数据采集与处理

Hilt 采集器在元数据层面观测系统活动。它记录运行了什么、连接了什么、读取或写入了什么，但绝不记录文件、数据包或内存的内容。本页说明 Hilt 处理的数据、其存放位置以及保留时长。

---

采集内容

采集器为每个事件捕获执行与系统元数据：

• 时间戳
• 进程与用户标识（PID、UID）
• 命令名、二进制路径和参数
• 文件路径（用于文件事件）
• 网络详情，如连接 5 元组和字节数（用于网络事件）
• 容器与 cgroup 标识
• 配置的节点标签

这些元数据使活动能够跨主机和工作负载进行关联。完整模式参见事件数据模型。

---

绝不采集的内容

采集器不是内容检查工具。它绝不捕获： macOS 采集器遵循相同设计：它不读取文件内容、不捕获击键或屏幕内容、不捕获数据包载荷。遥测以 NOTIFY 为主；唯一的 AUTH 路径是 agent 自我保护（拒绝未授权的 kill/删除/重命名采集器）。参见 macOS 采集器。

---

过滤与最小化

采集器在任何内容被存储之前，将原始内核遥测缩减为与安全相关的事件流。在繁忙主机上，原始系统调用量可超过每秒 10 万个事件；两层 eBPF 与用户空间过滤器通常会丢弃其中 90% 以上的 OS 日常噪声。 对数据处理而言，有两点很重要：

• 过滤不做内容检查。 过滤器仅基于元数据运作（路径前缀、进程名、CIDR），绝不基于文件或数据包内容。
• 与安全相关的事件被保留。 进程执行、文件写入、容器生命周期事件，以及对敏感路径（凭据文件、令牌、密钥）的读取始终通过过滤器。

有关过滤架构与配置，参见采集器过滤。

---

数据存放位置

每一类数据都保留在您的云账户内。 这些数据不会有副本被发送到 Hilt 或由 Hilt 存储。组件构成参见架构与数据流。

---

采集器特权

采集器需要提升的特权来读取内核遥测。具体要求取决于部署路径（systemd 需 root，Kubernetes 上需特权 DaemonSet）。这些特权仅授予观测能力；采集器不会修改主机状态、终止进程或阻断活动。特权模型记录在网络与安全。

---

保留期

遥测保留期按部署设定。分析数据库和对象存储按您约定的保留窗口进行容量规划，由于存储位于您的账户中，因此由您控制保留期。请向您的 Hilt 代表确认您部署所配置的保留期。 删除仪表盘用户时，其账户和会话会被移除；审计历史会以该用户名保留条目，从而保留对过往操作的记录。参见用户管理。

---

匿名化数据导出

任何数据离开您账户的唯一路径是匿名化导出管道，它是每项部署的核心组件。它导出聚合数值特征、派生统计和抽象活动令牌，绝不导出文件路径、IP 地址、主机名、用户名、云资源 ID 或检测规则逻辑。标识值在导出前会被剥离或重新映射，低于最低主机阈值的导出会被拒绝，且您会审核清单和样本并批准每次传输。 有关完整数据目录、匿名化方法和客户控制，参见匿名数据导出。