UEBA 中自定义“回放”字段
我们新版本 ueba 中已经默认在日志中增加了“playback”字段，直接放入报表中使用。
但在 ueba6 版本中，还没有此功能。如需要可以手工配置增加。
具体方法如下：
1、搜索 -> 索引管理 -> 索引 ->ueba-index
2、找到 session_no 字段，并点击编辑
字段格式化改为 url
URL 模板改为：
标签改为：回放
点‘更新字段’保存
3、回到搜索界面，点击自己要的字段，选中 session_no 字段，则该字段表现为回放，生成自己需要的表格后，保存搜索，也可以将搜索放到报表中去
