阻止 `5` - 恶意软件允许列表 `6` - 云查找超时 `7` - 自定义检测 `8` - 自定义检测阻止 `9` - 存档阻止（超出深度） `10` - 存档阻止（已加密） `11` - 存档阻止（检查失败）
协议 (Protocol)	uint8	用户指定的 IANA 协议号。例如： `1` - ICMP `4` - IP `6` - TCP `17` - UDP 目前仅限 TCP。
威胁评分 (Threat Score)	uint8	0 到 100 之间的数值，基于在动态分析期间观察到的潜在恶意行为而打出。
IOC 编号 (IOC Number)	uint16	与此事件相关的危害的 ID 号码。
安全情景 (Security Context)	uint8(16)	流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。
SSL 证书指纹 (SSL Certificate Fingerprint)	uint8[20]	SSL 服务器证书的 SHA1 散列。
SSL 实际操作 (SSL Actual Action)	uint16	根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括： `0` -‘未知’ `1` -‘请勿解密’ `2` -‘阻止’ `3` -‘阻止并重置’ `4` -‘解密（已知密钥）’ `5` -‘解密（更换秘钥）’ `6` -‘解密（放弃）’
SSL 流状态 (SSL Flow Status)	uint16	SSL 流的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括： `0` -‘未知’ `1` -‘不匹配’ `2` -‘成功’ `3` -‘非缓存会话’ `4` -‘未知密码套件’ `5` -‘不受支持的密码套件’ `6` -‘不受支持的 SSL 版本’ `7` -‘使用的 SSL 压缩’ `8` -‘在被动模式中无法解密的会话’ `9` -‘握手错误’ `10` -‘解密错误’ `11` -‘待处理服务器名称分类查找’ `12` -‘待处理通用名称分类查找’ `13` -‘内部错误’ `14` -‘网络参数不可用’ `15` -‘服务器证书处理无效’ `16` -‘服务器证书指纹不可用’ `17` -‘无法缓存持有者 DN’ `18` -‘无法缓存颁发者 DN’ `19` -‘未知 SSL 版本’ `20` -‘外部证书列表不可用’ `21` -‘外部证书指纹不可用’ `22` -‘内部证书列表无效’ `23` -‘内部证书列表不可用’ `24` -‘内部证书不可用’ `25` -‘内部证书指纹不可用’ `26` -‘服务器证书验证不可用’ `27` -‘服务器证书验证失败’ `28` -‘操作无效’
字符串块类型 (String Block Type)	uint32	启动包含存档 SHA 的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	存档 SHA 字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。
存档 SHA (Archive SHA)	字符串	包含该文件的父存档的 SHA1 散列。
字符串块类型 (String Block Type)	uint32	启动包含“存档名称”(Archive Name) 的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	存档名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。
存档名称 (Archive Name)	字符串	父存档的名称。
存档深度 (Archive Depth)	uint8	嵌套文件的层数。例如，如果文本文件位于压缩存档中，则此值为`1` 。
HTTP 响应 (HTTP Response)	uint32	HTTP 请求的响应代码。

用于 5.3+ 的文件事件 SHA 散列

eStreamer 服务使用文件事件 SHA 散列数据块以包含文件的 SHA 散列到其文件名的映射的元数据。块类型为系列 2 数据块列表中的 40。如果已在扩展请求中请求文件日志事件（事件代码为 111 ）且已设置位 20 或已请求元数据（事件版本为 5 ，事件代码为 21 ），则可以请求它。

下图显示文件事件散列数据块的结构：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	文件事件 SHA 散列块类型 (40) (File Event SHA Hash Block Type (40))
	文件事件 SHA 散列块长度 (File Event SHA Hash Block Length)
	SHA 散列 (SHA Hash)
	SHA 散列 (SHA Hash)（续）
	SHA 散列 (SHA Hash)（续）
	SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续） SHA 散列 (SHA Hash)（续）
文件名	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件名... (File Name...)
	处理结果 (Disposition)								用户定义 (User Defined)

下表对文件事件 SHA 散列数据块中的字段进行了说明。

表 3-49 文件事件 SHA 散列块字段
字段	数据类型	说明
文件事件 SHA 散列块类型 (File Event SHA Hash Block Type)	uint32	启动文件事件 SHA 散列块。值始终为 `40` 。
文件事件 SHA 散列块长度 (File Event SHA Hash Block Length)	uint32	文件事件 SHA 散列块中的字节总数，包括文件事件 SHA 散列块类型和长度字段的八个字节，加上随后的数据的字节数。
SHA 散列 (SHA Hash)	uint8[32]	二进制格式的文件的 SHA-256 散列。
字符串块类型 (String Block Type)	uint32	启动包含与文件相关的描述性名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“名称”(Name) 字段中的字节数。
文件名或处置情况 (File Name or Disposition)	字符串	文件的描述性名称或处置情况。如果文件是安全的，则值为 `Clean` 。如果文件的处置情况未知，则值为 `Neutral` 。如果文件包含恶意软件，则提供文件名。
处理结果 (Disposition)	uint8	文件的恶意软件状态。可能的值包括： `1` - CLEAN 文件是安全的，不包含恶意软件。 `2` - UNKNOWN 不确定文件是否包含恶意软件。 `3` - MALWARE 文件包含恶意软件。 `4` - UNAVAILABLE 软件无法向 AMP 云发送请求以了解处置情况，或 AMP 云服务未响应此请求。 `5` - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理
用户定义 (User Defined)	uint8	指示文件名提供的方式： `0` - 由 AMP 定义 `1` - 用户定义

