title: Elastic Auditbeat (from 7.x) index pattern and field mapping order: 20 backends: - es-qs - es-dsl - es-rule - es-rule-eql - es-eql - kibana - kibana-ndjson - xpack-watcher - elastalert - elastalert-dsl - ee-outliers logsources: linux_auditd: product: linux service: auditd conditions: event.module: auditd defaultindex: auditbeat-* fieldmappings: # https://www.elastic.co/guide/en/beats/auditbeat/current/exported-fields-auditd.html a0: auditd.data.a0 a1: auditd.data.a1 a2: auditd.data.a2 a3: auditd.data.a3 acct: auditd.data.acct acl: auditd.data.acl action: auditd.data.action added: auditd.data.added addr: auditd.data.socket.addr apparmor: auditd.data.apparmor arch: auditd.data.arch argc: auditd.data.argc audit_backlog_limit: auditd.data.audit_backlog_limit audit_backlog_wait_time: auditd.data.audit_backlog_wait_time audit_enabled: auditd.data.audit_enabled audit_failure: auditd.data.audit_failure auid: user.auid banners: auditd.data.banners bool: auditd.data.bool bus: auditd.data.bus capability: auditd.data.capability cap_fe: auditd.data.cap_fe cap_fi: auditd.data.cap_fi cap_fp: auditd.data.cap_fp cap_fver: auditd.data.cap_fver cap_pa: auditd.data.cap_pa cap_pe: auditd.data.cap_pe cap_pi: auditd.data.cap_pi cap_pp: auditd.data.cap_pp category: user.selinux.category cgroup: auditd.data.cgroup changed: auditd.data.changed cipher: auditd.data.cipher class: auditd.data.class cmd: auditd.data.cmd code: auditd.data.code comm: auditd.data.comm compat: auditd.data.compat cwd: process.cwd daddr: auditd.data.daddr data: auditd.data.data default-context: auditd.data.default-context dev: auditd.paths.dev device: auditd.data.device dir: auditd.data.dir direction: auditd.data.direction dmac: auditd.data.dmac dport: auditd.data.dport enforcing: auditd.data.enforcing entries: auditd.data.entries exe: process.executable exit: auditd.data.exit fam: auditd.data.fam family: auditd.data.family fd: auditd.data.fd file: auditd.data.file flags: auditd.data.flags fe: auditd.data.fe feature: auditd.data.feature fi: auditd.data.fi fp: auditd.data.fp format: auditd.data.format fsgid: user.fsgid fsuid: user.fsuid fver: auditd.data.fver gid: user.gid grantors: auditd.data.grantors grp: auditd.data.grp hook: auditd.data.hook hostname: auditd.data.hostname icmp_type: auditd.data.icmp_type id: auditd.data.id igid: auditd.data.igid img-ctx: auditd.data.img-ctx inif: auditd.data.inif ip: auditd.data.ip ipid: auditd.data.ipid ino: auditd.data.ino inode: auditd.paths.inode inode_gid: auditd.data.inode_gid inode_uid: auditd.data.inode_uid invalid_context: auditd.data.invalid_context ioctlcmd: auditd.data.ioctlcmd ipx-net: auditd.data.ipx-net item: auditd.paths.item items: auditd.data.items iuid: auditd.data.iuid kernel: auditd.data.kernel kind: auditd.data.kind ksize: auditd.data.ksize laddr: auditd.data.laddr len: auditd.data.len lport: auditd.data.lport list: auditd.data.list mac: auditd.data.mac macproto: auditd.data.macproto maj: auditd.data.maj major: auditd.data.major minor: auditd.data.minor mode: auditd.paths.mode model: auditd.data.model msg: auditd.data.msg nargs: auditd.data.nargs name: auditd.paths.name nametype: auditd.paths.nametype net: auditd.data.net new: auditd.data.new new-chardev: