ESET PROTECT On-Prem

غير متصل بالإنترنت | الانتقال إلى الإنترنت

ESET PROTECT On-Prem – جدول المحتويات

# الأحداث المصدرة إلى تنسيق JSON

نسخ عنوان URL الحالي للمقالة مشاركة عبر البريد الإلكتروني

يعد JSON تنسيقاً بسيطاً لتبادل البيانات. وهو يعتمد على مجموعة من مجموعات ثنائية مكونة من الاسم / القيمة وقائمة مُرتّبة من القيم.

## أحداث تم تصديرها

يحتوي هذا القسم على تفاصيل حول التنسيق ومعنى السمات الخاصة بجميع الأحداث التي تم تصديرها. تكون رسالة الحدث في شكل كائن JSON مع بعض المفاتيح الإلزامية وبعض المفاتيح الاختيارية. سيحتوي كل حدث تم تصديره على المفتاح التالي:

event_type | string |  | نوع الأحداث التي تم تصديرها: Threat_Event (اكتشافات الحماية ضد الفيروسات) FirewallAggregated_Event ( اكتشافات جدار الحماية) HipsAggregated_Event ( اكتشافات نظام منع اختراق المضيف) Audit_Event (سجل التدقيق) FilteredWebsites_Event (مواقع الويب التي تمت تصفيتها— حماية الويب) EnterpriseInspectorAlert_Event ( تنبيهات ESET Inspect) BlockedFiles_event ( الملفات المحظورة)
--- | --- | --- | ---
ipv4 | string | اختياري | عنوان IPv4 لجهاز الكمبيوتر الذي يقوم بإنشاء الحدث.
ipv6 | string | اختياري | عنوان IPv6 لجهاز الكمبيوتر الذي يقوم بإنشاء الحدث.
hostname | string |  | اسم المضيف لجهاز الكمبيوتر الذي يقوم بإنشاء الحدث.
source_uuid | string |  | UUID لجهاز الكمبيوتر الذي يقوم بإنشاء الحدث.
occurred | string |  | توقيت UTC لحدوث الحدث. التنسيق هو %d-%b-%Y %H:%M:%S
severity | string |  | خطورة الحدث. القيم الممكنة (من الأقل خطورة إلى الأكثر خطورة) هي: معلومات، ملاحظة، تحذير، خطأ، حرج، فادح.
group_name | string |  | المسار الكامل للمجموعة الثابتة لجهاز الكمبيوتر الذي يقوم بإنشاء الحدث. إذا كان المسار أطول من 255 حرفاً، فلا يحتوي group_name إلا على اسم المجموعة الثابتة.
group_description | string |  | وصف المجموعة الثابتة.
os_name | string |  | معلومات حول نظام تشغيل الكمبيوتر.

|  | يتم الإبلاغ عن جميع أنواع الأحداث المدرجة أدناه بكل مستويات الخطورة إلى خادم Syslog. لتصفية سجلات الأحداث المرسلة إلى Syslog، أنشئ إعلام بفئة السجل باستخدام عامل تصفية محدد. تعتمد القيم التي تم الإبلاغ عنها على منتج أمان ESET (وإصداره) المثبت على جهاز الكمبيوتر المُدار ، ويقوم ESET PROTECT On-Prem فقط بالإبلاغ عن البيانات المستلمة. لذلك، لا يمكن لـ ESET توفير قائمة شاملة بجميع القيم. نوصي بمراقبة شبكتك وتصفية السجلات بناءً على القيم التي تتلقاها.

