Список артефактів і зібраних файлів

metadata.txt

Містить дату створення архіву .zip, версію програми ESET Log Collector, версію продукту ESET і основну інформацію про ліцензію.

collector_log.txt

Копія файлу журналу з графічного інтерфейсу користувача містить дані, зібрані до моменту створення файлу .zip.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Запущені процеси

(маркери відкривання та завантажені файли DLL)

✓

✓

Windows\Processes\Processes.txt

Текстовий файл, що містить список запущених на комп’ютері процесів. Для кожного процесу доступні наведені нижче елементи:

•PID

•Ідентифікатор батьківського процесу

•Кількість потоків

•Кількість відкритих дескрипторів, згрупованих за типом

•Завантажені модулі

•Обліковий запис користувача, від імені якого запущено процес

•Використання пам’яті

•Позначка часу початку

•Час ядра та користувача

•Статистика операцій вводу-виводу

•Командний рядок

Запущені процеси

(маркери відкривання та завантажені файли DLL)

✓

✓

Windows\ProcessesTree.txt

Текстовий файл, що містить дерево запущених на комп’ютері процесів. Для кожного процесу доступні наведені нижче елементи:

•PID

•Обліковий запис користувача, від імені якого запущено процес

•Позначка часу початку

•Командний рядок

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнал подій програми

✓

✓

Windows\Logs\Application.xml

Журнали подій програм Windows у настроюваному форматі XML. Файл містить повідомлення лише за останні 30 днів.

Журнал системних подій

✓

✓

Windows\Logs\System.xml

Системний журнал подій Windows у настроюваному формат XML. Файл містить повідомлення лише за останні 30 днів.

Служби терміналів: журнал активних подій LSM*

✓

✓

Windows\Logs\LocalSessionManager-Operational.evtx

Журнал подій Windows, що містить інформацію про сеанси RDP.

Журнали інсталяції драйверів

✓

✗

Windows\Logs\catroot2_dberr.txt

Містить інформацію про каталоги, додані до сховища каталогів під час інсталяції драйвера.

Журнали SetupAPI*

✓

✗

Windows\Logs\SetupAPI\setupapi*.log

Текстові журнали додавання пристроїв та інсталяції програм.

Операційний журнал подій WMI

✓

✓

Windows\Logs\WMI-Activity.evtx

Журнал подій Windows, що містить дані відстеження активності WMI. Файл містить повідомлення лише за останні 30 днів.

Журнал подій програми

✓

✓

Windows\Logs\Application.evtx

Файл журналу подій програм Windows. Файл містить повідомлення лише за останні 30 днів.

Журнал системних подій

✓

✓

Windows\Logs\System.evtx

Файл системного журналу подій Windows. Файл містить повідомлення лише за останні 30 днів.

Вміст розділу реєстру "Служби"

Windows\Services.reg

Включає вміст ключа в реєстрі KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services. Цей розділ може знадобитися, коли виникнуть проблеми з драйверами.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Інформація про диски

✓

✓

Windows\drives.txt

Windows\volumes.txt

Зібрано текстовий файл, що містить інформацію про диски й томи.

Інформація про пристрої

✓

✓

Windows/devices/*.txt

Зібрано декілька текстових файлів з інформацією про класи й інтерфейси на пристроях.

Конфігурація мережі

✓

✓

Config\network.txt

Зібрано текстовий файл, що містить конфігурацію мережі. (Результат виконання команди ipconfig /all)

Журнал ESET SysInspector

✓

✓

Config\SysInspector.xml

Журнал SysInspector у форматі XML.

Каталог Winsock LSP

✓

✓

Config\WinsockLSP.txt

Збір даних про результат застосування команди netsh winsock show catalog.

Фільтри WFP*

✓

✓

Config\WFPFilters.xml

Зібрано конфігурацію фільтрів WFP у форматі XML.

Повний вміст реєстру Windows

✗

✓

Windows\Registry\*

Зібрано декілька двійкових файлів, що містять дані реєстру Windows.

Список файлів у тимчасових папках

✓

✓

Windows\TmpDirs\*.txt

Зібрано декілька текстових файлів із вмістом тимчасових каталогів системного користувача  %windir%/temp, %TEMP% та каталогів %TMP%.

