Security Center：組件參數及節點執行流程

文法格式

擷取節點輸出參數的文法為${節點名稱.參數路徑}，路徑採用jsonpath的方式，支援任意多層的JSON格式。

• 對於JSONObject格式，通過“.”直接擷取下級節點的資料。對於JSONArray格式，*表示擷取所有資料，同時支援基於數字下標擷取單條資料。以下為擷取動作執行後的輸出參數為例：

  類型	文法	說明
  擷取JSON中的參數	${節點名稱.datalist.*.參數1.參數2} 說明 開始節點（劇本）輸出參數文法為：${event.參數1.參數2}。	擷取參數1下參數2的資料。 說明 參數1的值為JSONObject格式。
  擷取JSON數組中所有的資料	${節點名稱.datalist.*.參數1.*.參數2} 說明 開始節點（劇本）輸出參數文法為：${event.參數1.*.參數2}。	擷取參數1下所有的JSONObject中參數2的資料。 說明 參數1的值必須為JSONArray格式。
  擷取JSON數組中單條的資料	${節點名稱.datalist.*.參數1.[0].參數2} 說明 開始節點（劇本）輸出參數文法為：${event.參數1.[0].參數2}。	擷取參數1下的第一個JSONObject中參數2的資料 說明 參數1的值必須為JSONArray格式。

• 除了手寫文法規則外，系統還支援在輸入框下拉式清單進行選擇對應參數的方式產生對應的文法，這個在調試完成後會推薦。例如：在 outputFields 配置中，單擊欄位對應值地區可彈出資料來源下拉式功能表（如 InputCheck、dataSetFilter、SiemEventFormat），選擇資料來源後右側展示可選欄位路徑列表，單擊目標欄位即可自動產生Variant 運算式，例如 ${InputCheck.datalist.*.records.*.hackerIP}。

擷取變數參數樣本

以某個節點node1為樣本，該節點的輸出參數如下：

{
  "datalist": [
    {
      "person": {
        "weight": "120",
        "age": "12"
      }
    },
    {
      "person": {
        "weight": "121",
        "age": "13"
      }
    }
  ],
  "total_data_successful": 2,
  "total_data": 2,
  "total_exe_successful": 2,
  "total_exe": 2,
  "total_data_with_dup": 2,
  "status": true
}

同一個資料來源處理

複雜的任意深度的JSON格式可以看作一個樹形結構，提取JSON中參數的原則是：同一深度的兄弟關係保持不變，同一祖輩節點做祖輩擴充，既不是兄弟也不是父輩的做笛卡爾乘積。

1. 自動提取任意深度的資料。樣本如下：

2. 同一深度的兄弟關係保持不變。樣本如下：

   

3. 同一祖輩節點：祖輩擴充。樣本如下：

   

4. 既不是兄弟，也不是父輩的進行笛卡爾乘積。樣本如下：

多資料來源的處理

對各個單資料來源處理結果做笛卡爾乘積。