ESET PROTECT On-Prem

Sin conexión | Trabajar en línea

ESET PROTECT On-Prem – Tabla de contenido

# Eventos exportados a formato JSON

Copiar la URL del artículo actual Compartir por correo electrónico

JSON es un formato liviano para el intercambio de datos. Se forma con una colección de parejas de nombres y valores, y una lista ordenada de valores.

## Eventos exportados

Esta sección contiene información sobre el formato y el significado de los atributos de todos los eventos exportados. El mensaje de evento es un objeto JSON con algunas claves obligatorias y otras opcionales. Cada evento exportado contendrá la siguiente clave:

event_type | string |  | Tipo de eventos exportados: •Threat_Event (detecciones antivirus) •FirewallAggregated_Event ( detecciones de firewall) •HipsAggregated_Event ( detecciones de HIPS) •Audit_Event (registro de auditoría) •FilteredWebsites_Event (sitios web filtrados: protección web) •EnterpriseInspectorAlert_Event (alertas de ESET Inspect ) •BlockedFiles_Event ( archivos bloqueados)
--- | --- | --- | ---
ipv4 | string | opcional | Dirección IPv4 del equipo que genera el evento.
ipv6 | string | opcional | Dirección IPv6 del equipo que genera el evento.
hostname | string |  | Hostname del equipo que genera el evento.
source_uuid | string |  | UUID del equipo que genera el evento.
occurred | string |  | Hora UTC de la ocurrencia del evento. El formato es %d-%b-%Y %H:%M:%S
severity | string |  | Severidad del evento. Los posibles valores (de menos grave a más grave) son: Información, Aviso, Advertencia, Error, Critical, Fatal
group_name | string |  | La ruta completa al grupo estático del equipo que genera el evento. Si la ruta tiene más de 255 caracteres, group_name solo contiene el nombre del grupo estático.
group_description | string |  | Descripción del grupo estático.
os_name | string |  | Información sobre el sistema operativo del equipo.

|  | Todos los tipos de eventos que se indican a continuación junto con todos los niveles de gravedad se informan al servidor Syslog. Para filtrar los registros de eventos enviados a Syslog, cree una notificación de categoría de registro con un filtro definido. Los valores notificados dependen de la aplicación de seguridad de ESET (y su versión) instalado en el equipo administrado y solo ESET PROTECT On-Prem informa los datos recibidos. Por lo tanto, ESET no puede proporcionar una lista exhaustiva de todos los valores. Le recomendamos que mida su red y filtre los registros en función de los valores recibidos.

## Claves personalizadas en función del event_type:

### Threat_Event

Todos los eventos de detección antivirus generados por puntos de conexión gestionados se reenviarán a Syslog. Clave específica del evento de detección:

threat_type | string | opcional | Tipo de detección
--- | --- | --- | ---
threat_name | string | opcional | Nombre de la detección
threat_flags | string | opcional | Indicadores relacionados de la detección
scanner_id | string | opcional | ID de exploración
scan_id | string | opcional | ID de exploración
engine_version | string | opcional | Versión del motor de exploración
object_type | string | opcional | Tipo de objeto relacionado con este evento
object_uri | string | opcional | URI del objeto
action_taken | string | opcional | Medidas adoptadas por el punto final
action_error | string | opcional | Mensaje de error si la "acción" no se ha realizado correctamente
threat_handled | bool | opcional | Indica si la detección pudo ser controlada o no
need_restart | bool | opcional | Define si es necesario reiniciar o no
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
processname | string | opcional | Nombre del proceso asociado al evento
circumstances | string | opcional | Breve descripción de lo que causó el evento
hash | string | opcional | Hash SHA1 del flujo de datos (de la detección).
firstseen | string | opcional | Hora y fecha cuando la detección se detectó por primera vez en ese equipo. ESET PROTECT On-Prem utiliza diferentes formatos de fecha-hora para el atributo firstseen (y todos los demás atributos fecha-hora) dependiendo del formato de salida del registro (JSON o LEEF): •JSON formato:"%d-%b-%Y %H:%M:%S" •LEEF formato:"%b %d %Y %H:%M:%S"

