ESET PROTECT On-Prem

Автономний режим | Підключитися до Інтернету

ESET PROTECT On-Prem – Зміст

# Події, що експортуються у формат CEF

Скопіювати URL-адресу поточної статті Поділитись електронною поштою

Щоб відфільтрувати журнали подій, надіслані в Syslog, створіть сповіщення про категорію журналу з визначеним фільтром.

CEF – це формат текстового журналу, розроблений ArcSight™. Формат CEF містить заголовок CEF і розширення CEF. Розширення містить список пар значень ключів.

## Заголовок CEF

Заголовок | Приклад | Опис
--- | --- | ---
Device Vendor | ESET |
Device Product | Protect |
Device Version | 10.0.5.1 | ESET PROTECT On-Prem версія
Device Event Class ID (Signature ID): | 109 | Унікальний ідентифікатор категорії подій пристрою: •Подія загрози 100–199 •Подія брандмауера 200–299 •300–399 HIPS подія •400–499 подія аудиту •Подія 500–599 ESET Inspect •Подія заблокованих файлів 600–699 •Подія фільтрації веб-сайтів 700–799 •Подія інциденту 800–899
Event Name | Detected port scanning attack | Короткий опис того, що сталося
Severity | 5 | Рівень критичності •2 — Інформація •3 — Зауваження •5 — Попередження •7 — Помилка •8 — Критичні помилки •10 — Невиправні помилки

## Розширення CEF, спільні для всіх категорій

Назва розширення | Приклад | Опис
--- | --- | ---
cat | ESET Threat Event | Категорія події: •ESET Threat Event •ESET Firewall Event •ESET HIPS Event •ESET RA Audit Event •ESET Inspect Event •ESET Blocked File Event •ESET Filtered Website Event
dvc | 10.0.12.59 | IPv4-адреса комп’ютера, що створив подію.
c6a1 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | IPv6-адреса комп’ютера, що створив подію.
c6a1Label | Device IPv6 Address |
dvchost | COMPUTER02 | Ім’я хоста комп’ютера, на якому сталася ця подія
deviceExternalId | 39e0feee-45e2-476a-b17f-169b592c3645 | ідентифікатор UUID комп’ютера, що створив подію.
rt | Jun 04 2017 14:10:0 | Час події у форматі UTC. Формат: %b %d %Y %H:%M:%S
ESETProtectDeviceGroupName | All/Lost & found | Повний шлях до статичної групи комп’ютера, що створив подію. Якщо довжина шляху перевищуватиме 255 символів, ESETProtectDeviceGroupName міститиме лише назву статичної групи.
ESETProtectDeviceOsName | Microsoft Windows 11 Pro | Інформація про операційну систему комп’ютера.
ESETProtectDeviceGroupDescription | Lost & found static group | Опис статичної групи.

## Розширення CEF за категорією подій

### Події загрози

Назва розширення | Приклад | Опис
--- | --- | ---
cs1 | W97M/Kojer.A | Знайдено назву загрози
cs1Label | Threat Name |
cs2 | 25898 (20220909) | Версія ядра виявлення
cs2Label | Engine Version |
cs3 | Virus | Тип виявлених об’єктів
cs3Label | Threat Type |
cs4 | Real-time file system protection | Ідентифікатор сканера
cs4Label | Scanner ID |
cs5 | virlog.dat | Ідентифікатор сканування
cs5Label | Scan ID |
cs6 | Failed to remove file | Повідомлення про помилку, якщо не вдалося виконати дію
cs6Label | Action Error |
cs7 | Event occurred on a newly created file | Короткий опис причини події
cs7Label | Circumstances |
cs8 | 0000000000000000000000000000000000000000 | Хеш SHA1 потоку даних (виявленого об’єкта).
cs8Label | Hash |
act | Cleaned by deleting file | Дія, яку виконала кінцева точка
filePath | file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC | Об’єкт URI
fileType | File | Тип об’єкта, пов’язаний із подією
cn1 | 1 | Виявлений об’єкт оброблено (1) або не оброблено (0)
cn1Label | Handled |
cn2 | 0 | Необхідно перезавантажити комп’ютер (1) або не потрібно (0)
cn2Label | Restart Needed |
suser | 172-MG\\Administrator | Назва облікового запису користувача, пов’язаного з подією
sprod | C:\\7-Zip\\7z.exe | Назва вихідного процесу події
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | Час і дата першого виявлення на комп’ютері. Формат: %b %d %Y %H:%M:%S