Заплановані завдання Windows

✗

✓

Windows\Scheduled Tasks\*.*

Містить різні файли xml зі всіма завданнями планувальника завдань Windows, що допомагає визначити шкідливе програмне забезпечення, яке використовує планувальник завдань. Оскільки файли розташовані в підпапках, виконується збір всієї структури.

Репозиторій WMI

✗

✓

Windows\WMI Repository\*.*

Зібрано різні двійкові файли, що містять дані бази даних WMI (мета-інформація, визначення й статичні дані класів WMI). Збирання цих файлів може допомогти визначити шкідливе програмне забезпечення, яке використовує WMI для забезпечення невразливості (наприклад, Turla). Оскільки файли WMI можуть розташовуватися в підпапках, виконується збір всієї структури.

Ролі й функції Windows Server

✓

✗

Windows\server_features.txt

Текстовий файл, який містить дерево всіх функцій Windows Server. Кожна функція містить такі відомості:

•Стан інсталяції

•Локалізоване ім’я

•Кодове ім’я

•Стан (доступно в Microsoft Windows Server 2012 і новіших версій)

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали інсталятора ESET

✓

✗

ESET\Installer\*.log

Журнали, створені під час інсталяції продуктів ESET NOD32 Antivirus та ESET Smart Security 10 Premium.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали сервера EP/ESMC/ERA

✓

✗

ERA\Server\Logs\RemoteAdministratorServerDiagnostic<datetime>.zip

Створення журналів продукту сервера в ZIP-архіві. Архів містить журнали трасування, стану й останніх помилок.

Журнали агента EP/ESMC/ERA

✓

✗

ERA\Agent\Logs\RemoteAdministratorAgentDiagnostic<datetime>.zip

Створення журналів продукту агента в ZIP-архіві. Архів містить журнали трасування, стану й останніх помилок.

дані про процеси EP/ESMC/ERA та файли дампа

✗

✗

ERA\Server\Process and old dump\RemoteAdministratorServerDiagnostic<datetime>.zip

Дампи серверних процесів.

дані про процеси EP/ESMC/ERA та файли дампа

✗

✗

ERA\Agent\Process and old dump\RemoteAdministratorAgentDiagnostic<datetime>.zip

Дампи процесів агента.

EP/ESMC/ERA конфігурація

✓

✗

ERA\Server\Config\RemoteAdministratorServerDiagnostic<datetime>.zip

Файли з інформацією про конфігурацію сервера та програми в ZIP-архіві.

EP/ESMC/ERA конфігурація

✓

✗

ERA\Agent\Config\RemoteAdministratorAgentDiagnostic<datetime>.zip

Файли з інформацією про конфігурацію агента та програми в ZIP-архіві.

Журнали EP/ESMC/ERA Rogue Detection Sensor

✓

✗

ERA\RD Sensor\Rogue Detection SensorDiagnostic<datetime>.zip

ZIP-архів, що містить журнали трасування, стану й останніх помилок RD Sensor, а також конфігурацію, дампи й фали із загальною інформацією.

Журнали EP/ESMC/ERA MDMCore

✓

✗

ERA\MDMCore\RemoteAdministratorMDMCoreDiagnostic<datetime>.zip

ZIP-архів, що містить журнали трасування, стану й останніх помилок MDMCore, а також дампи й фали із загальною інформацією.

Журнали проксі-сервера EP/ESMC/ERA

✓

✗

ERA\Proxy\RemoteAdministratorProxyDiagnostic<datetime>.zip

ZIP-архів, що містить журнали трасування, стану й останніх помилок проксі-сервера ERA, а також конфігурацію, дампи й файли із загальною інформацією.

База даних агента EP/ESMC/ERA

✓

✗

ERA\Agent\Database\data.db

Файл бази даних EP/ESMC/ERA Agent.

Конфігурація Apache Tomcat

✓

✗

ERA\Apache\Tomcat\conf\*.*

Файли конфігурації Apache Tomcat, копію файлу server.xml без конфіденційної інформації.

Журнали Apache Tomcat

✓

✗

ERA\Apache\Tomcat\logs\*.log

ERA\Apache\Tomcat\EraAppData\logs\*.log

ERA\Apache\Tomcat\EraAppData\WebConsole\*.log

Журнали Apache Tomcat у текстовому форматі, розташовані в каталозі інсталяції або програми. Містить також журнали WebConsole.