用于 5.3+ 的文件类型 ID 元数据

eStreamer 服务可传输包含具有文件类型 ID 的事件的文件类型信息的元数据，格式如下所示。此记录将文件类型 ID 映射到文件类型名称。当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，则发送文件类型 ID 信息。请参阅请求标志。）
请注意，“记录类型”(Record Type) 字段（出现在消息长度 (Message Length) 字段后面）的值为 510 ，表示文件类型 ID 记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (510) (Record Type (510))
	记录长度 (Record Length)
	文件类型 ID (File Type ID)
	文件类型长度 (File Type Length)
	文件类型名称... (File Type Name...)

下表对文件类型 ID 记录中的字段进行了说明。

表 3-50 文件类型 ID 记录字段
字段	数据类型	说明
文件类型 ID (File Type ID)	uint32	文件类型 ID 号码。此字段是此记录的唯一密钥。
文件类型长度 (File Type Length)	uint32	文件类型名称中包含的字节数。
文件类型名称 (File Type Name)	字符串	文件类型的描述性名称。

用于 5.2+ 的规则文档数据块

eStreamer 服务使用规则文档数据块包含用于生成警报的规则的相关信息。块类型为系列 2 数据块组中的 27。它可以通过类型为 10 的主机请求消息进行请求。有关详细信息，请参阅主机请求消息格式。

下图显示规则文档数据块的结构：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	规则文档块类型 (27) (Rule Documentation Block Type (27))
	规则文档块长度 (Rule Documentation Block Length)
	签名 ID (Signature ID)
	生成器 ID (Generator ID)
	修订版 (Revision)
摘要	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	摘要... (Summary...)
影响	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	影响... (Impact...)
详细信息 (Detailed Info)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	详细信息 (Detailed Information)
受影响系统 (Affected Systems)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	受影响系统... (Affected Systems...)
攻击情景 (Attack Scenarios)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	攻击情景... (Attack Scenarios...)
易攻击性 (Ease of Attack)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	易攻击性... (Ease of Attack...)
误报率	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	错误的正误差率... (False Positives...)
错误的负误差率 (False Negatives)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	错误的负误差率... (False Negatives...)
纠正措施 (Corrective Action)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	纠正措施... (Corrective Action...)
贡献者	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	参与者... (Contributors...)
其他参考资料	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	其他参考资料... (Additional References...)

下表对规则文档数据块中的字段进行了说明。

表 3-51 规则文档数据块字段
字段	数据类型	说明
规则文档数据块类型 (Rule Documentation Data Block Type)	uint32	启动规则文档数据块。值始终为 `27` 。
规则文档数据块长度 (Rule Documentation Data Block Length)	uint32	规则文档数据块中的字节总数，包括规则文档数据块类型和长度字段的八个字节，加上随后的数据字节数。
规则 ID（签名 ID）(Rule ID (Signature ID))	uint32	与事件对应的规则标识号。
生成器 ID (Generator ID)	uint32	生成事件的 Firepower 系统预处理器的标识号。
规则修订 (Rule Revision)	uint32	规则版本号。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的摘要的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“摘要”(Summary) 字段中的字节数。
摘要 (Summary)	字符串	威胁或漏洞的说明。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的影响的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“影响”(Impact) 字段中的字节数。
影响 (Impact)	字符串	使用此漏洞的威胁可能影响各种系统的程度。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的详细信息的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“详细信息”(Detailed Information) 字段中的字节数。
详细信息 (Detailed Information)	字符串	有关潜在漏洞、规则实际针对的对象、受影响的系统的信息。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的受影响系统列表的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“受影响系统”(Affected Systems) 字段中的字节数。
受影响系统 (Affected Systems)	字符串	受漏洞影响的系统。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的可能攻击情景的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“攻击情景”(Attack Scenarios) 字段中的字节数。
攻击情景 (Attack Scenarios)	字符串	可能的攻击的示例。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的易攻击性的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“易攻击性”(Ease of Attack) 字段中的字节数。
易攻击性 (Ease of Attack)	字符串	攻击是被视为简单、中等、困难还是艰难，以及是否可以使用脚本执行此攻击。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的可能错误的正误差率的字符串数据块。值始终为 0。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“错误的正误差率”(False Positives) 字段中的字节数。
误报率 (False Positives)	字符串	可能导致误报的示例。默认值为 `None Known` 。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的可能错误的负误差率的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“错误的负误差率”(False Negatives) 字段中的字节数。
错误的负误差率 (False Negatives)	字符串	可能导致漏报的示例。默认值为 `None Known` 。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的纠正措施的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“纠正措施”(Corrective Action) 字段中的字节数。
纠正措施 (Corrective Action)	字符串	有关补丁、升级，或其他消除或缓解漏洞的信息。
字符串块类型 (String Block Type)	uint32	启动包含规则的参与者的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“参与者”(Contributors) 字段中的字节数。
贡献者 (Contributors)	字符串	规则和其他相关文档的作者的联系信息。
字符串块类型 (String Block Type)	uint32	启动包含与规则相关的其他参考资料的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“其他参考资料”(Additional References) 字段中的字节数。
其他参考资料 (Additional References)	字符串	更多信息和参考。

