数据接入
粘贴一段原始日志，识别格式，生成 props.conf、transforms.conf、rex 与 CIM 映射，在真实数据上试跑覆盖率，写入 local/ 并可回滚。1.7.0 起。
新 sourcetype 接入需要写 props.conf、抽取字段、映射 CIM。数据接入把该过程分为识别、生成、试跑三步，每一步的产物可查看、修改、在真实数据上验证。需要许可（与检测规则同档）；写入需要管理员。
识别
粘贴 20 到 50 行原始日志，或选择一个已有的 index 与 sourcetype 自动采样（[onboard] sample_rows，默认 50 条）。识别为纯规则，不调用模型：
| 输出 | 说明 |
|---|---|
| 格式 | json、kv、csv、syslog、multiline |
| 时间戳 | 候选字段与 TIME_FORMAT（如 %b %d %H:%M:%S、%Y-%m-%dT%H:%M:%S，含无时区 ISO） |
| 换行 | LINE_BREAKER、SHOULD_LINEMERGE |
| 字段候选 | kv 与 json 直接得到；syslog 类给出正则候选 |
生成
模型（agentic）根据识别结果写配置，并用 run_spl 在样本 sourcetype 上执行 | rex 自验字段可抽取：
| 产物 | 内容 |
|---|---|
props.conf | TIME_FORMAT、LINE_BREAKER、KV_MODE、EXTRACT-*、EVAL-*、FIELDALIAS-* |
transforms.conf | 只在 csv 或需要 REPORT- 时生成 |
| rex 列表 | 每个 EXTRACT- 对应的正则与目标字段 |
| CIM 映射 | 推荐的数据模型（Authentication、Network_Traffic、Web、Endpoint 等）与字段对应表，必填字段缺失时标出 |
配置块可直接编辑。1.9.0 实测 sshd 样本约 21 到 29 秒。
试跑
对指定 index 与 sourcetype 的近 1000 条（dryrun_rows，上限 5000）执行抽取，每个字段给出抽取率、空值率、首个样例。CIM 页签对照数据模型的字段清单（安装了 CIM 时读取 /datamodel/model 的真实清单，未安装时用内置最小表）。实测：sshd 样本 15 个字段覆盖率 93.9%，pan:traffic 100%。
写入与回滚
| 操作 | 说明 |
|---|---|
| 写入 | 把 props.conf 与 transforms.conf 写到目标 app（默认 search，[onboard] default_app）的 local/，先把已有文件备份为 *.conf.bak-<时间戳>，然后 _reload。本次新建的文件带 .created-by-copilot 标记 |
| 回滚 | 只处理有备份或有标记的文件，不删除客户原有的配置 |
| 下载 | 得到两个 conf 文件自行放置 |
写入后在字段字典查看新字段。tstats 只对索引时字段有效，search-time 抽取用 | stats count by <字段> 验证。