如何阅读本页
每个表条目包含：- 写入方 — 向该表插入数据的处理阶段
- 读取方 — 查询该表的仪表盘页面、智能助手或 API
- 保留期限 — 默认 TTL；所有默认值均可在存储页面按部署单独配置
事件遥测
两条原始内核事件流。本页其余所有表都是从这两条流派生出来的。dag_events — Linux 与云端工作负载
Linux 主机和容器化工作负载的主要事件流：每观测到一次内核事件（exec、fork、文件操作、网络流）即产生一行。列内容覆盖事件数据模型中描述的各个类别——进程与用户标识符、命令行、文件路径、网络五元组和字节计数、容器/cgroup/Kubernetes 上下文，以及已解析的工作负载与应用标识。
endpoint_events — macOS 设备
macOS 原生事件流，每条 Apple Endpoint Security 消息对应一行，每一行都带有代码签名信任信息（signing_id、code_signature、team_id、cdhash）和应用归属信息（application_id、application_display_name、responsible_pid、session_id）。macOS 相关控制台页面见 检测、凭据、文件 与 macOS 采集器。
dag_edr_events — macOS EDR 发现项
来自 macOS EDR 转发器的精选安全发现项——每条检测结果（持久化、防篡改、凭据访问、可移动介质、网络外传）对应一行，包含严重性、对应的 MITRE ATT&CK 技术、发起进程，以及 agent 的响应方式（blocked / alerted / logged）。incident_id 列会将相关发现项归组为同一条攻击链。
进程与身份
用于重建进程谱系、并将原始内核标识符解析为稳定的工作负载与应用身份的表。网络
macOS 的网络流直接存放在
endpoint_events 中（event_type = 'net_flow'）——由于 NetFilter 会在捕获时就解析出负责该连接的应用，因此 Endpoint 侧不需要单独的流表。
检测与异常
评分管道的输出。评分以每主机每 5 分钟一个 epoch 的节奏运行。检测在不同时间尺度上组合三条腿：统计 z 分数基线（
dag_anomaly_scores、dag_anomaly_alerts）、TRACE token 模型评分（dag_trace_scores），以及（在启用 GNN_ENABLED 与边摄入时）GNN 图评分。Token 序列、图边与模型内部状态存放在本页未列出的其他 ClickHouse 表中。它们属于检测引擎的实现细节，不供直接查询，出于与检测规则逻辑相同的原因（它们描述了你的安全态势），本页以及匿名数据导出都刻意将其排除在外。每小时汇总
预聚合的计数器，用于让概览等全舰队仪表盘控件保持快速响应，而无需扫描原始事件。每一行都是某主机某小时的聚合结果——只有计数和字节总和，不含单条事件详情。
每小时汇总表的保留期限通常长于它们所汇总的原始表（一般为 730 天），因为其体积只是原始表的一小部分。
保留期限与存储层
上述每张表在可查询期间都位于热层（ClickHouse），达到其 TTL 后会根据存储页面上配置的分层策略迁移到冷层（对象存储）。PostgreSQL 则存放另一套运维性质的表——用户账户、团队、检测规则、人工反馈——不在本页范围内；完整的分层细分（包括 PostgreSQL）参见存储。表名和列名在同一大版本内保持稳定，但属于当前版本的实现细节。如果你要基于直连 SQL 构建工具，请优先使用 MCP 服务器的工具——即使底层模式发生演进，它们也能在版本升级之间保持稳定的接口。