用于 6.0+ 的文件日志存储元数据

eStreamer 服务可传输包含文件日志存储信息的元数据。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 515 ，表示文件日志存储元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (515)（Record Type (515))
	记录长度 (Record Length)
	文件日志存储状态 (Filelog Storage Status)
	文件日志存储状态说明长度 (Filelog Storage Status Description Length)
	文件日志存储状态说明... (Filelog Storage Status Description...)

下表对文件日志存储元数据记录中的字段进行了说明。

表 3-52 文件日志存储元数据记录字段
字段	数据类型	说明
文件日志存储状态 (Filelog Storage Status)	uint32	指示文件日志存储状态的数字。此字段是此记录的唯一密钥。
文件日志存储状态说明长度 (Filelog Storage Status Description Length)	uint32	文件日志存储状态说明 (Filelog Storage Status Description) 中包含的字节数。
文件日志存储状态说明 (Filelog Storage Status Description)	字符串	文件日志存储状态的描述性名称。

用于 6.0+ 的文件日志沙盒元数据

eStreamer 服务可传输包含文件日志沙盒信息的元数据。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 516 ，表示文件日志沙盒元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (516) (Record Type (516))
	记录长度 (Record Length)
	文件日志沙盒状态 (Filelog Sandbox Status)
	文件日志沙盒状态说明长度 (Filelog Sandbox Status Description Length)
	文件日志沙盒状态说明... (Filelog Sandbox Status Description...)

下表对文件日志沙盒元数据记录中的字段进行了说明。

表 3-53 文件日志沙盒元数据记录字段
字段	数据类型	说明
文件日志沙盒状态 (Filelog Sandbox Status)	uint32	指示文件日志沙盒状态的数字。此字段是此记录的唯一密钥。
文件日志沙盒状态说明长度 (Filelog Sandbox Status Description Length)	uint32	“文件日志沙盒状态说明”(Filelog Sandbox Status Description) 中包含的字节数。
文件日志沙盒状态说明 (Filelog Sandbox Status Description)	字符串	文件日志沙盒状态的描述性名称。

用于 6.0+ 的文件日志 Spero 元数据

eStreamer 服务可传输包含文件日志 spero 信息的元数据。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 517 ，表示文件日志 spero 元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (517) (Record Type (517))
	记录长度 (Record Length)
	文件日志 Spero 状态 (Filelog Spero Status)
	文件日志 Spero 状态说明长度 (Filelog Spero Status Description Length)
	文件日志 Spero 状态说明... (Filelog Spero Status Description Length...)

下表对文件日志 Spero 元数据记录中的字段进行了说明。

表 3-54 文件日志 Spero 元数据记录字段
字段	数据类型	说明
文件日志 Spero 状态 (Filelog Spero Status)	uint32	指示文件日志 spero 状态的数字。此字段是此记录的唯一密钥。
文件日志 Spero 状态说明长度 (Filelog Spero Status Description Length)	uint32	“文件日志 Spero 状态说明”(Filelog Spero Status Description Length) 中包含的字节数。
文件日志 Spero 状态说明 (Filelog Spero Status Description Length)	字符串	文件日志 spero 状态的描述性名称。

用于 6.0+ 的文件日志存档元数据

eStreamer 服务可传输包含文件日志存档信息的元数据。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 518 ，表示文件日志存档元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (518) (Record Type (518))
	记录长度 (Record Length)
	文件日志存档状态 (Filelog Archive Status)
	文件日志存档状态说明长度 (Filelog Archive Status Description Length)
	文件日志存档状态说明... (Filelog Archive Status Description...)