auditd.data.new-chardev new-disk: auditd.data.new-disk new-enabled: auditd.data.new-enabled new-fs: auditd.data.new-fs new_gid: auditd.data.new_gid new-level: auditd.data.new-level new_lock: auditd.data.new_lock new-log_passwd: auditd.data.new-log_passwd new-mem: auditd.data.new-mem new-net: auditd.data.new-net new_pe: auditd.data.new_pe new_pi: auditd.data.new_pi new_pp: auditd.data.new_pp new-range: auditd.data.new-range new-rng: auditd.data.new-rng new-role: auditd.data.new-role new-seuser: auditd.data.new-seuser new-vcpu: auditd.data.new-vcpu nlnk-fam: auditd.data.nlnk-fam nlnk-grp: auditd.data.nlnk-grp nlnk-pid: auditd.data.nlnk-pid oauid: auditd.data.oauid obj: auditd.data.obj obj_gid: auditd.data.obj_gid obj_uid: auditd.data.obj_uid oflag: auditd.data.oflag ogid: auditd.paths.ogid ocomm: auditd.data.ocomm old: auditd.data.old old-auid: auditd.data.old-auid old-chardev: auditd.data.old-chardev old-disk: auditd.data.old-disk old-enabled: auditd.data.old-enabled old_enforcing: auditd.data.old_enforcing old-fs: auditd.data.old-fs old-level: auditd.data.old-level old_lock: auditd.data.old_lock old-log_passwd: auditd.data.old-log_passwd old-mem: auditd.data.old-mem old-net: auditd.data.old-net old_pa: auditd.data.old_pa old_pe: auditd.data.old_pe old_pi: auditd.data.old_pi old_pp: auditd.data.old_pp old_prom: auditd.data.old_prom old-range: auditd.data.old-range old-rng: auditd.data.old-rng old-role: auditd.data.old-role old-ses: auditd.data.old-ses old-seuser: auditd.data.old-seuser old_val: auditd.data.old_val old-vcpu: auditd.data.old-vcpu op: auditd.data.op opid: auditd.data.opid oses: auditd.data.oses ouid: auditd.paths.ouid outif: auditd.data.outif parent: auditd.data.parent path: source.path per: auditd.data.per perm: auditd.data.perm perm_mask: auditd.data.perm_mask permissive: auditd.data.permissive pfs: auditd.data.pfs printer: auditd.data.printer prom: auditd.data.prom proctitle: proctitle proto: auditd.data.proto qbytes: auditd.data.qbytes range: auditd.data.range rdev: auditd.paths.rdev reason: auditd.data.reason removed: auditd.data.removed res: auditd.data.res resrc: auditd.data.resrc result: auditd.result role: user.selinux.role rport: auditd.data.rport saddr: auditd.data.socket.saddr sauid: auditd.data.sauid scontext: auditd.data.scontext selected-context: auditd.data.selected-context seperm: auditd.data.seperm seqno: auditd.data.seqno seperms: auditd.data.seperms seresult: auditd.data.seresult ses: auditd.data.ses seuser: auditd.data.seuser sgid: user.sgid sig: auditd.data.sig sigev_signo: auditd.data.sigev_signo smac: auditd.data.smac spid: auditd.data.spid sport: auditd.data.sport state: auditd.data.state subj: auditd.data.subj success: auditd.data.success suid: user.suid syscall: auditd.data.syscall table: auditd.data.table TargetFileName: auditd.data.file tclass: auditd.data.tclass tcontext: auditd.data.tcontext terminal: auditd.data.terminal tty: auditd.data.tty type: user.selinux.domain uid: user.uid unit: auditd.data.unit uri: auditd.data.uri user: user.selinux.user uuid: auditd.data.uuid val: auditd.data.val ver: auditd.data.ver ssvirt: auditd.data.virt vm: auditd.data.vm vm-ctx: auditd.data.vm-ctx vm-pid: auditd.data.vm-pid watch: auditd.data.watch