Приклад події загрози з журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|183|File scanner cleaned a virus|5|deviceExternalId=e9d26759-fd21-47f1-9751-d2e7194c41a8 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Threat Event rt=Jun 04 2017 14:10:00 cs1=W97M/Kojer.A cs1Label=Threat Name cs2=25898 (20220909) cs2Label=Engine Version cs3=Virus cs3Label=Threat Type cs4=Real-time file system protection cs4Label=Scanner ID cs5=virlog.dat cs5Label=Scan ID act=Cleaned by deleting fileType=File filePath=file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC cn1=1 cn1Label=Handled suser=172-MG\\Administrator sprod=C:\\7-Zip\\7z.exe cs7=Event occurred on a newly created file. cs7Label=Circumstances eviceCustomDate1=Jun 04 2019 14:10:00 deviceCustomDate1Label=FirstSeen cs8=0000000000000000000000000000000000000000 cs8Label=Hash

### Події брандмауера

Назва розширення | Приклад | Опис
--- | --- | ---
msg | TCP Port Scanning attack | Назва події
src | 127.0.0.1 | Адреса джерела події IPv4
c6a2 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | Адреса джерела події IPv6
c6a2Label | Source IPv6 Address |
spt | 36324 | Порт джерела події
dst | 127.0.0.2 | Адреса цілі події IPv4
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | Адреса цілі події IPv6
c6a3Label | Destination IPv6 Address |
dpt | 24 | Порт призначення події
proto | http | Протокол
act | Blocked | Дію вжито
cn1 | 1 | Виявлений об’єкт оброблено (1) або не оброблено (0)
cn1Label | Handled |
suser | 172-MG\\Administrator | Назва облікового запису користувача, пов’язаного з подією
deviceProcessName | someApp.exe | Назва процесу, пов’язаного з подією
deviceDirection | 1 | Підключення вхідне (0) або вихідне (1)
cnt | 3 | Кількість однакових повідомлень, створених робочою станцією в проміжку між двома послідовними реплікаціями, виконаними між ESET PROTECT On-Prem і агентом ESET Management
cs1 |  | Ідентифікатор правила
cs1Label | Rule ID |
cs2 | custom_rule_12 | Ім’я правила
cs2Label | Rule Name |
cs3 | Win32/Botnet.generic | Ім’я загрози
cs3Label | Threat Name |

Приклад події брандмауера з журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|109|Detected port scanning attack|5|deviceExternalId=39e0feee-45e2-476a-b07f-169b592c3645 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Firewall Event rt=Jun 04 2017 14:10:00 msg=TCP Port Scanning attack src=127.0.0.1 spt=36324 dpt=21 dst=127.0.0.2 proto=http act=Blocked cnt=1 cn1=1 cn1Label=Handled suser=myAccount deviceProcessName=someApp.exe cs2=rule_118882389 cs2Label=Rule Name deviceDirection=0 cs3=Win32/Botnet.generic cs3Label=Threat Name

### HIPS події

Назва розширення | Приклад | Опис
--- | --- | ---
cs1 | Suspicious attempt to launch an application | Ідентифікатор правила
cs1Label | Rule ID |
cs2 | custom_rule_12 | Ім’я правила
cs2Label | Rule Name |
cs3 | C:\\someapp.exe | Назва програми
cs3Label | Application |
cs4 | Attempt to run a suspicious object | Операція
cs4Label | Operation |
cs5 | C:\\somevirus.exe | Об'єкт
cs5Label | Target |
act | Blocked | Дію вжито
cs2 | custom_rule_12 | Ім’я правила
cn1 | 1 | Виявлений об’єкт оброблено (1) або не оброблено (0)
cn1Label | Handled |
cnt | 3 | Кількість однакових повідомлень, створених робочою станцією в проміжку між двома послідовними реплікаціями, виконаними між ESET PROTECT On-Prem і агентом ESET Management

Приклад події Системи запобігання вторгненням (HIPS) з журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|303|Attempt to run a suspicious object Blocked|5|dvchost=test_bcmcjkbpgp deviceExternalId=82e114a8-9070-4868-8ee2-1e87b7b85ee3 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET HIPS Event rt=Jun 04 2019 14:10:00 cs3=C:\\someapp.exe cs3Label=Application cs4=Attempt to run a suspicious object cs4Label=Operation cs5=C:\\somevirus.exe cs5Label=Target act=Blocked cn1=1 cn1Label=Handled cs1=Suspicious attempt to launch an application cs1Label=Rule ID cnt=1

### Події аудиту

Назва розширення | Приклад | Опис
--- | --- | ---
act | Login attempt | Виконувана дія
suser | Administrator | Користувач системи безпеки
duser | Administrator | Цільовий користувач системи безпеки (наприклад, для спроб входу)
msg | Authenticating native user 'Administrator' | Детальний опис дії
cs1 | Native user | Домен журналу аудиту
cs1Label | Audit Domain |
cs2 | Success | Результат дії
cs2Label | Result |

Приклад події аудиту з журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|449|Native user login|2|dvc=10.15.172.133 dvchost=BRNH00006D deviceExternalId=db4a82c0-e1c6-49be-8bac-a436136ed1f4 cat=ESET RA Audit Event rt=Sep 21 2022 13:10:23 cs1=Native user cs1Label=Audit Domain act=Login attempt duser=Administrator msg=Authenticating native user 'Administrator'. cs2=Success cs2Label=Result