下表对文件日志存档元数据记录中的字段进行了说明。

表 3-55 文件日志存档元数据记录字段
字段	数据类型	说明
文件日志存档状态 (Filelog Archive Status)	uint32	指示文件日志存档状态的数字。此字段是此记录的唯一密钥。
文件日志存档状态说明长度 (Filelog Archive Status Description Length)	uint32	“文件日志存档状态说明”(Filelog Archive Status Description) 中包含的字节数。
文件日志存档状态说明 (Filelog Archive Status Description)	字符串	文件日志存档状态的描述性名称。

用于 6.0+ 的文件日志静态分析元数据

eStreamer 服务可传输包含文件日志静态分析信息的元数据。请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 519 ，表示文件日志静态分析元数据记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (519) (Record Type (519))
	记录长度 (Record Length)
	文件日志静态分析状态 (Filelog Static Analysis Status)
	文件日志静态分析状态说明长度 (Filelog Static Analysis Status Description Length)
	文件日志静态分析状态说明... (Filelog Static Analysis Status Description...)

下表对文件日志静态分析元数据记录中的字段进行了说明。

表 3-56 文件日志静态分析元数据记录字段
字段	数据类型	说明
文件日志静态分析状态 (Filelog Static Analysis Status)	uint32	指示文件日志静态分析状态的数字。此字段是此记录的唯一密钥。
文件日志静态分析状态说明长度 (Filelog Static Analysis Status Description Length)	uint32	文件日志静态分析状态说明 (Filelog Static Analysis Status Description) 中包含的字节数。
文件日志静态分析状态说明 (Filelog Static Analysis Status Description)	字符串	文件日志静态分析状态的描述性名称。

用于 5.2+ 的地理位置数据块

这是包含国家/地区代码到国家/地区名称的映射的数据块。记录类型为 520，块类型为系列 2 中的 28。它作为任何具有地理位置信息的事件的元数据显示。如果请求元数据，且事件中有国家/地区代码值，则系统将此数据块与其他元数据一起返回。

下图显示地理位置数据块的结构：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (520) (Record Type (520))
	地理位置块类型 (28) (Geolocation Block Type (28))
	地理位置块长度 (Geolocation Block Length)
	国家/地区代码 (Country Code)																字符串块类型 (0) (String Block Type (0))
国家/ 地区名称	字符串块类型 (0) (String Block Type (0))（续）																字符串块长度 (String Block Length)
国家/ 地区名称	字符串块长度 (String Block Length)（续）																国家/地区名称... (Country Name...)

下表对地理位置数据块中的字段进行了说明。

表 3-57 地理位置数据块字段
字段	数据类型	说明
地理位置数据块类型 (Geolocation Data Block Type)	uint32	启动地理位置数据块。值始终为 `28` 。
地理位置数据块长度 (Geolocation Data Block Length)	uint32	地理位置数据块中的字节总数，包括地理位置数据块类型和长度字段的八个字节，加上随后的数据字节数。
国家/地区代码 (Country Code)	uint16	国家/地区代码。
字符串块类型 (String Block Type)	uint32	启动包含与国家/地区代码相关的国家/地区名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“国家/地区名称”(Country Name) 字段中的字节数。
国家/地区名称 (Country Name)	字符串	与国家/地区代码相关的国家/地区的名称。

用于 6.0+ 的文件策略名称

eStreamer 服务可传输包含文件策略名称信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送文件策略名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在
“消息长度”(Message Length) 字段后面）的值为 530 ，表示文件策略名称记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (530) (Record Type (530))
	记录长度 (Record Length)
	UUID 字符串块类型 (14) (UUID String Block Type (14))
	UUID 字符串块长度 (UUID String Block Length)
	文件策略 UUID (File Policy UUID)
	文件 UUID (File UUID)（续）
	文件 UUID (File UUID)（续）
	文件 UUID (File UUID)（续）
文件策略名称 (File Policy Name)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	文件策略名称... (File Policy Name...)

下表对文件策略名称记录中的字段进行了说明。

表 3-58 文件策略名称字段
字段	数据类型	说明
UUID 字符串数据块类型 (UUID String Data Block Type)	uint32	启动 UUID 字符串数据块。值始终为 `14` 。
UUID 字符串数据块长度 (UUID String Data Block Length)	uint32	UUID 字符串数据块中的字节总数，包括 UUID 字符串数据块类型和长度字段的八个字节，加上随后的数据字节数。
文件策略 UUID (File Policy UUID)	uint8[16]	文件策略的 UUID。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含文件策略名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	SSL 文件策略字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上文件策略名称中的字节数。
文件策略名称 (File Policy Name)	字符串	文件策略的名称。

SSL 策略名称

eStreamer 服务可传输包含 SSL 策略名称信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 策略名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在
“消息长度”(Message Length) 字段后面）的值为 600 ，表示 SSL 策略名称记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (600) (Record Type (600))
	记录长度 (Record Length)
	UUID 字符串块类型 (14) (UUID String Block Type (14))
	UUID 字符串块长度 (UUID String Block Length)
	SSL 策略 UUID (SSL Policy UUID)
	SSL 策略 UUID (SSL Policy UUID)（续）
	SSL 策略 UUID (SSL Policy UUID)（续）
	SSL 策略 UUID (SSL Policy UUID)（续）
SSL 策略名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	SSL 策略名称... (SSL Policy Name...)