Конфігурація проксі-сервера Apache HTTP

✓

✗

ERA\Apache\Proxy\conf\httpd.conf

Файл конфігурації проксі-сервера Apache HTTP

Журнали проксі-сервера Apache HTTP

✓

✗

ERA\Apache\Proxy\logs\*.log

Знайдено журнали проксі-сервера Apache HTTP у текстовому форматі.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Конфігурація продукту ESET

✓

✓

info.xml

XML-файл із докладною інформацією про продукт ESET, інстальований у системі. Містить основну інформацію про систему, інстальований продукт і список його модулів.

Конфігурація продукту ESET

✓

✓

versions.csv

Починаючи з версії 4.0.3.0, цей файл (без будь-яких залежностей) завжди включено до списку об’єктів, що збираються. Він містить відомості про інстальований продукт. Для включення файлу versions.csv він має бути наявним в каталозі ESET AppData.

Конфігурація продукту ESET

✓

✓

features_state.txt

Містить інформацію про функції продукту ESET та їх стани («Активна», «Неактивна», «Не інтегрована»). Файл завжди збирається і не прив’язаний до жодного доступного для вибору артефакту.

Конфігурація продукту ESET

✓

✓

Configuration\product_conf.xml

Створення файлу XML з експортованою конфігурацією продукту.

Перелік файлів у каталозі даних та інсталяції ESET

✓

✓

ESET\Config\data_dir_list.txt

Створення текстового файлу, що містить список файлів у каталозі ESET AppData, а також в усіх його підкаталогах.

Перелік файлів у каталозі даних та інсталяції ESET

✓

✓

ESET\Config\install_dir_list.txt

Створення текстового файлу, що містить список файлів у каталозі ESET Install, а також в усіх його підкаталогах.

Драйвери ESET

✓

✓

ESET\Config\drivers.txt

Збір інформації про інстальовані драйвери ESET.

Конфігурація персонального брандмауера ESET

✓

✓

ESET\Config\EpfwUser.dat

Копіювання файлу з конфігурацією персонального брандмауера ESET.

Вміст ключа ESET у реєстрі

✓

✓

ESET\Config\ESET.reg

Включає вміст ключа в реєстрі HKLM\SOFTWARE\ESET

Каталог Winsock LSP

✓

✓

Config/WinsockLSP.txt

Збір даних про результат застосування команди netsh winsock show catalog.

Востаннє застосована політика

✓

✓

ESET\Config\lastPolicy.dat

Політика, застосована EP/ESMC/ERA.

Компоненти ESET

✓

✓

ESET\Config\msi_features.txt

Зібрана інформація про доступні компоненти інсталятора MSI продукту ESET.

Конфігурація HIPS

✓

✓

ESET\Config\HipsRules.bin

Дані правил системи запобігання вторгненням (HIPS).

Конфігурація функції "Домашня мережа"

✓

✓

ESET\Config\homenet.dat

Дані функції "Домашня мережа"

Відомості про файли в карантиніv

✓

✓

ESET\Quarantine\quar_info.txt

Створення текстового файлу зі списком об’єктів, доданих до карантину.

Невеликі файли в карантині (< 250 КБ)

✓

✗

ESET\Quarantine\*.*(< 250KB)

Файли розміром менше 250 КБ в карантині.

Великі файли в карантині (> 250 КБ)

✗

✓

ESET\Quarantine\*.*(> 250KB)

Файли розміром більше 250 КБ в карантині.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнал подій ESET

✓

✓

ESET\Logs\Common\warnlog.dat

Журнал подій продукту ESET у двійковому форматі.

Журнал виявлених загроз ESET

✓

✓

ESET\Logs\Common\virlog.dat

Журнал виявлених загроз ESET у двійковому форматі.

Журнали сканування комп’ютера ESET

✗

✓

ESET\Logs\Common\eScan\*.dat

Журнали сканування комп’ютера ESET у двійковому форматі.

Журнал ESET HIPS*

✓

✓

ESET\Logs\Common\hipslog.dat

Журнал ESET HIPS у двійковому форматі.

Журнали батьківського контролю ESET*

✓

✓

ESET\Logs\Common\parentallog.dat

Журнал батьківського контролю ESET у двійковому форматі.