### Події ESET Inspect

Назва розширення | Приклад | Опис
--- | --- | ---
deviceProcessName | c:\\imagepath_bin.exe | Назва процесу, який спричинив оповіщення
suser | HP\\home | Власник процесу
cs2 | custom_rule_12 | Назва правила, яке спричиняє це оповіщення
cs2Label | Rule Name |
cs3 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | Хеш тривоги SHA1
cs3Label | Hash |
cs4 | https://inspect.eset.com:443/console/alarm/126 | Посилання на сповіщення у веб-консолі ESET Inspect On-Prem
cs4Label | EI Console Link |
cs5 | 126 | Ідентифікатор, указаний у посиланні оповіщення ($1 в ^http.*/alarm/([0-9]+)$)
cs5Label | EI Alarm ID |
cn1 | 275 | Оцінка рівня критичності для комп’ютера
cn1Label | ComputerSeverityScore |
cn2 | 60 | Оцінка рівня критичності правила
cn2Label | SeverityScore |
cnt | 3 | Кількість попереджень такого типу, згенерованих із моменту останнього оповіщення

Приклад події ESET Inspect з журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|500|ESET Inspect Alert|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Inspect Alert rt=Sep 21 2022 07:31:55 deviceProcessName=c:\\mother_process_info_imagepath_dir\\mother_process_info_imagepath_bin.exe suser=HP\\home cs2=9_1_0addd4e8baf8e87d4bc4ed77fadc cs2Label=Rule Name cs3=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs3Label=Hash cs4=https://dev-inspect.eset.com:443/console/alarm/126 cs4Label=EI Console Link cs5=126 cs5Label=EI Alarm ID cn1=275 cn1Label=ComputerSeverityScore cn2=60 cn2Label=SeverityScore

### Події заблокованих файлів

Назва розширення | Приклад | Опис
--- | --- | ---
act | Execution blocked | Дію вжито
cn1 | 1 | Виявлений об’єкт оброблено (1) або не оброблено (0)
cn1Label | Handled |
suser | HP\\home | Назва облікового запису користувача, пов’язаного з подією
deviceProcessName | C:\\Windows\\explorer.exe | Назва процесу, пов’язаного з подією
cs1 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | Хеш SHA1 заблокованого файлу
cs1Label | Hash |
filePath | C:\\totalcmd\\TOTALCMD.EXE | Об’єкт URI
msg | ESET Inspect | Опис заблокованого файлу
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | Час і дата першого виявлення на комп’ютері. Формат: %b %d %Y %H:%M:%S
cs2 | Blocked by Administrator | Причина
cs2Label | Cause |

Приклад події заблокованих файлів із журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|600|Blocked File Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Blocked File Event rt=Sep 21 2022 07:31:55 act=Execution blocked cn1=1 cn1Label=Handled suser=HP\\home deviceProcessName=C:\\Windows\\explorer.exe cs1=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs1Label=Hash filePath=C:\\totalcmd\\TOTALCMD.EXE deviceCustomDate1=Sep 21 2022 07:31:55 deviceCustomDate1Label=FirstSeen cs2=Blocked by Administrator cs2Label=Cause msg=ESET Inspect

### Події фільтрації веб-сайтів

Назва розширення | Приклад | Опис
--- | --- | ---
msg | An attempt to connect to URL | Тип події
act | Blocked | Дію вжито
cn1 | 1 | Виявлений об’єкт оброблено (1) або не оброблено (0)
cn1Label | Handled |
user | Peter | Назва облікового запису користувача, пов’язаного з подією
deviceProcessName | Firefox | Назва процесу, пов’язаного з подією
cs1 | Blocked by PUA blacklist | Ідентифікатор правила
cs1Label | Rule ID |
requestUrl | https://kenmmal.com/ | URL заблокованого запиту
dst | 172.17.9.224 | Адреса цілі події IPv4
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | Адреса цілі події IPv6
c6a3Label | Destination IPv6 Address |
cs2 | HTTP filter | Ідентифікатор сканера
cs2Label | Scanner ID |
cs3 | 8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 | Хеш SHA1 відфільтрованого об’єкта
cs3Label | Hash |

Приклад події фільтрації сайтів із журналу CEF:

CEF:O|ESET|Protect|10.0.0.0|716|Filtered Website Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Filtered Website Event rt=Sep 21 2022 07:31:55 msg=An attempt to connect to URL dst=172.17.9.224 cs2=HTTP filter cs2Label=Scanner ID act=Blocked cn1=1 cn1Label=Handled requestUrl=https://kenmmal.com cs3=8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 cs3Label=Hash suser=Peter deviceProcessName=Firefox cs1=Blocked by PUA blacklist cs1Label=Rule ID

˄˅