ESET PROTECT On-Prem

Sin conexión | Establecer conexión

ESET PROTECT On-Prem – Índice

# Eventos exportados a formato JSON

Copiar la URL del artículo actual Compartir por correo electrónico

JSON en un formato ligero para el intercambio de datos. Se basa en la recopilación de pares de nombre/valor y una lista ordenada de valores.

## Eventos exportados

Esta sección contiene detalles sobre el formato y el significado de los atributos de todos los eventos exportados. El mensaje del evento presenta el formato de un objeto JSON con algunas claves obligatorias y otras opcionales. Cada evento exportado contendrá la siguiente clave:

event_type | cadena |  | Tipo de eventos exportados: •Threat_Event (detecciones de Antivirus) •FirewallAggregated_Event (detecciones de Cortafuegos) •HipsAggregated_Event (detecciones de HIPS) •Audit_Event (registro de auditoría) •FilteredWebsites_Event web (sitios web filtrados: protección web) •EnterpriseInspectorAlert_Event ( alertas de ESET Inspect) •BlockedFiles_Event ( archivos bloqueados)
--- | --- | --- | ---
ipv4 | cadena | opcional | Dirección IPv4 del ordenador que genera el evento.
ipv6 | cadena | opcional | Dirección IPv6 del ordenador que genera el evento.
hostname | cadena |  | Nombre de host del ordenador que genera el evento.
source_uuid | cadena |  | UUID del ordenador que genera el evento.
occurred | cadena |  | Hora UTC en la que el evento tuvo lugar. Tiene el formato %d-%b-%Y %H:%M:%S
severity | cadena |  | Gravedad del evento. Los posibles valores (de menos grave a más grave) son: Información, Aviso, Advertencia, Error, Crítico y Fatal.
group_name | cadena |  | La ruta completa al grupo estático del ordenador que genera el evento. Si la ruta de acceso tiene más de 255 caracteres, group_name solo contiene el nombre del grupo estático.
group_description | cadena |  | Descripción del grupo estático.
os_name | cadena |  | Información sobre el sistema operativo del ordenador.

|  | Todos los tipos de sucesos indicados a continuación con todos los niveles de gravedad se registran en el servidor de Syslog. Para filtrar los registros de sucesos enviados a Syslog, cree una notificación de categoría de registro con un filtro definido. Los valores notificados dependen del producto de seguridad de ESET (y su versión) que se haya instalado en el ordenador administrado, y ESET PROTECT On-Prem solo informa de los datos recibidos. Por lo tanto, ESET no puede proporcionar una lista exhaustiva de todos los valores. Le recomendamos que compruebe su red y filtre los registros en función de los valores recibidos.

## Claves personalizadas según event_type:

### Threat_Event

Todos los eventos de detección de Antivirus generados por equipos administrados se reenviarán a Syslog. Clave específica del evento de detección:

threat_type | cadena | opcional | Tipo de detección
--- | --- | --- | ---
threat_name | cadena | opcional | Nombre de la detección
threat_flags | cadena | opcional | Marcadores relacionados con la detección
scanner_id | cadena | opcional | ID del escáner
scan_id | cadena | opcional | ID del análisis
engine_version | cadena | opcional | Versión del motor de análisis
object_type | cadena | opcional | Tipo de objeto relacionado con este evento
object_uri | cadena | opcional | URL del objeto
action_taken | cadena | opcional | Acción realizada por el punto de acceso
action_error | cadena | opcional | Mensaje de error si la "acción" no se ha realizado correctamente
threat_handled | bool | opcional | Indica si la detección se gestionó o no
need_restart | bool | opcional | Indica si es necesario reiniciar o no
username | cadena | opcional | Nombre de la cuenta de usuario relacionada con el evento
processname | cadena | opcional | Nombre del proceso relacionado con el evento
circumstances | cadena | opcional | Breve descripción de la causa del evento
hash | cadena | opcional | Hash SHA1 de la secuencia de datos (detección).
firstseen | cadena | opcional | Hora y fecha en las que se detectó la detección por primera vez en ese equipo. ESET PROTECT On-Prem utiliza diferentes formatos de fecha y hora para el atributo firstseen (y para cualquier otro atributo de fecha y hora) dependiendo del formato de salida del registro (JSON o LEEF): •JSON formato:"%d-%b-%Y %H:%M:%S" •LEEF formato:"%b %d %Y %H:%M:%S"

