ESET PROTECT On-Prem

Offline | Onlinemodus

ESET PROTECT On-Prem – Inhaltsverzeichnis

# Export von Ereignissen im JSON-Format

URL des aktuellen Artikels kopieren Per E-Mail teilen

JSON ist ein schlankes Format für den Austausch von Daten. Dieses Format verwendet eine Sammlung von Name-Wert-Paaren und eine geordnete Liste von Werten.

## Exportierte Ereignisse

Dieser Abschnitt enthält Details zu Format und Bedeutung der Attribute aller exportierten Ereignisse. Die Ereignisnachricht ist ein JSON-Objekt mit obligatorischen und optionalen Schlüsseln. Jedes exportierte Ereignis enthält den folgenden Schlüssel:

event_type | string |  | Typ der exportierten Ereignisse: •Threat_Event (Virenschutz-Ereignisse) •FirewallAggregated_Event ( Firewall-Ereignisse) •HipsAggregated_Event ( HIPS-Ereignisse) •Audit_Event (Audit-Log) •FilteredWebsites_Event (Gefilterte Websites – Web-Schutz) •EnterpriseInspectorAlert_Event ( ESET Inspect-Warnungen) •BlockedFiles_Event ( Blockierte Dateien)
--- | --- | --- | ---
ipv4 | string | optional | IPv4-Adresse des Computers, der das Ereignis generiert hat.
ipv6 | string | optional | IPv6-Adresse des Computers, der das Ereignis generiert hat.
hostname | string |  | Hostname des Computers, der das Ereignis generiert hat.
source_uuid | string |  | UUID des Computers, der das Ereignis generiert hat.
occurred | string |  | UTC-Zeitpunkt, zu dem das Ereignis aufgetreten ist. Format: %d-%b-%Y %H:%M:%S
severity | string |  | Schweregrad des Ereignisses. Mögliche Werte (vom niedrigsten zum höchsten Schweregrad): Information, Hinweis, Warnung, Error, Kritisch, Schwerwiegend.
group_name | string |  | Der vollständige Pfad zur statischen Gruppe des Computers, der das Ereignis generiert hat. Wenn der Pfad länger als 255 Zeichen ist, enthält group_name nur den Namen der statischen Gruppe.
group_description | string |  | Beschreibung der statischen Gruppe.
os_name | string |  | Informationen zum Betriebssystem des Computers.

|  | Alle unten aufgelisteten Ereignistypen mit allen Schweregraden werden an den Syslog-Server gemeldet. Um die an Syslog gesendeten Ereignis-Logs zu filtern, wählen Sie Eine Benachrichtigung für die Log-Kategorie erstellen mit einem definierten Filter. Die gemeldeten Werte hängen davon ab, welche ESET Sicherheitsanwendung (und welche Version) auf dem verwalteten Computer installiert ist. ESET PROTECT On-Prem meldet nur die empfangenen Daten. Daher kann ESET keine vollständige Liste der Werte zur Verfügung stellen. Wir empfehlen, ihr Netzwerk im Blick zu behalten und die Logs anhand der erhaltenen Werte zu filtern.

## Benutzerdefinierte Schlüssel gemäß event_type:

### Threat_Event

Alle von verwalteten Endpoints generierten Virenschutz-Ereignisse werden an Syslog weitergeleitet. Spezifische Schlüssel für Ereignisse:

threat_type | string | optional | Ereignisart
--- | --- | --- | ---
threat_name | string | optional | Ereignisname
threat_flags | string | optional | Ereignisbezogene Flags
scanner_id | string | optional | Scanner-ID
scan_id | string | optional | Scan-ID
engine_version | string | optional | Version des Prüfmoduls
object_type | string | optional | Art des Objekts, auf sich das Ereignis bezieht
object_uri | string | optional | Objekt-URI
action_taken | string | optional | Auf dem Endpunkt ausgeführte Aktion
action_error | string | optional | Fehlermeldung, wenn die Aktion nicht erfolgreich war
threat_handled | bool | optional | Gibt an, ob das Ereignis verarbeitet wurde
need_restart | bool | optional | Gibt an, ob ein Neustart erforderlich ist
username | string | optional | Name des Benutzerkontos, das mit dem Ereignis verknüpft ist
processname | string | optional | Name des Prozesses, der mit dem Ereignis verknüpft ist
circumstances | string | optional | Kurze Beschreibung der Ursache des Ereignisses
hash | string | optional | SHA1-Hash des Datenstroms (Ereignis).
firstseen | string | optional | Zeitpunkt der ersten Erkennung des Ereignisses auf diesem Computer. Das von ESET PROTECT On-Prem verwendete Datums- und Zeitformat für das firstseen-Attribut (und andere Datums- und Uhrzeitattribute) hängt vom Log-Ausgabeformat ab (JSON oder LEEF): •JSON formatieren"%d-%b-%Y %H:%M:%S" •LEEF formatieren"%b %d %Y %H:%M:%S"