下表对 SSL 策略名称记录中的字段进行了说明。

表 3-59 SSL 策略名称记录字段
字段	数据类型	说明
UUID 字符串数据块类型 (UUID String Data Block Type)	uint32	启动 UUID 字符串数据块。值始终为 `14` 。
UUID 字符串数据块长度 (UUID String Data Block Length)	uint32	UUID 字符串数据块中的字节总数，包括 UUID 字符串数据块类型和长度字段的八个字节，加上随后的数据字节数。
SSL 策略 UUID (SSL Policy UUID)	uint8[16]	SSL 策略的 UUID。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含 SSL 策略名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	SSL 策略名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上 SSL 策略名称中的字节数。
SSL 策略名称 (SSL Policy Name)	字符串	SSL 策略的名称。

SSL 规则 ID

eStreamer 服务可传输包含 SSL 规则 ID 信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 规则 ID 信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 601 ，表示 SSL 规则 ID 记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (601) (Record Type (601))
	记录长度 (Record Length)
	SSL 规则 ID 块类型 (51) (SSL Rule ID block type (51))
	SSL 规则 ID 块长度 (SSL Rule ID block length)
	修订版 (Revision)
	修订版 (Revision)（续）
	修订版 (Revision)（续）
	修订版 (Revision)（续）
	规则 ID (Rule ID)
Rule Name	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	规则名称... (Rule Name...)

下表对 SSL 规则 ID 记录中的字段进行了说明。

表 3-60 SSL 策略名称记录字段
字段	数据类型	说明
SSL 规则 ID 块类型 (SSL Rule ID Block Type)	uint32	SSL 规则 ID 数据块的块类型。值始终为`51。`
SSL 规则 ID 块长度 (SSL Rule ID Block Length)	uint32	SSL 规则 ID 数据块中的字节数，包括块类型和报头字段的 8 个字节，加上 SSL 规则 ID 块中的字节数。
修订版 (Revision)	uint8[16]	SSL 规则修订的 UUID。此字段与“规则 ID” (Rule ID) 一起构成此记录的唯一密钥。
规则 ID (Rule ID)	uint32	SSL 规则的 ID 号码。此字段与“修订” (Revision) 一起构成此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含 SSL 规则名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	SSL 规则名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上 SSL 规则名称中的字节数。
SSL 规则名称	字符串	SSL 规则的名称。

SSL 密码套件

eStreamer 服务可传输包含具有 SSL 密码 ID 的事件的 SSL 密码套件信息的元数据，格式如下所示。此记录将 SSL 密码 ID 映射到 SSL 密码套件名称。当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 密码套件信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 602 ，表示 SSL 密码套件记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (602) (Record Type (602))
	记录长度 (Record Length)
	SSL 密码 ID (SSL Cipher ID)
	SSL 密码套件名称长度 (SSL Cipher Suite Name Length)
	SSL 密码套件名称... (SSL Cipher Suite Name...)

下表对 SSL 密码套件记录中的字段进行了说明。

表 3-61 SSL 密码套件字段
字段	数据类型	说明
SSL 密码 ID (SSL Cipher ID)	uint32	SSL 密码 ID 号码。此字段是此记录的唯一密钥。
SSL 密码套件名称长度 (SSL Cipher Suite Name Length)	uint32	SSL 密码套件名称中包含的字节数。
SSL 密码套件名称 (SSL Cipher Suite Name)	字符串	SSL 密码套件的描述性名称。

SSL 版本

eStreamer 服务可传输包含具有 SSL 版本的事件的 SSL 版本信息的元数据，格式如下所示。此记录将 SSL 版本 ID 映射到 SSL 版本名称。当设置其中一个元数据标志（请求消息的“请求标志”
(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 密码套件信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 604 ，表示 SSL 版本记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (604) (Record Type (604))
	记录长度 (Record Length)
	SSL 版本 ID (SSL Version ID)
	SSL 版本名称长度 (SSL Version Name Length)
	SSL 版本名称... (SSL Version Name...)

下表对 SSL 版本记录中的字段进行了说明。

表 3-62 SSL 版本字段
字段	数据类型	说明
SSL 版本 ID (SSL Version ID)	uint32	SSL 版本 ID 号码。此字段是此记录的唯一密钥。
SSL 版本名称 (SSL Version Name)	uint32	SSL 版本名称 (SSL Version Name) 中包含的字节数。
SSL 密码套件名称 (SSL Cipher Suite Name)	字符串	SSL 版本的描述性名称。

SSL 服务器证书状态

eStreamer 服务可传输包含 SSL 服务器证书状态信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 服务器证书状态信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 605 ，表示 SSL 服务器证书状态记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (605) (Record Type (605))
	记录长度 (Record Length)
	SSL 服务器证书状态
	SSL 服务器证书状态说明长度 (SSL Server Certificate Status Description Length)
	SSL 服务器证书状态说明... (SSL Server Certificate Status Description...)

