基线巡检
主机配置基线与 OS 生命周期的合规巡检。规则库、手动或每日运行、按主机查看结果与趋势。数据来自 CIM Endpoint 与 Change 数据模型。
基线巡检把每台主机应有的配置写成规则，对 Splunk 中已有的端点数据执行判定，给出评分和失败项。所有版本可用。
数据来源
判定运行在 CIM Endpoint（Processes、Services、Ports、Registry、Filesystem）与 Change 数据模型上，使用 tstats。安装了 osquery TA 时可直接使用其 sourcetype。主机列表默认从 Endpoint.Processes 枚举；没有 CIM 数据时在运行时显式指定 hosts=。
OS 生命周期（EOL）来自内置目录（copilot_eol_catalog），eol_sync.py 可更新。
页签
| 页签 | 内容 |
|---|---|
| 规则 | 规则库：id、平台（linux、windows）、采集 SPL 片段、判定（等于、包含、阈值）、严重度、是否启用。导入默认规则带 CIS 基础包；单条规则可试跑查看采集结果 |
| 运行 | 每次运行的时间、主机数、通过、失败、错误、评分。立即巡检手动执行；[baseline] schedule_enabled = 1 时每日执行 |
| 结果 | 按主机与规则的判定，失败项带证据；评分趋势折线 |
字段映射
字段映射显示规则使用的字段在本实例映射到哪个数据模型字段。未安装 CIM 时按内置最小表兜底。
限制
| 项 | 说明 |
|---|---|
tstats | 只对索引时字段与加速的数据模型有效。search-time 抽取的字段用 | stats |
| 无 CIM Endpoint 数据 | 枚举不到主机，立即巡检为 0 主机。指定 hosts= 或先接入端点数据 |