„Threat_Event“-JSON-Log-Beispiel:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Die von ESET Firewall generierten Ereignis-Logs ( Firewall-Ereignisse) werden von dem verwaltenden ESET Management Agent aggregiert, um die benötigte Bandbreite für die Replikation zwischen ESET Management Agent und ESET PROTECT Server zu reduzieren. Spezifische Schlüssel für Firewall-Ereignisse:

event | string | optional | Ereignisname
--- | --- | --- | ---
source_address | string | optional | Adresse der Ereignisquelle
source_address_type | string | optional | Art der Adresse der Ereignisquelle
source_port | Nummer | optional | Port der Ereignisquelle
target_address | string | optional | Adresse des Ereignisziels
target_address_type | string | optional | Art der Adresse des Ereignisziels
target_port | Nummer | optional | Port des Ereignisziels
protocol | string | optional | Protokoll
account | string | optional | Name des Benutzerkontos, das mit dem Ereignis verknüpft ist
process_name | string | optional | Name des Prozesses, der mit dem Ereignis verknüpft ist
rule_name | string | optional | Regelname
rule_id | string | optional | Regel-ID
inbound | bool | optional | Gibt an, ob die Verbindung eingehend war
threat_name | string | optional | Ereignisname
aggregate_count | Nummer | optional | Anzahl der duplizierten Nachrichten, die vom Endpoint zwischen zwei aufeinander folgenden Replikationen zwischen ESET PROTECT Server und verwaltendem ESET Management Agent generiert wurden
action | string | optional | Ausgeführte Aktion
handled | string | optional | Gibt an, ob das Ereignis verarbeitet wurde

„FirewallAggregated_Event“-JSON-Log-Beispiel:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Ereignisse aus dem HIPS (Host-based Intrusion Prevention System) ( HIPS-Ereignisse) werden zunächst nach Schweregrad gefiltert und anschließend als Syslog-Nachrichten weitergeleitet. HIPS-spezifische Attribute:

application | string | optional | Anwendungsname
--- | --- | --- | ---
operation | string | optional | Vorgang
target | string | optional | Ziel
action | string | optional | Ausgeführte Aktion
action_taken | string | optional | Auf dem Endpunkt ausgeführte Aktion
rule_name | string | optional | Regelname
rule_id | string | optional | Regel-ID
aggregate_count | Nummer | optional | Anzahl der duplizierten Nachrichten, die vom Endpoint zwischen zwei aufeinander folgenden Replikationen zwischen ESET PROTECT Server und verwaltendem ESET Management Agent generiert wurden
handled | string | optional | Gibt an, ob das Ereignis verarbeitet wurde

„HipsAggregated_Event“-JSON-Log-Beispiel:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem leitet die internen Audit-Log-Nachrichten an Syslog weiter. Spezifische Attribute:

domain | string | optional | Audit-Log-Domäne
--- | --- | --- | ---
action | string | optional | Ausgeführte Aktion
target | string | optional | Ziel der Aktion
detail | string | optional | Ausführliche Beschreibung der Aktion
user | string | optional | Beteiligter Sicherheitsbenutzer
result | string | optional | Resultat der Aktion

„Audit_Event“-Log-Beispiel:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem leitet die gefilterten Websites (Web-Schutz-Ereignisse) an Syslog weiter. Spezifische Attribute:

processname | string | optional | Name des Prozesses, der mit dem Ereignis verknüpft ist
username | string | optional | Name des Benutzerkontos, das mit dem Ereignis verknüpft ist
hash | string | optional | SHA1-Hash des gefilterten Objekts
event | string | optional | Ereignistyp
rule_id | string | optional | Regel-ID
action_taken | string | optional | Ausgeführte Aktion
scanner_id | string | optional | Scanner-ID
object_uri | string | optional | Objekt-URI
target_address | string | optional | Adresse des Ereignisziels
target_address_type | string | optional | Art der Adresse des Ereignisziels (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | optional | Gibt an, ob das Ereignis verarbeitet wurde

„FilteredWebsites_Event“-JSON-Log-Beispiel:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem leitet ESET Inspect-Alarmmeldungen an Syslog weiter. Spezifische Attribute:

processname | string | optional | Name des Prozesses, der den Alarm ausgelöst hat
--- | --- | --- | ---
username | string | optional | Eigentümer des Prozesses
rulename | string | optional | Name der Regel, die den Alarm ausgelöst hat
count | Nummer | optional | Anzahl der Alarmmeldungen von diesem Typ seit dem letzten Alarm
hash | string | optional | SHA1-Hash des Alarms
eiconsolelink | string | optional | Link zum Alarm in der ESET Inspect On-Prem-Konsole
eialarmid | string | optional | ID-Komponente des Alarmlinks ($1 in ^http.*/alarm/([0-9]+)$)
computer_severity_score | Nummer | optional | Computer-Schweregradsbewertung
severity_score | Nummer | optional | Regel-Schweregradsbewertung

„EnterpriseInspectorAlert_Event“-JSON-Log-Beispiel:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem leitet von ESET Inspect On-Prem blockierte Dateien an Syslog weiter. Spezifische Attribute:

processname | string | optional | Name des Prozesses, der mit dem Ereignis verknüpft ist
username | string | optional | Name des Benutzerkontos, das mit dem Ereignis verknüpft ist
hash | string | optional | SHA1-Hash der blockierten Datei
object_uri | string | optional | Objekt-URI
action | string | optional | Ausgeführte Aktion
firstseen | string | optional | Zeitpunkt der ersten Erkennung des Ereignisses auf diesem Computer (Datums- und Uhrzeitformat).
cause | string | optional |
description | string | optional | Beschreibung der blockierten Datei
handled | string | optional | Gibt an, ob das Ereignis verarbeitet wurde

˄˅