下表对 SSL 服务器证书状态记录中的字段进行了说明。

表 3-63 SSL 服务器证书状态记录字段
字段	数据类型	说明
SSL 服务器证书状态	uint32	SSL 服务器证书状态编号。此字段是此记录的唯一密钥。
SSL 服务器证书状态说明长度 (SSL Server Certificate Status Description Length)	uint32	SSL 服务器证书状态说明 (SSL Server Certificate Status Description) 中包含的字节数。
SSL 服务器证书状态说明 (SSL Server Certificate Status Description)	字符串	对 SSL 服务器证书状态的说明。

SSL 实际操作

eStreamer 服务可传输包含 SSL 实际操作信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 实际操作信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在
“消息长度”(Message Length) 字段后面）的值为 606 ，表示 SSL 实际操作记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (606) (Record Type (606))
	记录长度 (Record Length)
	SSL 实际操作编号 (SSL Actual Action Number)
	SSL 实际操作说明长度 (SSL Actual Action Description Length)
	SSL 实际操作说明... (SSL Actual Action Description...)

下表对 SSL 实际操作记录中的字段进行了说明。

表 3-64 SSL 实际操作字段
字段	数据类型	说明
SSL 实际操作编号 (SSL Actual Action Number)	uint32	指示 SSL 实际操作的编号。此字段是此记录的唯一密钥。
SSL 实际操作说明长度 (SSL Actual Action Description Length)	uint32	SSL 实际操作说明 (SSL Actual Action Description) 中包含的字节数。
SSL 实际操作说明 (SSL Actual Action Description)	字符串	对 SSL 实际操作的说明。

SSL 预期操作

eStreamer 服务可传输包含 SSL 预期操作信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 预期操作信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在
“消息长度”(Message Length) 字段后面）的值为 607 ，表示 SSL 预期操作记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (607) (Record Type (607))
	记录长度 (Record Length)
	SSL 预期操作编号 (SSL Expected Action Number)
	SSL 预期操作说明长度 (SSL Expected Action Description Length)
	SSL 预期操作说明... (SSL Expected Action Description...)

下表对 SSL 预期操作记录中的字段进行了说明。

表 3-65 SSL 实际操作字段
字段	数据类型	说明
SSL 预期操作编号 (SSL Expected Action Number)	uint32	指示 SSL 预期操作的编号。此字段是此记录的唯一密钥。
SSL 预期操作说明长度 (SSL Expected Action Description Length)	uint32	SSL 预期操作说明 (SSL Expected Action Description) 中包含的字节数。
SSL 预期操作说明 (SSL Expected Action Description)	字符串	对 SSL 预期操作的说明。

SSL 流状态

eStreamer 服务可传输包含 SSL 流状态信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL 流状态信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 608 ，表示 SSL 流状态记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (608) (Record Type (608))
	记录长度 (Record Length)
	SSL 流状态编号 (SSL Flow Status Number)
	SSL 流状态说明长度 (SSL Flow Status Description Length)
	SSL 流状态说明... (SSL Flow Status Description...)

下表对 SSL 流状态记录中的字段进行了说明。

表 3-66 SSL 流状态字段
字段	数据类型	说明
SSL 流状态编号 (SSL Flow Status Number)	uint32	指示 SSL 流状态的编号。此字段是此记录的唯一密钥。
SSL 流状态说明长度 (SSL Flow Status Description Length)	uint32	SSL 流状态说明 (SSL Flow Status Description) 中包含的字节数。
SSL 流状态说明 (SSL Flow Status Description)	字符串	对 SSL 流状态的说明。

SSL URL 类别

eStreamer 服务可传输包含 SSL URL 类别信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送 SSL URL 类别信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 613 ，表示 SSL URL 类别记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (613) (Record Type (613))
	记录长度 (Record Length)
	SSL URL 类别编号 (SSL URL Category Number)
	SSL URL 类别说明长度 (SSL URL Category Description Length)
	SSL URL 类别说明... (SSL URL Category Description...)