Журнал контролю пристроїв ESET*

✓

✓

ESET\Logs\Common\devctrllog.dat

Журнал контролю пристроїв ESET у двійковому форматі.

Журнал для захисту веб-камери ESET*

✓

✓

ESET\Logs\Common\webcamlog.dat

Журнал для захисту веб-камери ESET у двійковому форматі.

Журнал Захисту онлайн-платежiв ESET

✓

✓

ESET\Logs\Common\bpplog.dat

Журнал захисту онлайн-платежів ESET у двійковому форматі.

Журнали сканування бази даних сервера за запитом ESET

✓

✓

ESET\Logs\Common\ServerOnDemand\*.dat

Журнали сканування бази даних сервера за запитом ESET у двійковому форматі.

Журнали сканування сервера Hyper-V ESET

✓

✓

ESET\Logs\Common\HyperVOnDemand\*.dat

Журнали сканування сервера ESET Hyper-V в двійковому форматі.

Журнали сканування MS OneDrive

✓

✓

ESET\Logs\Common\O365OnDemand\*.dat

Журнали сканування MS OneDrive у двійковому форматі.

Журнал заблокованих файлів ESET

✓

✓

ESET\Logs\Common\blocked.dat

Журнали заблокованих файлів ESET у двійковому форматі.

Журнал надісланих файлів ESET

✓

✓

ESET\Logs\Common\sent.dat

Журнали надісланих файлів ESET у двійковому форматі.

Журнал аудиту ESET

✓

✓

ESET\Logs\Common\audit.dat

Журнали аудиту ESET у двійковому форматі.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнал захисту мережі ESET*

✓

✓

ESET\Logs\Net\epfwlog.dat

Журнал захисту мережі ESET у двійковому форматі.

Журнал відфільтрованих веб-сайтів ESET*

✓

✓

ESET\Logs\Net\urllog.dat

Журнал відфільтрованих веб-сайтів ESET у двійковому форматі.

Журнал веб-контролю ESET*

✓

✓

ESET\Logs\Net\webctllog.dat

Журнал веб-контролю ESET у двійковому форматі.

Журнали PCAP ESET

✓

✗

ESET\Logs\Net\EsetProxy*.pcapng

Копіювання журналів PCAP ESET.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Локальна база даних кеша

✗

✓

ESET\Diagnostics\local.db

База даних відсканованих файлів ESET.

Загальні журнали діагностики продукту

✓

✗

ESET\Diagnostics\*.*

Файли (міні-дампи) з папки діагностичних даних ESET.

Журнали діагностики ECP

✓

✗

ESET\Diagnostics\ECP\*.xml

Журнали діагностики протоколу зв’язку ESET створюються, якщо виникають проблеми з активацією продукту та зв’язком із серверами активації.

Журнали діагностики EPNS

✓

✗

ESET\Diagnostics\*.*

Журнали діагностики служби push-сповіщень ESET створюються, коли виникають проблеми.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали оновлення продукту

✓

✓

C:\ProgramData\ESET\ESET Security\MicroPcu

Створення файлу XML з експортованою конфігурацією продукту.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали ESA

✓

✗

ESA\*.log

Журнали, експортовані з програми ESET Secure Authentication.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали сервера EI

✓

✗

ESET\Inspect Server\Logs\*.log

Текстові журнали продукту Inspect Server.

Журнали агента EI

✓

✗

ESET\Inspect Connector\Logs\*.log

Текстові журнали продукту Inspect Connector.

Конфігурація сервера EI

✓

✗

ESET\Inspect Server\\eiserver.ini

Файл .ini, що містить конфігурацію продукту Inspect Server.

Конфігурація агента EI

✓

✗

ESET\Inspect Connector\eiconnector.ini

Файл .ini, що містить конфігурацію продукту Inspect Connector.

Політика сервера EI

✓

✗

ESET\Inspect Server\eiserver.policy.ini

Файл .ini, що містить політику продукту Inspect Server.

Політика агента EI

✓

✗

ESET\Inspect Connector\eiconnector.policy.ini

Файл .ini, що містить політику продукту Inspect Connector.

