Как настроить Define extraction query в Kibana

Я пытаюсь создать мониторинг в Кибане который бы ловил события в которых упоминаются парметры: private_key,passphrase и password , и проверял что значения в них скрыты и выглядят как: "masked<{{блаблабла}}>".

У меня есть старая копипастнутая заготовочка для отслеживания логгирования email'ов, которая выглядит следубщим образом:

{
"size": 500,
"query": {
    "bool": {
        "must": [
            {
                "query_string": {
                    "query": "\"type=REGISTRATION\"",
                    "default_field": "*",
                    "fields": [],
                    "type": "best_fields",
                    "default_operator": "or",
                    "max_determinized_states": 10000,
                    "enable_position_increments": true,
                    "fuzziness": "AUTO",
                    "fuzzy_prefix_length": 0,
                    "fuzzy_max_expansions": 50,
                    "phrase_slop": 0,
                    "analyze_wildcard": true,
                    "escape": false,
                    "auto_generate_synonyms_phrase_query": true,
                    "fuzzy_transpositions": true,
                    "boost": 1
                }
            },
            {
                "range": {
                    "timeMillis": {
                        "from": "{{period_start}}",
                        "to": "{{period_end}}",
                        "include_lower": true,
                        "include_upper": true,
                        "format": "epoch_millis",
                        "boost": 1
                    }
                }
            }
        ],
        "adjust_pure_negative": true,
        "boost": 1
    }
},
"version": true,
"_source": {
    "includes": [],
    "excludes": []
},
"stored_fields": "*",
"highlight": {
    "pre_tags": [
        "@kibana-highlighted-field@"
    ],
    "post_tags": [
        "@/kibana-highlighted-field@"
    ],
    "fragment_size": 2147483647,
    "fields": {
        "*": {}
    }
}
}

Вопрос: как мне ее изменить, что бы отслеживать что в "passphrase" : значится "masked<{{блаблабла}}>"