下表对 SSL URL 类别记录中的字段进行了说明。

表 3-67 SSL URL 类别字段
字段	数据类型	说明
SSL URL 类别编号 (SSL URL Category Number)	uint32	指示 SSL URL 类别的编号。此字段是此记录的唯一密钥。
SSL URL 类别说明长度 (SSL URL Category Description Length)	uint32	SSL 服务器 URL 类别说明中包含的字节数。
SSL URL 类别说明 (SSL URL Category Description)	字符串	对 SSL URL 类别的说明。

用于 5.4+ 的 SSL 证书详细信息数据块

此数据块提供有关 SSL 证书的详细信息。此数据块的记录类型为系列 2 中的 614，块类型为系列 2 中的 50。它作为任何具有 SSL 信息的事件的元数据显示。这些包括恶意软件事件、文件事件、入侵事件、连接事件以及关联事件。

下图显示 SSL 证书详细信息数据块的结构：

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (614) (Record Type (614))
	记录长度 (Record Length)
	SSL 证书详细信息块类型 (50) (SSL Certificate Details Block Type (50))
	SSL 证书详细信息块长度 (SSL Certificate Details Block Length)
	指纹 SHA 散列 (Fingerprint SHA Hash)
	指纹 SHA 散列 (Fingerprint SHA Hash)（续）
	指纹 SHA 散列 (Fingerprint SHA Hash)（续）
	指纹 SHA 散列 (Fingerprint SHA Hash)（续）
	指纹 SHA 散列 (Fingerprint SHA Hash)（续）
	公共密钥 SHA 散列 (Public Key SHA Hash)
	公共密钥 SHA 散列 (Public Key SHA Hash)（续）
	公共密钥 SHA 散列 (Public Key SHA Hash)（续）
	公共密钥 SHA 散列 (Public Key SHA Hash)（续）
	公共密钥 SHA 散列 (Public Key SHA Hash)（续）
	序列号 (Serial Number)
	序列号 (Serial Number)（续）
	序列号 (Serial Number)（续）
	序列号 (Serial Number)（续）
	序列号 (Serial Number)（续）
	序列号长度 (Serial Number Length)
持有者常用名 (Subject Common Name)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	持有者常用名... (Subject Common Name...)
持有者组织 (Subject Organization)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	持有者组织... (Subject Organization...)
持有者组织单位 (Subject Organization Unit)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	持有者组织单位.... (Subject Organization Unit....)
持有者国家/地区 (Subject Country)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	持有者国家/地区... (Subject Country...)
颁发者常用名 (Issuer Common Name)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	颁发者常用名... (Issuer Common Name...)
颁发者组织 (Issuer Organization)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	颁发者组织... (Issuer Organization...)
颁发者组织单位 (Issuer Organizational Unit)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	颁发者组织单位... (Issuer Organizational Unit...)
颁发者国家/地区 (Issuer Country)	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	颁发者国家/地区... (Issuer Country...)
	有效开始日期 (Valid Start Date)
	有效结束日期 (Valid End Date)

下表对 SSL 证书详细信息数据块中的字段进行了说明。

表 3-68 SSL 证书详细信息数据块字段
字段	数据类型	说明
SSL 证书详细信息数据块类型 (SSL Certificate Details Data Block Type)	uint32	启动 SSL 证书详细信息数据块。值始终为 `50` 。
SSL 证书详细信息数据块长度 (SSL Certificate Details Data Block Length)	uint32	SSL 证书详细信息数据块的字节总数，包括 SSL 证书详细信息数据块类型和长度字段的八个字节，加上随后的数据字节数。
指纹 SHA 散列 (Fingerprint SHA Hash)	uint8[20]	SSL 服务器证书的 SHA1 散列。
公共密钥 SHA 散列 (Public Key SHA Hash)	uint8[20]	用于对证书内所含公钥进行身份验证的 SHA 哈希值。
序列号 (Serial Number)	uint8[20]	由发行 CA 分配的序列号。尽管序列号的长度不能超过 20 个字节，但根据“序列号长度”(Serial Number Length) 字段中的规定，此值可能小于 20 个字节。
序列号长度 (Serial Number Length)	uint32	序列号的长度，以字节为单位。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的类别的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“类别”(Category) 字段中的字节数。
持有者常用名 (Subject Common Name)	字符串	SSL 证书的持有者常用名。这通常是证书持有者的主机和域名，但也可能包含其他信息。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
持有者组织 (Subject Organization)	字符串	证书持有者的组织。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
持有者组织单位 (Subject Organization Unit)	字符串	证书持有者的组织单位。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
持有者国家/地区 (Subject Country)	字符串	证书持有者所在的国家/地区。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的类别的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“类别”(Category) 字段中的字节数。
颁发者常用名 (Issuer Common Name)	字符串	SSL 证书的颁发者常用名。这通常是证书颁发者的主机和域名，但也可能包含其他信息。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
颁发者组织 (Issuer Organization)	字符串	证书颁发者的组织。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
颁发者组织单位 (Issuer Organizational Unit)	字符串	证书颁发者的组织单位。
字符串块类型 (String Block Type)	uint32	启动包含与危害相关的事件类型的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件类型”(Event Type) 字段中的字节数。
颁发者国家/地区 (Issuer Country)	字符串	证书颁发者所在的国家/地区。
有效开始日期 (Valid Start Date)	uint32	颁发证书时的 Unix 时间戳。
有效结束日期 (Valid End Date)	uint32	证书停止有效的 Unix 时间戳。

