字段集

字段集用于集中维护搜索结果字段组合、字段中文别名以及业务页面的字段展示规则。菜单路径为【安全分析引擎 → 数据管理 → 字段集】，页面包含【字段集】【字段别名】和【字段展示 Mapping】三个页签。

字段集影响搜索结果的字段选择；字段别名影响字段中文名称；字段展示 Mapping 用于控制漏洞、威胁情报等页面的字段、顺序、固定方式及来源级覆盖。

字段集管理

【字段集】页签展示字段集名称、字段信息、操作人、操作时间和操作列。页面支持按字段集相关信息搜索，并可新增、编辑或删除字段集。

图 62　字段集列表

点击【添加字段集】，填写字段集名称；在字段列表中点击【添加字段】并依次维护需要组合的字段，确认无误后点击【确定】。字段集名称应能体现使用场景，避免创建含义重复的字段集。

字段集 → 添加字段集 → 填写字段集名称 → 添加字段 → 确定

图 63　新增字段集

点击目标记录操作列的【编辑】进入字段集编辑抽屉，可增删字段并调整字段内容；点击【确定】保存。点击【删除】并在确认框中确认后删除字段集。删除前应确认搜索配置中不再引用该字段集。

在安全数据搜索页面打开字段配置，选择已创建的字段集即可快速应用字段组合；保存搜索字段配置会以当前选择覆盖原有字段组合。

字段集列表 → 编辑或删除 → 确认操作；安全数据搜索 → 字段配置 → 选择字段集 → 保存

【字段别名】页签将原始字段名映射为便于阅读的中文名称。列表展示字段名、别名、分类、操作人和操作时间，支持搜索、添加字段别名、批量删除、编辑和单条删除。

图 64　字段别名列表

点击【添加字段别名】，填写字段、字段别名并选择分类，点击【确定】保存。字段名应与实际数据字段完全一致；同一字段应保持统一中文名称。

字段别名 → 添加字段别名 → 填写字段和别名 → 选择分类 → 确定

图 65　新增字段别名

点击操作列的【编辑】可修改字段、字段别名和分类，并可查看创建人、创建时间、操作人和操作时间。点击【删除】可删除单条记录；勾选多条记录后点击【批量删除】可集中清理。

图 66　编辑字段别名

使用场景：需要为搜索页创建一个含 src_ip、dst_ip 的常用字段集。

进入【字段集】页签，点击【添加字段集】。

填写字段集名称，依次添加 time、src_ip、dst_ip 等字段后点击【确定】。

打开安全数据搜索页，在字段配置中选择该字段集，确认字段已应用。