Eventum 内容包

Eventum 的即用型生成器项目，可生成模仿真实 SIEM 数据源的逼真合成事件。每个生成器输出兼容 ECS 的 JSON，可直接导入 Elasticsearch、OpenSearch 或任何 SIEM 平台。

快速开始

使用 Docker（推荐）

git clone https://github.com/eventum-generator/content-packs.git
cd content-packs
docker compose up -d

这将启动 Eventum 服务器，端口为 9474，所有生成器可用。通过 http://localhost:9474 的 REST API 管理实例。

使用 CLI

# Install Eventum
uv tool install eventum-generator

# Clone this repository
git clone https://github.com/eventum-generator/content-packs.git
cd content-packs

# Run a generator (outputs to generators/windows-security/output/events.json)
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

事件以 JSON 格式逐行写入生成器目录下的 output/events.json 文件中：

{
    "@timestamp": "2026-02-21T12:00:01.234567+00:00",
    "event": {
        "action": "logged-in",
        "category": ["authentication"],
        "code": "4624",
        "kind": "event",
        "outcome": "success"
    },
    "user": {
        "domain": "CONTOSO",
        "name": "jsmith"
    },
    "winlog": {
        "channel": "Security",
        "event_id": "4624",
        "logon": { "type": "Network" }
    }
}

可用生成器

每个生成器目录都包含一个 README.md 文件，介绍了涵盖的事件类型、参数、使用示例和示例输出。

仓库结构

content-packs/
├── config/
│   ├── eventum.yml              # Eventum server configuration
│   └── startup.yml              # Generator instance startup config
├── generators/
│   └── <category>-<source>/     # e.g. windows-security
│       ├── generator.yml        # Pipeline config (input → event → output)
│       ├── README.md            # Data source docs, parameters, usage
│       ├── templates/           # Jinja2 templates (.json.jinja)
│       ├── samples/             # CSV/JSON data files
│       └── scripts/             # Python scripts (if needed)
├── logs/                        # Runtime log output
├── docker-compose.yml           # Docker Compose for Eventum server
└── LICENSE                      # Apache 2.0

每个生成器都是自包含的——所有文件路径都相对于生成器目录，因此生成器可以独立复制、移动或组合。

使用方法

单个生成器（CLI）

# Live mode — generates events continuously
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

# Live mode — generates as fast as possible untill stopped
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode false

事件写入生成器目录下的 output/events.json。

多个生成器（服务器模式）

在 config/startup.yml 中定义实例，然后运行服务器：

# config/startup.yml
- id: winlog
  path: windows-security

# With CLI
eventum run

# Or with Docker
docker compose up -d

Docker 设置将 config/、generators/ 和 logs/ 挂载到容器中。服务器配置位于 config/eventum.yml。

调整事件速率

编辑任意 generator.yml 中的 input 部分：

input:
  - cron:
      expression: "* * * * * *"
      count: 5    # 5 events/second (~18K/hour)

输出

默认情况下，生成器将事件写入生成器目录下的 output/events.json。要更改输出目标（例如 OpenSearch、ClickHouse、HTTP），请编辑 generator.yml 中的 output 部分。有关可用输出插件的详细信息，请参阅 Eventum 文档。

逼真技术

加权分布 — 事件类型、用户类型和状态码遵循真实的频率比例
关联事件 — 共享状态跟踪活动会话和进程，使登录/注销和进程创建/终止事件相关联
样本数据 — CSV 和 JSON 文件提供真实的用户名、主机名、进程树等
单调计数器 — 跨所有事件的顺序记录 ID，匹配真实日志行为
参数化 — 主机名、域名、SID 和输出连接可在不修改模板的情况下配置

贡献

欢迎贡献！如果您为自己用例构建了生成器，并认为其他人也能从中受益，我们很乐意将其纳入。

生成器约定

命名：小写字母加连字符的 <category>-<source> 格式（例如 linux-auditd、web-nginx）
输出格式：与 Elastic Integration 字段模式兼容的 ECS 兼容 JSON
模板：命名为 <event-id-or-type>.json.jinja
配置：必须能够与 eventum generate 开箱即用（文件输出到 output/events.json）
参数化：使用 params 表示环境特定值（主机名、域名等）——切勿在模板中硬编码
文档：包含 README.md，介绍事件类型、参数、使用示例和示例输出

参考

许可证

本项目采用 Apache License 2.0 许可。

content-packs

最受欢迎