导出 Schema - Hilt Documentation

导出的 Parquet 文件仅包含以下列出的列。未列出的任何内容均在查询层面被排除。

时间与分组

Column	Type	说明
`epoch_ts`	`String`	5 分钟时段时间戳；按随机的每次导出偏移量偏移（±0–48 小时）以防止日历关联
`host_id_anon`	`String`	确定性重映射：`host-0001`、`host-0002` 等。在同一次导出内保持一致
`uid_anon`	`UInt32`	顺序重映射：每主机 0、1、2、…
`phase`	`String`	评分阶段标签（如 `cold_start`、`baseline`、`scoring`）
`is_active`	`UInt8`	该 epoch 是否有有意义的活动
`is_anomaly`	`UInt8`	二元异常标记
`topk_sum`	`Float64`	Top-K 异常通道评分之和
`volume_topk`	`Float64`	按量加权的 Top-K 评分

特征向量

Column	Type	说明
`numeric_features`	`List(Float64)`	24 元素向量，每个 epoch 的聚合活动计数
`derived_features`	`List(Float64)`	32 元素向量，统计变换（比率、熵、小波）

特征向量以 Arrow List 列的方式打包。各特征的具体语义记录在内部工程参考文档中。

活动令牌序列

Column	Type	说明
`token_ids`	`List(UInt16)`	封闭词汇表 ID，不含原始字符串、文件名或 IP
`token_sub_epochs`	`List(UInt8)`	每个令牌的子 epoch 索引
`token_counts`	`List(UInt16)`	每个令牌的出现次数
`token_importances`	`List(Float32)`	每个令牌的异常重要性权重
`token_depths`	`List(UInt8)`	进程树深度
`token_roles`	`List(UInt8)`	令牌角色枚举
`total_events`	`UInt32`	该 epoch 的原始事件总数（令牌化之前）
`tokens_before_topk`	`UInt16`	Top-K 剪枝前的令牌数量

标签（可用时）

Column	Type	说明
`ml_label`	`String`	攻击阶段标签或空值
`ml_source`	`String`	标签来源（`hitl`、`synthetic`、`replay`）

明确排除的内容

上述允许列表中未包含的每一列均被排除。导出查询仅涉及聚合评分和令牌表，无法访问原始事件数据或应用数据库。排除的类别包括：

原始事件证据（文件名、argv、地址）
自由文本评分器解释
人类身份字符串
原始 Host ID（已替换为匿名化版本）
Boot ID 和生命周期标识符
检测规则来源（规则名称、匹配条件、严重性标签）

最后修改于 2026年10月8日