网络分析策略名称记录

eStreamer 服务可传输包含网络分析策略名称信息的元数据，格式如下所示。（当设置其中一个元数据标志（请求消息的“请求标志”(Request Flags) 字段中的位 1、14、15 或 20）时，发送网络分析策略名称信息。请参阅请求标志。）请注意，“记录类型”(Record Type) 字段（出现在“消息长度”(Message Length) 字段后面）的值为 700 ，表示网络分析策略名称记录。

字节	0								1								2								3
位	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
	报头版本 (1) (Header Version (1))																消息类型 (4) (Message Type (4))
	消息长度 (Message Length)
	Netmap ID																记录类型 (700) (Record Type (700))
	记录长度 (Record Length)
	UUID 字符串块类型 (14) (UUID String Block Type (14))
	UUID 字符串块长度 (UUID String Block Length)
	网络分析策略 UUID (Network Analysis Policy UUID)
	网络分析 UUID (Network Analysis UUID)（续）
	网络分析 UUID (Network Analysis UUID)（续）
	网络分析 UUID (Network Analysis UUID)（续）
网络分析策略名称	字符串块类型 (0) (String Block Type (0))
	字符串块长度 (String Block Length)
	网络分析策略名称... (Network Analysis Policy Name...)

下表对网络分析策略名称记录中的字段进行了说明。

表 3-69 网络分析策略名称记录字段
字段	数据类型	说明
UUID 字符串数据块类型 (UUID String Data Block Type)	uint32	启动 UUID 字符串数据块。值始终为 `14` 。
UUID 字符串数据块长度 (UUID String Data Block Length)	uint32	UUID 字符串数据块中的字节总数，包括 UUID 字符串数据块类型和长度字段的八个字节，加上随后的数据字节数。
网络分析策略 UUID (Network Analysis Policy UUID)	uint8[16]	网络分析策略的 UUID。此字段是此记录的唯一密钥。
字符串块类型 (String Block Type)	uint32	启动包含网络分析策略名称的字符串数据块。值始终为 `0` 。
字符串块长度 (String Block Length)	uint32	网络分析策略名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上网络分析策略名称中的字节数。
网络分析策略名称 (Network Analysis Policy Name)	字符串	网络分析策略的名称。

Firepower eStreamer 集成指南 版本 6.3

非歧视性语言

当地语言翻译版本说明

Results

Chapter: 了解入侵和关联数据结构

了解入侵和关联数据结构

入侵事件和元数据记录类型

数据包记录 4.8.0.2+

优先级记录

入侵事件记录 6.0+

入侵影响警报数据 5.3+

用户记录

用于 4.6.1+ 的规则消息记录

用于 4.6.1+ 的分类记录

关联策略记录

关联规则记录

入侵事件额外数据记录

入侵事件额外数据元数据

安全区名称记录

接口名称记录

访问控制策略名称记录

访问控制规则 ID 记录元数据

受管设备记录元数据

恶意软件事件记录 5.1.1+

思科高级恶意软件防护云名称元数据

恶意软件事件类型元数据

恶意软件事件子类型元数据

面向终端的 AMP 检测器类型元数据

面向终端的 AMP 文件类型元数据

安全情景名称

用于 5.4+ 的关联事件

了解系列 2 数据块

系列 2 基元数据块

字符串数据块

BLOB 数据块

列表数据块

通用列表数据块

UUID 字符串映射数据块

名称说明映射数据块

访问控制策略规则 ID 元数据块

ICMP 类型数据块

ICMP 代码数据块

用于 5.4.1+ 的安全情报类别元数据

用于 6.0+ 的领域元数据

用于 6.0+ 的终端配置文件数据块

用于 6.0+ 的安全组元数据

用于 6.0+ 的 DNS 记录类型元数据

用于 6.0+ 的 DNS 响应类型元数据

用于 6.0+ 的 Sinkhole 元数据

用于 6.0+ 的 Netmap 域元数据

用于 6.0+ 的访问控制策略规则原因数据块

访问控制策略名称数据块

IP 信誉类别数据块

用于 6.0+ 的文件事件

恶意软件事件数据块 6.0+

用于 5.3+ 的文件事件 SHA 散列

用于 5.3+ 的文件类型 ID 元数据

用于 5.2+ 的规则文档数据块

用于 6.0+ 的文件日志存储元数据

用于 6.0+ 的文件日志沙盒元数据

用于 6.0+ 的文件日志 Spero 元数据

用于 6.0+ 的文件日志存档元数据

用于 6.0+ 的文件日志静态分析元数据

用于 5.2+ 的地理位置数据块

用于 6.0+ 的文件策略名称

SSL 策略名称

SSL 规则 ID

SSL 密码套件

SSL 版本

SSL 服务器证书状态

SSL 实际操作

SSL 预期操作

SSL 流状态

SSL URL 类别

用于 5.4+ 的 SSL 证书详细信息数据块

网络分析策略名称记录

Was this Document Helpful?

联系我们