ESET PROTECT On-Prem

Hors ligne | Accéder en ligne

ESET PROTECT On-Prem – Sommaire

# Événements exportés au format JSON

Copier l'URL de l'article actuel Partager par e-mail

JSON est un format léger pour l'échange de données. Il repose sur un groupe de paires nom/valeur et une liste classée de valeurs.

## Evénements exportés

Cette section contient des détails sur le format et la signification des attributs de tous les événements exportés. Le message d'événement prend la forme d'un objet JSON avec quelques clés obligatoires et facultatives. Chaque événement exporté contiendra la clé suivante :

event_type | chaine |  | Type d'événements exportés : •Threat_Event (détections de l'antivirus) •FirewallAggregated_Event ( détections du pare-feu) •HipsAggregated_Event ( détections HIPS) •Audit_Event (journal de vérification) •FilteredWebsites_Event (sites Web filtrés : protection Web) •EnterpriseInspectorAlert_Event ( alertes ESET Inspect) •BlockedFiles_Event ( fichiers bloqués)
--- | --- | --- | ---
ipv4 | chaine | facultatif | Adresse IPv4 de l'ordinateur générant l'événement.
ipv6 | chaine | facultatif | Adresse IPv6 de l'ordinateur générant l'événement.
hostname | chaine |  | Nom d'hôte de l'ordinateur générant l'événement.
source_uuid | chaine |  | UUID de l'ordinateur générant l'événement.
occurred | chaine |  | Heure UTC d'occurrence de l'événement. Le format est %d-%b-%Y %H:%M:%S
severity | chaine |  | Gravité de l'événement. Les valeurs possibles (du moins grave au plus grave) sont les suivantes : Information, Avis, Avertissement, Erreur, Critique, Fatal
group_name | chaine |  | Chemin complet vers le groupe statique de l'ordinateur qui génère l'événement. Si le chemin d’accès comporte plus de 255 caractères, group_name contient uniquement le nom du groupe statique.
group_description | chaine |  | Description du groupe statique.
os_name | chaine |  | Informations sur le système d’exploitation de l’ordinateur.

|  | Tous les types d’événements énumérés ci-dessous avec tous les niveaux de gravité sont signalés au serveur Syslog. Pour filtrer les journaux d’événements envoyés à Syslog, créez une notification de catégorie de journal avec un filtre défini. Les valeurs indiquées dépendent du produit de sécurité ESET (et de sa version) installé sur l’ordinateur géré et ESET PROTECT On-Prem ne signalent que les données reçues. Par conséquent, ESET ne peut pas fournir une liste exhaustive de toutes les valeurs. Nous vous recommandons de surveiller votre réseau et de filtrer les journaux en fonction des valeurs que vous recevez.

## Clés personnalisées selon event_type :

### Threat_Event

Tous les événements de détection antivirus générés par des terminaux gérés seront transférés à Syslog. Clé spécifique à un événement de détection :

threat_type | chaine | facultatif | Type de la détection
--- | --- | --- | ---
threat_name | chaine | facultatif | Nom de la détection
threat_flags | chaine | facultatif | Indicateurs liés à des détections
scanner_id | chaine | facultatif | ID d'analyseur
scan_id | chaine | facultatif | ID d'analyse
engine_version | chaine | facultatif | Version du moteur d'analyse
object_type | chaine | facultatif | Type d'objet lié à cet événement
object_uri | chaine | facultatif | URI de l’objet
action_taken | chaine | facultatif | Action prise par le point de terminaison
action_error | chaine | facultatif | Message d'erreur en cas d'échec de « l'action »
threat_handled | bool | facultatif | Indique si la détection a été gérée ou non
need_restart | bool | facultatif | Indique si un redémarrage est nécessaire ou non
username | chaine | facultatif | Nom du compte utilisateur associé à l'événement
processname | chaine | facultatif | Nom du processus associé à l'événement
circumstances | chaine | facultatif | Brève description de la cause de l'événement
hash | chaine | facultatif | Hachage SHA1 du flux de données (de détection).
firstseen | chaine | facultatif | Heure et date auxquelles la détection s'est produite pour la première fois sur cet ordinateur. ESET PROTECT On-Prem utilise différents formats date-heure pour l'attribut firstseen (et tout autre attribut date-heure) en fonction du format de sortie du journal (JSON ou LEEF) : •JSON format : "%d-%b-%Y %H:%M:%S" •LEEF format : "%b %d %Y %H:%M:%S"

Exemple de journalisation de Threat_Event JSON :