Ejemplo de registro JSON de Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Los registros de eventos generados por ESET Firewall ( detecciones de firewall) los agrega el agente de administración de ESET Management para evitar el desperdicio de ancho de banda durante la replicación del agente de ESET Management o del servidor de ESET PROTECT. Clave específica del evento de Firewall:

event | string | opcional | Nombre del evento
--- | --- | --- | ---
source_address | string | opcional | Dirección del origen del evento
source_address_type | string | opcional | Tipo de dirección del origen del evento
source_port | número | opcional | Puerto de la fuente del evento
target_address | string | opcional | Dirección de destino del evento
target_address_type | string | opcional | Tipo de dirección del destino del evento
target_port | número | opcional | Puerto del destino del evento
protocol | string | opcional | Protocolo
account | string | opcional | Nombre de la cuenta de usuario asociada con el evento
process_name | string | opcional | Nombre del proceso asociado al evento
rule_name | string | opcional | Nombre de regla
rule_id | string | opcional | ID de la regla
inbound | bool | opcional | Define si la conexión era de entrada o no
threat_name | string | opcional | Nombre de la detección
aggregate_count | número | opcional | Define cuántos mensajes iguales fueron generados por el punto final entre dos replicaciones consecutivas entre el servidor ESET PROTECT y la gestión del agente ESET Management
action | string | opcional | Medida tomada
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Los eventos del Sistema de prevención de intrusiones basado en host ( detecciones de HIPS) se filtran según la gravedad antes de enviarse como mensajes de Syslog. Los atributos específicos de HIPS son los siguientes:

application | string | opcional | Nombre de la aplicación
--- | --- | --- | ---
operation | string | opcional | Operación
target | string | opcional | Destino
action | string | opcional | Medida tomada
action_taken | string | opcional | Medidas adoptadas por el punto final
rule_name | string | opcional | Nombre de regla
rule_id | string | opcional | ID de la regla
aggregate_count | número | opcional | Define cuántos mensajes iguales fueron generados por el punto final entre dos replicaciones consecutivas entre el servidor ESET PROTECT y la gestión del agente ESET Management
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem envía los mensajes de registro de auditoría interna a Syslog. Los atributos específicos son los siguientes:

domain | string | opcional | Dominio de registro de auditoría
--- | --- | --- | ---
action | string | opcional | Acción que se lleva a cabo
target | string | opcional | Acción de destino que está en funcionamiento
detail | string | opcional | Descripción detallada de la acción
user | string | opcional | Usuario de seguridad involucrado
result | string | opcional | Resultado de la acción

Ejemplo de registro de Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem reenvía los sitios web filtrados (detecciones de protección web) a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso asociado al evento
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
hash | string | opcional | Hash SHA1 del objeto filtrado
event | string | opcional | Tipo de evento
rule_id | string | opcional | ID de la regla
action_taken | string | opcional | Medida tomada
scanner_id | string | opcional | ID de exploración
object_uri | string | opcional | URI del objeto
target_address | string | opcional | Dirección de destino del evento
target_address_type | string | opcional | Tipo de dirección del destino del evento (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem reenvía las alarmas de ESET Inspect a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso que causa esta alarma
--- | --- | --- | ---
username | string | opcional | Dueño del proceso
rulename | string | opcional | Nombre de la regla que desencadena esta alarma
count | número | opcional | Cantidad de alertas de este tipo que se han generado desde la última alarma
hash | string | opcional | Hash SHA1 de la alarma
eiconsolelink | string | opcional | Enlace a la alarma en la consola ESET Inspect On-Prem
eialarmid | string | opcional | Subparte del ID del enlace de la alarma ($1 en ^http.*/alarm/([0-9]+)$)
computer_severity_score | número | opcional | Nivel de gravedad del equipo
severity_score | número | opcional | Nivel de gravedad de la regla

Ejemplo de registro JSON de EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem reenvía las alarmas de los archivos bloqueados de ESET Inspect On-Prem a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso asociado al evento
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
hash | string | opcional | Hash SHA1 del archivo bloqueado
object_uri | string | opcional | URI del objeto
action | string | opcional | Medida tomada
firstseen | string | opcional | Hora y fecha cuando la detección se detectó por primera vez en ese equipo (formato de fecha y hora).
cause | string | opcional |
description | string | opcional | Descripción del archivo bloqueado
handled | string | opcional | Indica si la detección pudo ser controlada o no

˄˅