Ejemplo de registro JSON de Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Los registros de eventos generados por el cortafuegos de ESET (detecciones de Cortafuegos) los agrega la instancia de ESET Management Agent que administra para no desperdiciar ancho de banda durante la replicación de ESET Management Agent/ESET PROTECT Server. Clave específica del evento de cortafuegos:

event | cadena | opcional | Nombre del evento
--- | --- | --- | ---
source_address | cadena | opcional | Dirección del origen del evento
source_address_type | cadena | opcional | Tipo de dirección del origen del evento
source_port | número | opcional | Puerto del origen del evento
target_address | cadena | opcional | Dirección del destino del evento
target_address_type | cadena | opcional | Tipo de dirección del destino del evento
target_port | número | opcional | Puerto del destino del evento
protocol | cadena | opcional | Protocolo
account | cadena | opcional | Nombre de la cuenta de usuario relacionada con el evento
process_name | cadena | opcional | Nombre del proceso relacionado con el evento
rule_name | cadena | opcional | Nombre de la regla
rule_id | cadena | opcional | ID de la regla
inbound | bool | opcional | Indica si la conexión fue entrante o no
threat_name | cadena | opcional | Nombre de la detección
aggregate_count | número | opcional | El número de los mensajes exactamente iguales generados por el punto de acceso entre dos replicaciones consecutivas entre el ESET PROTECT Server y el ESET Management Agent encargado de la gestión.
action | cadena | opcional | Acción realizada
handled | cadena | opcional | Indica si la detección se gestionó o no

Ejemplo de registro JSON de FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Los eventos de HIPS (detecciones de HIPS) se filtran por Gravedad antes de enviarse de nuevo como mensajes de Syslog. Los atributos específicos del HIPS son los siguientes:

application | cadena | opcional | Nombre de la aplicación
--- | --- | --- | ---
operation | cadena | opcional | Operación
target | cadena | opcional | Destino
action | cadena | opcional | Acción realizada
action_taken | cadena | opcional | Acción realizada por el punto de acceso
rule_name | cadena | opcional | Nombre de la regla
rule_id | cadena | opcional | ID de la regla
aggregate_count | número | opcional | El número de los mensajes exactamente iguales generados por el punto de acceso entre dos replicaciones consecutivas entre el ESET PROTECT Server y el ESET Management Agent encargado de la gestión.
handled | cadena | opcional | Indica si la detección se gestionó o no

Ejemplo de registro JSON de HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem reenvía los mensajes del registro de auditoría interno a Syslog. Los atributos específicos son los siguientes:

domain | cadena | opcional | Dominio del registro de auditoría
--- | --- | --- | ---
action | cadena | opcional | Acción que se está realizando
target | cadena | opcional | Destino en el que se está realizando la acción
detail | cadena | opcional | Descripción detallada de la acción
user | cadena | opcional | Usuario de seguridad implicado
result | cadena | opcional | Resultado de la acción

Ejemplo de registro de Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem reenvía los sitios web filtrados (detecciones de Protección web) a Syslog. Los atributos específicos son los siguientes:

processname | cadena | opcional | Nombre del proceso relacionado con el evento
username | cadena | opcional | Nombre de la cuenta de usuario relacionada con el evento
hash | cadena | opcional | Hash SHA1 del objeto filtrado
event | cadena | opcional | Tipo de suceso
rule_id | cadena | opcional | ID de la regla
action_taken | cadena | opcional | Acción realizada
scanner_id | cadena | opcional | ID del escáner
object_uri | cadena | opcional | URL del objeto
target_address | cadena | opcional | Dirección del destino del evento
target_address_type | cadena | opcional | Tipo de dirección del destino del evento 25769803777 = IPv4; 25769803778 = IPv6)
handled | cadena | opcional | Indica si la detección se gestionó o no

Ejemplo de registro JSON de FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem reenvía las alarmas de ESET Inspect al Syslog. Los atributos específicos son los siguientes:

processname | cadena | opcional | Nombre del proceso que provoca esta alarma
--- | --- | --- | ---
username | cadena | opcional | Propietario del proceso
rulename | cadena | opcional | Nombre de la regla que activa esta alarma
count | número | opcional | Número de alertas de este tipo generadas desde la última alerta
hash | cadena | opcional | Hash SHA1 de la alarma
eiconsolelink | cadena | opcional | Enlace a la alarma en la consola de ESET Inspect On-Prem
eialarmid | cadena | opcional | Subparte del identificador del vínculo de alarma ($1 en ^http.*/alarm/([0-9]+)$)
computer_severity_score | número | opcional | Nivel de gravedad del ordenador
severity_score | número | opcional | Nivel de gravedad de la regla

Ejemplo de registro JSON de EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem reenvía los archivos bloqueados por ESET Inspect On-Prem a Syslog. Los atributos específicos son los siguientes:

processname | cadena | opcional | Nombre del proceso relacionado con el evento
username | cadena | opcional | Nombre de la cuenta de usuario relacionada con el evento
hash | cadena | opcional | Hash SHA1 del archivo bloqueado
object_uri | cadena | opcional | URL del objeto
action | cadena | opcional | Acción realizada
firstseen | cadena | opcional | Hora y fecha en las que se detectó por primera vez en ese equipo (formato de fecha y hora).
cause | cadena | opcional |
description | cadena | opcional | Descripción del archivo bloqueado
handled | cadena | opcional | Indica si la detección se gestionó o no

˄˅