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Les journaux d'événements générés par le pare-feu d’ESET ( détections du pare-feu) sont agrégés par la gestion de l'agent ESET Management pour éviter le gaspillage de bande passante pendant la réplication de l'agent ESET Management ou du serveur ESET PROTECT. Clé spécifique à un événement de pare-feu :

event | chaine | facultatif | Nom de l'événement
--- | --- | --- | ---
source_address | chaine | facultatif | Adresse de la source de l'événement
source_address_type | chaine | facultatif | Type d'adresse de la source de l'événement
source_port | number | facultatif | Port de la source de l'événement
target_address | chaine | facultatif | Adresse de la destination de l'événement
target_address_type | chaine | facultatif | Type d'adresse de la destination de l'événement
target_port | number | facultatif | Port de la destination de l'événement
protocol | chaine | facultatif | Protocole
account | chaine | facultatif | Nom du compte utilisateur associé à l'événement
process_name | chaine | facultatif | Nom du processus associé à l'événement
rule_name | chaine | facultatif | Nom de la règle
rule_id | chaine | facultatif | ID de règle
inbound | bool | facultatif | Indique si la connexion était entrante ou non
threat_name | chaine | facultatif | Nom de la détection
aggregate_count | number | facultatif | Nombre de messages identiques générés par le point de terminaison entre deux réplications consécutives entre le serveur ESET PROTECT et l'agent ESET Management de gestion
action | chaine | facultatif | Action entreprise
handled | chaine | facultatif | Indique si la détection a été gérée ou non

Exemple de journalisation de FirewallAggregated_Event JSON :

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Les événements du système HIPS ( détections HIPS) sont filtrés selon la gravité avant d'être transmis plus en avant en tant que messages Syslog. Les attributs spécifiques à HIPS sont les suivants :

application | chaine | facultatif | Nom de l’application
--- | --- | --- | ---
operation | chaine | facultatif | Opération
target | chaine | facultatif | Cible
action | chaine | facultatif | Action entreprise
action_taken | chaine | facultatif | Action prise par le point de terminaison
rule_name | chaine | facultatif | Nom de la règle
rule_id | chaine | facultatif | ID de règle
aggregate_count | number | facultatif | Nombre de messages identiques générés par le point de terminaison entre deux réplications consécutives entre le serveur ESET PROTECT et l'agent ESET Management de gestion
handled | chaine | facultatif | Indique si la détection a été gérée ou non

Exemple de journalisation de HipsAggregated_Event JSONt :

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem transmet les messages du journal de vérification interne à Syslog. Les attributs spécifiques sont les suivants :

domain | chaine | facultatif | Domaine du journal d'audit
--- | --- | --- | ---
action | chaine | facultatif | Action en cours
target | chaine | facultatif | L'action cible s'effectue sur
detail | chaine | facultatif | Description détaillée de l'action
user | chaine | facultatif | Utilisateur de sécurité impliqué
result | chaine | facultatif | Résultat de l'action

Exemple de journalisation de Audit_Event :

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem transfère les sites Web filtrés (détections de la protection Web) à Syslog. Les attributs spécifiques sont les suivants :

processname | chaine | facultatif | Nom du processus associé à l'événement
username | chaine | facultatif | Nom du compte utilisateur associé à l'événement
hash | chaine | facultatif | Hachage SHA1 de l'objet filtré
event | chaine | facultatif | Type de l'événement
rule_id | chaine | facultatif | ID de règle
action_taken | chaine | facultatif | Action entreprise
scanner_id | chaine | facultatif | ID d'analyseur
object_uri | chaine | facultatif | URI de l’objet
target_address | chaine | facultatif | Adresse de la destination de l'événement
target_address_type | chaine | facultatif | Type d'adresse de la destination de l'événement (25769803777 = IPv4; 25769803778 = IPv6)
handled | chaine | facultatif | Indique si la détection a été gérée ou non

Exemple de journalisation de FilteredWebsites_Event JSON :

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem transfère les alarmes ESET Inspect à Syslog. Les attributs spécifiques sont les suivants :

processname | chaine | facultatif | Nom du processus à l'origine de cette alarme
--- | --- | --- | ---
username | chaine | facultatif | Propriétaire du processus
rulename | chaine | facultatif | Nom de la règle déclenchant cette alarme
count | number | facultatif | Nombre d'alertes de ce type générées depuis la dernière alarme
hash | chaine | facultatif | Hachage SHA1 de l'alarme
eiconsolelink | chaine | facultatif | Lien vers l'alarme dans la console ESET Inspect On-Prem
eialarmid | chaine | facultatif | Sous-partie ID du lien d'alarme ($1 dans ^http.*/alarm/([0-9]+)$)
computer_severity_score | number | facultatif | Score de gravité pour l’ordinateur
severity_score | number | facultatif | Score de sévérité de la règle

Exemple de journalisation de EnterpriseInspectorAlert_Event JSON :

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem transfère les fichiers bloqués ESET Inspect On-Prem à Syslog. Les attributs spécifiques sont les suivants :

processname | chaine | facultatif | Nom du processus associé à l'événement
username | chaine | facultatif | Nom du compte utilisateur associé à l'événement
hash | chaine | facultatif | Hachage SHA1 du fichier bloqué
object_uri | chaine | facultatif | URI de l’objet
action | chaine | facultatif | Action entreprise
firstseen | chaine | facultatif | Heure et date auxquelles la détection s'est produite pour la première fois sur cet ordinateur format de la date et de l'heure.
cause | chaine | facultatif |
description | chaine | facultatif | Description du fichier bloqué
handled | chaine | facultatif | Indique si la détection a été gérée ou non

˄˅