## المفاتيح المخصصة وفقاً لـ event_type:

### Threat_Event

جميع أحداث اكتشاف الحماية ضد الفيروسات التي تم إنشاؤها من قبل نقاط النهاية المدارة ستتم إعادة توجيهها إلى Syslog. المفتاح الخاص بحدث الاكتشاف:

threat_type | string | اختياري | نوع الاكتشاف
--- | --- | --- | ---
threat_name | string | اختياري | اسم الاكتشاف
threat_flags | string | اختياري | العلامات المرتبطة بالاكتشاف
scanner_id | string | اختياري | مُعرّف الماسح
scan_id | string | اختياري | مُعرّف المسح
engine_version | string | اختياري | إصدار محرك المسح
object_type | string | اختياري | نوع الكائن المرتبط بهذا الحدث
object_uri | string | اختياري | URI للكائن
action_taken | string | اختياري | الإجراء المُتّخذ من قبل نقطة النهاية
action_error | string | اختياري | رسالة خطأ تظهر إذا لم يكن "الإجراء" ناجحاً
threat_handled | bool | اختياري | يشير إلى ما إذا تم معالجة الاكتشاف أم لا
need_restart | bool | اختياري | ما إذا كانت هناك حاجة إلى إعادة التشغيل أم لا
username | string | اختياري | اسم حساب المستخدم المرتبط بالحدث
processname | string | اختياري | اسم العملية المرتبطة بالحدث
circumstances | string | اختياري | وصف مختصر لسبب الحدث
hash | string | اختياري | SHA1 مزيج دفق البيانات (الاكتشاف).
firstseen | string | اختياري | وقت وتاريخ العثور على الاكتشاف لأول مرة في هذا الجهاز. يستخدم ESET PROTECT On-Prem تنسيقات تاريخ-وقت مختلفة لسمة firstseen (وأي سمة تاريخ-وقت أخرى) بناءً على تنسيق إخراج السجل (JSON أو LEEF): JSON التنسيق: "%d-%b-%Y %H:%M:%S" LEEF التنسيق: "%b %d %Y %H:%M:%S"

مثال سجل Threat_Event JSON:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

يتم تجميع سجلات الأحداث التي تم إنشائها من خلال جدار حماية ESET ( اكتشافات جدار الحماية) عن طريق إدارة عامل ESET Management لتجنب إهدار النطاق الترددي في أثناء النسخ المتماثل لعامل ESET Management / خادم ESET PROTECT. المفتاح الخاص بحدث جدار الحماية:

event | string | اختياري | اسم الحدث
--- | --- | --- | ---
source_address | string | اختياري | عنوان مصدر الحدث
source_address_type | string | اختياري | نوع عنوان مصدر الحدث
source_port | number | اختياري | منفذ مصدر الحدث
target_address | string | اختياري | عنوان وجهة الحدث
target_address_type | string | اختياري | نوع عنوان وجهة الحدث
target_port | number | اختياري | منفذ وجهة الحدث
protocol | string | اختياري | البروتوكول
account | string | اختياري | اسم حساب المستخدم المرتبط بالحدث
process_name | string | اختياري | اسم العملية المرتبطة بالحدث
rule_name | string | اختياري | اسم القاعدة
rule_id | string | اختياري | مُعرّف القاعدة
inbound | bool | اختياري | ما إذا كان الاتصال وارداً أم لا
threat_name | string | اختياري | اسم الاكتشاف
aggregate_count | number | اختياري | كم عدد الرسائل نفسها تحديداً التي تم إنشاؤها من خلال نقطة النهاية بين عمليتي نسخ متماثل متتاليتين بين خادم ESET PROTECT وعامل ESET Management مدير.
action | string | اختياري | تم الإجراء
handled | string | اختياري | يشير إلى ما إذا تم معالجة الاكتشاف أم لا

مثال سجل FirewallAggregated_Event JSON:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

