> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 数据采集与处理

> Hilt 采集器捕获什么、绝不捕获什么、事件如何过滤、数据存放在何处以及保留期。

Hilt 采集器在元数据层面观测系统活动。它记录运行了什么、连接了什么、读取或写入了什么，但绝不记录文件、数据包或内存的内容。本页说明 Hilt 处理的数据、其存放位置以及保留时长。

***

## 采集内容

采集器为每个事件捕获执行与系统元数据：

* 时间戳
* 进程与用户标识（PID、UID）
* 命令名、二进制路径和参数
* 文件路径（用于文件事件）
* 网络详情，如连接 5 元组和字节数（用于网络事件）
* 容器与 cgroup 标识
* 配置的节点标签

这些元数据使活动能够跨主机和工作负载进行关联。完整模式参见[事件数据模型](https://hilt.ai/docs/zh/linux-collector/event-data-model.md)。

***

## 绝不采集的内容

采集器不是内容检查工具。它绝不捕获：

| 类别 | 详情 |
| :- | :- |
| **文件内容** | 仅路径和操作类型，绝不包含文件中的字节 |
| **数据包载荷** | 仅连接 5 元组和字节数，绝不包含数据包内容 |
| **内存与进程内存** | 不读取进程内存或内存区域 |
| **环境变量** | 不捕获进程环境 |
| **凭据** | 无密码、密钥或令牌值 |
| **标准工具之外的内容** | 不超出 `ps`、`lsof` 或 `ss` 所能暴露的范围 |

macOS 采集器遵循相同设计：它不读取文件内容、不捕获击键或屏幕内容、不捕获数据包载荷。遥测以 NOTIFY 为主；唯一的 AUTH 路径是 agent 自我保护（拒绝未授权的 kill/删除/重命名采集器）。参见 [macOS 采集器](https://hilt.ai/docs/zh/macos-collector.md)。

***

## 过滤与最小化

采集器在任何内容被存储之前，将原始内核遥测缩减为与安全相关的事件流。在繁忙主机上，原始系统调用量可超过每秒 10 万个事件；两层 eBPF 与用户空间过滤器通常会丢弃其中 90% 以上的 OS 日常噪声。

对数据处理而言，有两点很重要：

* **过滤不做内容检查。** 过滤器仅基于元数据运作（路径前缀、进程名、CIDR），绝不基于文件或数据包内容。
* **与安全相关的事件被保留。** 进程执行、文件写入、容器生命周期事件，以及对敏感路径（凭据文件、令牌、密钥）的读取始终通过过滤器。

有关过滤架构与配置，参见[采集器过滤](https://hilt.ai/docs/zh/linux-collector/agent-filtering.md)。

***

## 数据存放位置

每一类数据都保留在您的云账户内。

| 数据类别 | 位置 |
| :- | :- |
| 传输中的原始事件 | 采集器主机缓冲，随后是私有摄取端点 |
| 已缓冲事件 | 您账户中的流式缓冲（Kafka 或 Event Hubs） |
| 归一化遥测与发现项 | 您账户中的分析数据库（ClickHouse） |
| 仪表盘账户、团队和审计记录 | 您账户中的仪表盘数据库（PostgreSQL） |
| 报告与导出 | 您账户中的对象存储（S3、Cloud Storage、Blob 或 OSS） |

这些数据不会有副本被发送到 Hilt 或由 Hilt 存储。组件构成参见[架构与数据流](https://hilt.ai/docs/zh/trust-security/architecture.md)。

***

## 采集器特权

采集器需要提升的特权来读取内核遥测。具体要求取决于部署路径（systemd 需 root，Kubernetes 上需特权 DaemonSet）。这些特权仅授予观测能力；采集器不会修改主机状态、终止进程或阻断活动。特权模型记录在[网络与安全](https://hilt.ai/docs/zh/linux-collector/networking-security.md)。

***

## 保留期

遥测保留期按部署设定。分析数据库和对象存储按您约定的保留窗口进行容量规划，由于存储位于您的账户中，因此由您控制保留期。请向您的 Hilt 代表确认您部署所配置的保留期。

删除仪表盘用户时，其账户和会话会被移除；审计历史会以该用户名保留条目，从而保留对过往操作的记录。参见[用户管理](https://hilt.ai/docs/zh/administration/user-management.md)。

***

## 匿名化数据导出

任何数据离开您账户的唯一路径是匿名化导出管道，它是每项部署的核心组件。它导出聚合数值特征、派生统计和抽象活动令牌，绝不导出文件路径、IP 地址、主机名、用户名、云资源 ID 或检测规则逻辑。标识值在导出前会被剥离或重新映射，低于最低主机阈值的导出会被拒绝，且您会审核清单和样本并批准每次传输。

有关完整数据目录、匿名化方法和客户控制，参见[匿名数据导出](https://hilt.ai/docs/zh/on-prem/data-export-overview.md)。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.