Операції

Частина operations визначає виконувані процесом операції, які ініціюють виявлення. Якщо значення порожнє, виявлення ініціюється, коли процес генерує подію.

Операції визначаються за допомогою елемента операції з атрибутом type і елементом виразу.

<operation type="WriteFile">Expression</operation>

 

Указані нижче компоненти підтримуються всіма операціями.

•DateTime

•EnterpriseInspector

•SystemInfo

BitsJobAddFile

До завдання BITS додано файл.

Підтримувані компоненти:

•BitsJobAddFile

•DateTime

•EnterpriseInspector

•SystemInfo

CodeInjection

До процесу було застосовано певну форму включення коду.

Підтримувані компоненти:

•ClientProcessInfo

•CodeInjectionInfo

•DateTime

•Enterprise

•EnterpriseInspector

•FileItem

•LiveGrid

•Module

•ProcessInfo

•ServiceProcessInfo

•SystemInfo

CreateNamedPipe

Створено іменований канал pipe.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

CreateProcess

Створено процес.

Підтримувані компоненти:

•DateTime

•Enterprise

•EnterpriseInspector

•FileItem

•LiveGrid

•Module

•ProcessInfo

•ServiceProcessInfo

•SystemInfo

DeleteFile

Файл видалено.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

DeleteVolumeShadowCopy

Видалено тіньову копію тому.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•SystemInfo

•VolumeShadowCopyInfo

Detection

Цю операцію можна використовувати двома різними способами:

•У звичайному правилі: подію ініційовано на клієнтському антивірусі

•У правилі послідовності: лише об’єкти, виявлені Inspect

Підтримувані компоненти:

•DateTime

•Endpoint

•EnterpriseInspector

•InspectDetection

•Network

•SystemInfo

DnsRequest

Створено запит DNS (IP-адреса > доменне ім’я, доменне ім’я > IP-адреса).

Підтримувані компоненти:

•DateTime

•DnsInfo

•EnterpriseInspector

•SystemInfo

HttpRequest

Створено HTTP-запит.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•Network

•SystemInfo

LoadDLL

Завантажено бібліотеку DLL.

Підтримувані компоненти:

•DateTime

•Enterprise

•EnterpriseInspector

•FileItem

•LiveGrid

•Module

•ProcessInfo

•ServiceProcessInfo

•SystemInfo

LoadDriver

Завантажено драйвер або модуль ядра.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•Module

•SystemInfo

ModuleDrop

Виконуваний файл було інстальовано дропером.

Підтримувані компоненти:

•DateTime

•Enterprise

•EnterpriseInspector

•FileItem

•LiveGrid

•Module

•SystemInfo

MultipleFilesChanged

Процес змінив кілька файлів.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•ProcessBehavior

•SystemInfo

OpenProcess

Додано новий атрибут правила, який активується під час відкриття процесу. Відстежується тільки відкритий процес у lsass.exe.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•OpenProcess

•SystemInfo

ReadFile

Активується під час читання відстежуваного файлу. Відстежувані файли — це файли, які містять конфіденційну інформацію або збережені облікові дані, наприклад збережені паролі браузера, збережені паролі клієнтів FTP, базу даних AD тощо.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

RegDeleteKey

Видалено розділ реєстру.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•RegistryItem

•SystemInfo

RegDeleteValue

Значення реєстру видалено.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•RegistryItem

•SystemInfo

RegRenameKey

Перейменовано розділ реєстру.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•RegistryItem

•SystemInfo

RegSetValue

Змінено розділ реєстру.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•RegistryItem

•SystemInfo

RenameFile

Файл перейменовано.

Підтримувані компоненти:

•DateTime

•DestFileItem

•EnterpriseInspector

•FileItem

•SystemInfo

ScheduledTaskAdded

Додано заплановане завдання.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•ScheduledTask

•SystemInfo

Scripts

Виконано сценарій, оброблений AMSI.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•Scripts

•SystemInfo

ServiceInstalled

Інстальовано службу.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•Service

•SystemInfo

ServiceStarted

Запущено службу.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•Service

•SystemInfo

SetFileAttribute

Задано атрибут файлу.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileAttribute

•FileItem

•SystemInfo

SystemApiCall

Викликано системну функцію.

Підтримувані компоненти:

•ApiCall

•DateTime

•EnterpriseInspector

•SystemInfo

TcpIpAccept

Прийнято вхідне з’єднання TCP/IP.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•Network

•SystemInfo

TcpIpConnect

Встановлено вихідне з’єднання TCP/IP.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•Network

•SystemInfo

TcpIpProtocolIdentified

Описує протокол, який використовується поверх з’єднання TCP/IP.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•Network

•SystemInfo

TruncateFile

Файл скорочено.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

UnloadDriver

Вивантажено драйвер або модуль ядра.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

UserActivate

Користувача активовано.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

UserAddToGroup

Користувача додано в групу.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

•UserGroupData

UserCreate

Створено нового користувача.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

UserDisable

Користувача вимкнуто.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

UserLogin

Користувач увійшов у систему.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

•UserLogonData

UserLogout

Користувач вийшов із системи.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

•UserLogonData

UserRemove

Користувача видалено.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

UserRemoveFromGroup

Користувача видалено з групи.

Підтримувані компоненти:

•DateTime

•DoneByUser

•EnterpriseInspector

•SystemInfo

•TargetUser

•UserGroupData

VirtualDiskMounted

Виконано подію з VirtualDiskMount.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

WmiExecution

Активовано подію виконання WMI.

Підтримувані компоненти:

•ClientEnterprise

•ClientFileItem

•ClientLiveGrid

•ClientModule

•ClientProcessInfo

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

•WmiExecutionInfo

WmiPersistence

Подія генерується, коли клієнт прив’язується до фільтра.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•SystemInfo

•WmiPersistenceInfo

WmiQuery

Запит WMI було виконано на комп’ютері.

Підтримувані компоненти:

•ClientEnterprise

•ClientFileItem

•ClientLiveGrid

•ClientModule

•ClientProcessInfo

•DateTime

•EnterpriseInspector

•SystemInfo

•WmiQueryInfo

WriteFile

У файл виконано запис.

Підтримувані компоненти:

•DateTime

•EnterpriseInspector

•FileItem

•SystemInfo

 

˄˅