تتم تصفية الأحداث من "نظام منع اختراق المضيف" ( اكتشافات نظام منع اختراق المضيف) على الخطورة قبل أن يتم إرسالها كذلك كرسائل Syslog. السمات المرتبطة بـ HIPS هي كالتالي:

application | string | اختياري | اسم التطبيق
--- | --- | --- | ---
operation | string | اختياري | التشغيل
target | string | اختياري | الهدف
action | string | اختياري | تم الإجراء
action_taken | string | اختياري | الإجراء المُتّخذ من قبل نقطة النهاية
rule_name | string | اختياري | اسم القاعدة
rule_id | string | اختياري | مُعرّف القاعدة
aggregate_count | number | اختياري | كم عدد الرسائل نفسها تحديداً التي تم إنشاؤها من خلال نقطة النهاية بين عمليتي نسخ متماثل متتاليتين بين خادم ESET PROTECT وعامل ESET Management مدير.
handled | string | اختياري | يشير إلى ما إذا تم معالجة الاكتشاف أم لا

مثال سجل HipsAggregated_Event JSON:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

يقوم ESET PROTECT On-Prem بإعادة توجيه رسائل سجل التدقيق الداخلي إلى Syslog. السمات المعينة هي على النحو التالي:

domain | string | اختياري | مجال سجل التدقيق
--- | --- | --- | ---
action | string | اختياري | يتم اتخاذ الإجراء
target | string | اختياري | إجراء الهدف يعمل على
detail | string | اختياري | وصف مفصل للإجراء
user | string | اختياري | مستخدم الأمان متضمن
result | string | اختياري | نتيجة الإجراء

مثال سجل Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem يعيد توجيه مواقع الويب التي تمت تصفيتها (اكتشافاتحماية الويب) إلى Syslog. السمات المعينة هي على النحو التالي:

processname | string | اختياري | اسم العملية المرتبطة بالحدث
username | string | اختياري | اسم حساب المستخدم المرتبط بالحدث
hash | string | اختياري | SHA1 تجزئة الكائن الذي تمت تصفيته
event | string | اختياري | نوع الحدث
rule_id | string | اختياري | مُعرّف القاعدة
action_taken | string | اختياري | تم الإجراء
scanner_id | string | اختياري | مُعرّف الماسح
object_uri | string | اختياري | URI للكائن
target_address | string | اختياري | عنوان وجهة الحدث
target_address_type | string | اختياري | نوع عنوان وجهة الحدث (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | اختياري | يشير إلى ما إذا تم معالجة الاكتشاف أم لا

مثال سجل FilteredWebsites_Event JSON:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem يعيد توجيه تنبيهات ESET Inspect إلى Syslog. السمات المعينة هي على النحو التالي:

processname | string | اختياري | اسم العملية التي تسبب هذا الإنذار
--- | --- | --- | ---
username | string | اختياري | صاحب العملية
rulename | string | اختياري | اسم القاعدة التي تشغل هذا الإنذار
count | number | اختياري | عدد التنبيهات من هذا النوع التي تم إنشاؤها من آخر إنذار
hash | string | اختياري | SHA1 تجزئة الإنذار
eiconsolelink | string | اختياري | ربط إلى الإنذار الموجود في وحدة تحكم ESET Inspect On-Prem
eialarmid | string | اختياري | معرف الجزء الفرعي لرابط الإنذار ($1 في ^http.*/alarm/([0-9]+)$)
computer_severity_score | number | اختياري | درجة خطورة جهاز الكمبيوتر
severity_score | number | اختياري | درجة خطورة القاعدة

مثال سجل EnterpriseInspectorAlert_Event JSON:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem يعيد توجيه ملفات ESET Inspect On-Prem الملفات المحظورة إلى Syslog. السمات المعينة هي على النحو التالي:

processname | string | اختياري | اسم العملية المرتبطة بالحدث
username | string | اختياري | اسم حساب المستخدم المرتبط بالحدث
hash | string | اختياري | SHA1 تجزئة الملف المحظور
object_uri | string | اختياري | URI للكائن
action | string | اختياري | تم الإجراء
firstseen | string | اختياري | وقت وتاريخ العثور على الاكتشاف لأول مرة في هذا الجهاز (تنسيق التاريخ والوقت).
cause | string | اختياري |
description | string | اختياري | وصف الملف المحظور
handled | string | اختياري | يشير إلى ما إذا تم معالجة الاكتشاف أم لا

˄˅