Сертифікати сервера EI

✓

✗

ESET\Inspect Server\Certificates\*.*

Містить файли сертифікатів, які використовуються продуктом Inspect Server. Оскільки файли розташовані в підпапках, виконується збір всієї структури.

Сертифікати агента EI

✓

✗

ESET\Inspect Connector\Certificates\*.*

Містить файли сертифікатів, які використовуються продуктом Inspect Connector. Оскільки файли розташовані в підпапках, виконується збір всієї структури.

Дампи сервера EI

✓

✗

ESET\Inspect Server\Diagnostics\*.*

Файли дампа продукту Inspect Server.

Конфігурація сервера MySQL

✓

✗

ESET\Inspect Server\My SQL\my.ini

Файл .ini, що містить конфігурацію MySQL Server, використовується продуктом ESET Inspect Server.

Журнали сервера MySQL

✓

✗

ESET\Inspect Server\My SQL\EEI.err

Текстовий журнал помилок MySQL Server, що використовується ESET Inspect Server.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали EFDE

✗

✗

EFDE\AIS\Logs\*.*

EFDE\Core\*.log

Журнали (AIS і Core), експортовані з ESET Full Disk Encryption.

Дані ліцензії EFDE

✗

✗

EFDE\AIS\Licesne\*.*

Файли даних ліцензії EFDE.

Конфігурація EFDE

✗

✗

EFDE\AIS\lastpolicy.dat

Містить конфігурацію EFDE.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнал спаму ESET

✓

✗

ESET\Logs\Email\spamlog.dat

Журнал спаму ESET у двійковому форматі.

Журнал сірого списку ESET

✓

✗

ESET\Logs\Email\greylistlog.dat

Журнал сірого списку ESET у двійковому форматі.

Журнал захисту SMTP ESET

✓

✗

ESET\Logs\Email\smtpprot.dat

Журнал захисту SMTP ESET у двійковому форматі.

Журнал захисту поштового сервера ESET

✓

✗

ESET\Logs\Email\mailserver.dat

Журнал захисту поштового сервера ESET у двійковому форматі.

Журнали обробки діагностичних електронних листів ESET

✓

✗

ESET\Logs\Email\MailServer\*.dat

Журнал обробки діагностичних електронних листів ESET у двійковому форматі, безпосередньо скопійований із диска.

Журнал спаму ESET*

✓

✗

ESET\Logs\Email\spamlog.dat

Журнал спаму ESET у двійковому форматі.

Конфігурація та журнали діагностики антиспам-модуля ESET

✓

✗

ESET\Logs\Email\Antispam\antispam.*.log

ESET\Config\Antispam\*.*

Копіювання конфігурації та журналів діагностики антиспам-модуля ESET.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

ESET SHPIO.log

✓

✗

ESET\Log\ESHP\SHPIO.log

Журнал діагностики ESET від утиліти SHPIO.exe.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали Domino IBM_TECHNICAL_SUPPORT + notes.ini

✓

✗

LotusDomino\Log\notes.ini

Файл конфігурації IBM Domino.

Журнали Domino IBM_TECHNICAL_SUPPORT + notes.ini

✓

✗

LotusDomino\Log\IBM_TECHNICAL_SUPPORT\*.*

Журнали IBM Domino, не старіші за 30 днів.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Журнали MS SharePoint

✓

✗

SharePoint\Logs\*.log

Журнали MS SharePoint, не старіші за 30 днів.

Вміст ключа SharePoint у реєстрі

✓

✗

SharePoint\WebServerExt.reg

Включає вміст ключа в реєстрі HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\Web Server Extensions. Доступний, тільки коли інстальовано ESET Security for SharePoint.

Ім’я артефакту

Профіль журналу

Розташування/ім’я файлу

Опис

За замовчуванням

Виявлення загрози

Реєстрація агентів транспорту MS Exchange

✓

✗

Exchange\agents.config

config file для реєстрації агентів транспорту MS Exchange. Для Microsoft Exchange Server 2007 і новіших версій.

Реєстрація агентів транспорту MS Exchange

✓

✗

Exchange\sinks_list.txt

Дамп реєстрації приймачів подій MS Exchange. Для Microsoft Exchange Server 2000 і 2003.

Журнали MS Exchange EWS

✓

✗

Exchange\EWS\*.log

Збір журналів EWS Exchange Server.