理解事件字段

与事件类型相关的操作，例如：

事务或操作开始和结束之间的持续时间（以毫秒为单位）。 例如，在 DNS 或 HTTP 事件中，这反映了请求和相应响应之间的时间。

例如，在 DNS 或 HTTP 事件中，这反映了请求和相应响应之间的时间。

流量出口 PoP 的名称，如网络规则中使用NAT或通过路由配置定义

仅在流量从连接到的站点以外的 PoP 出口时显示该字段

Cato 对事件的描述

对于 BGP 路由忽略操作：

相关文件的名称

注意： 如果PoP无法在检测时获取实际文件名称，则使用网址的最后部分作为文件名称，例如下载

文件内容类型（例如存档或Microsoft Office）

对于文件控制规则，form_data是通过Web表单提交的数据的通用表示，通常用于HTTP请求（例如多部分表单提交）。 这不表示一个独特的文件类型。

返回的HTTP状态代码（即对于DNS请求，使用DoH时的DNS-over-HTTPS服务器）

对于DNS和应用安全事件子类型

用于该事件的ISP

如果ISP未提供IP地址，则事件消息为IP地址是静态分配的

注意： 对于有多个活跃WAN接口使用不同ISP的站点，ISP名称可能不准确，因为接口可能在流量生命周期中改变

对于相关IPS事件，基于Mitre Att&ck知识库显示网络对手的数据

在此事件中流量匹配的网络规则名称

值为0表示流量经历了数据包损坏问题，或是系统流量，如访问Socket WebUI

由PoP分配的公共IP地址，流量从中出口。 对于使用互联网流量回传作为路由方法的网站，此字段显示站点的原生范围本地IP地址。

对于不从PoP出到互联网的流量，如内部DNS请求和FTP流量，不显示该字段。

查询类型（即，DNS查询：A，AAAA，MX或PTR）

对于DNS和应用安全事件子类型

为此事件在流量中识别出的应用程序列表，作为应用程序识别过程的一部分。

此过程在流的不同阶段分析流量，收集所有协议、服务和应用程序的信息，以得出应用程序的准确最终确定。 该字段通过显示在过程的各个阶段中识别出的应用程序，为应用程序识别提供上下文。

请求数据包大小（字节）（即. DNS请求数据包）

在DNS和应用安全性事件子类型

响应数据包大小（以字节为单位，例如 DNS 响应数据包）

对于 DNS 和应用程序安全性事件子类型

IPS事件表示对主机或网络的威胁的整体影响：

风险等级低——对网络的风险最小，例如广告软件

风险等级中等——对网络的中等风险，例如网络扫描

风险等级高——网络风险大，例如间谍软件或蠕虫

显示事件中的流量是否经过TCP加速。 取值为1（加速）和0（未加速）

该字段仅在TCP流量流中出现

对于反恶意软件事件，恶意软件名称

对于IPS事件，解释为什么流量被阻止的原因

反恶意软件扫描结果

此事件中TLS错误的解释，取值为：

关闭通知，意外消息，坏记录mac，解压失败，握手失败，无证书，坏证书，不支持的证书，证书被撤销，证书过期，未知证书，非法参数，解密失败，记录溢出，未知CA，拒绝访问，解码错误，解密错误，导出限制，协议版本，安全不足，内部错误，用户取消，无重新协商，未知PSK身份，未知

有关这些错误解释，请参见此文档

此事件的TLS错误类型，取值为：

显示事件中的流量是否经过TLS。 取值为1（检查）和0（未检查）

该字段仅在TLS流量流中出现

总事务大小（以字节为单位），包括请求和响应

对于DNS和应用安全事件子类型

在HTTP头中显示在用户代理字段中用于流量的登录用户代理。 当pop从HTTP请求中提取其值时，仅填充此字段，当前发生在以下情况：

这些是用户代理值的示例：

指示此事件是否：为 true/false 值