ESET PROTECT On-Prem

オフライン | オンライン

ESET PROTECT On-Prem – 目次

# JSON形式にエクスポートされたイベント

現在の記事のURLをコピー 電子メールで共有

JSONはデータ交換用の軽量形式です。名前/値のペアのコレクションと値の順序付けされたリストで作成されます。

## エクスポートされたイベント

このセクションでは、すべてのエクスポートされたイベントの属性の形式と意味について説明します。イベントメッセージは、いくつかの必須キーと任意のキーを持つJSONオブジェクトです。各エクスポートされたイベントには次のキーがあります。

event_type | string |  | エクスポートされたイベントのタイプ: •Threat_Event (ウイルス対策検出) •FirewallAggregated_Event (ファイアウォール検出) •HipsAggregated_Event (HIPS検出) •Audit_Event ( 監査ログ) •FilteredWebsites_Event (フィルタリングされたWebサイト—Web保護) •EnterpriseInspectorAlert_Event ( ESET Inspectアラート) •BlockedFiles_Event (ブロックされたファイル)
--- | --- | --- | ---
ipv4 | string | 任意 | イベントを生成するコンピューターのIPv4アドレス。
ipv6 | string | 任意 | イベントを生成するコンピューターのIPv6アドレス。
hostname | string |  | イベントを生成するコンピューターのホスト名。
source_uuid | string |  | イベントを生成するコンピューターのUUID。
occurred | string |  | イベントの発生時刻(UTC)。形式は%d-%b-%Y %H:%M:%Sです。
severity | string |  | イベントの重大度。値(重要度の低い順):情報、通知、警告、エラー、重大、致命的。
group_name | string |  | イベントを生成するコンピューターの静的グループへの完全パス。パスが255文字を超える場合は、group_nameには静的グループ名だけが含されます。
group_description | string |  | 静的グループの説明。
os_name | string |  | コンピューターのオペレーティングシステムに関する情報。

|  | 次の一覧のすべての重要度レベルのすべてのイベントタイプがSyslogサーバーに報告されます。 Syslogに送信されたイベントログをフィルタリングするには、定義されたフィルターでログカテゴリ通知を作成します。 報告された値は、管理されたコンピューターにインストールされたESETセキュリティアプリケーション(とそのバージョン)によって異なり、ESET PROTECT On-Premは受信したデータのみを報告します。このため、ESETは、すべての値の網羅的なリストを提供できません。ネットワークを監視し、受信した値に基づいてログをフィルタリングすることをお勧めします。

## event_typeに基づくカスタムキー:

### Threat_Event

管理されたエンドポイントによって生成されたすべてのウイルス対策検出イベントがSyslogに転送されます。検出イベント固有のキー:

threat_type | string | 任意 | 検出のタイプ
--- | --- | --- | ---
threat_name | string | 任意 | 検出名
threat_flags | string | 任意 | 検出関連フラグ
scanner_id | string | 任意 | スキャナーID
scan_id | string | 任意 | 検査ID
engine_version | string | 任意 | 検査エンジンのバージョン
object_type | string | 任意 | このイベントに関連するオブジェクトのタイプ
object_uri | string | 任意 | オブジェクトURI
action_taken | string | 任意 | エンドポイントによって実行されたアクション
action_error | string | 任意 | アクションが失敗した場合のエラーメッセージ
threat_handled | bool | 任意 | 検出が処理されたかどうかを示します
need_restart | bool | 任意 | 再起動が必要かどうか
username | string | 任意 | イベントに関連付けられたユーザーアカウントの名前
processname | string | 任意 | イベントに関連付けられたプロセスの名前
circumstances | string | 任意 | イベントの原因の簡単な説明
hash | string | 任意 | (検出)データストリームのSHA1ハッシュ。
firstseen | string | 任意 | そのコンピューターで初めて検出された日時。ESET PROTECT On-Premは、ログ出力形式(firstseenまたはJSON)に応じて、LEEF属性のさまざまな日時形式を使用します。 •JSON 形式: "%d-%b-%Y %H:%M:%S" •LEEF 形式: "%b %d %Y %H:%M:%S"

Threat_Event JSONログの例:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

ESET Firewall (ファイアウォール検出)によって生成されたイベントログは、管理しているESET Managementエージェントによって集約され、ESET Managementエージェント/ESET PROTECTサーバーレプリケーション中に帯域幅を浪費することがなくなります。ファイアウォールイベント固有のキー:

event | string | 任意 | イベント名
--- | --- | --- | ---
source_address | string | 任意 | イベントソースのアドレス
source_address_type | string | 任意 | イベントソースのアドレスのタイプ
source_port | number | 任意 | イベントソースのポート
target_address | string | 任意 | イベント宛先のアドレス
target_address_type | string | 任意 | イベント宛先のアドレスのタイプ
target_port | number | 任意 | イベント宛先のポート
protocol | string | 任意 | プロトコル
account | string | 任意 | イベントに関連付けられたユーザーアカウントの名前
process_name | string | 任意 | イベントに関連付けられたプロセスの名前
rule_name | string | 任意 | ルール名
rule_id | string | 任意 | ルールID
inbound | bool | 任意 | 接続が受信かどうか
threat_name | string | 任意 | 検出名
aggregate_count | number | 任意 | ESET PROTECTサーバーと管理するESET Managementエージェント間で、2つの連続するレプリケーションの間に、エンドポイントによって生成された重複するメッセージの数
action | string | 任意 | 実行されたアクション
handled | string | 任意 | 検出が処理されたかどうかを示します

FirewallAggregated_Event JSONログの例:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

HIPS (HIPS検出)のイベントは、Syslogメッセージとして送信される前に、重要度でフィルタリングされます。HIPS固有の属性は次のとおりです。

application | string | 任意 | アプリケーション名
--- | --- | --- | ---
operation | string | 任意 | 処理
target | string | 任意 | 対象
action | string | 任意 | 実行されたアクション
action_taken | string | 任意 | エンドポイントによって実行されたアクション
rule_name | string | 任意 | ルール名
rule_id | string | 任意 | ルールID
aggregate_count | number | 任意 | ESET PROTECTサーバーと管理するESET Managementエージェント間で、2つの連続するレプリケーションの間に、エンドポイントによって生成された重複するメッセージの数
handled | string | 任意 | 検出が処理されたかどうかを示します

HipsAggregated_Event JSONログの例:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Premは内部監査ログメッセージをSyslogに転送します。固有の属性は次のとおりです。

domain | string | 任意 | 監査ログドメイン
--- | --- | --- | ---
action | string | 任意 | 実行中のアクション
target | string | 任意 | ターゲットアクションが動作しています
detail | string | 任意 | アクションの詳細説明
user | string | 任意 | 関係するセキュリティユーザー
result | string | 任意 | アクションの結果

Audit_Eventログの例:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-PremはフィルタリングされたWebサイト(Web 保護検出)をSyslogに転送します。固有の属性は次のとおりです。

processname | string | 任意 | イベントに関連付けられたプロセスの名前
username | string | 任意 | イベントに関連付けられたユーザーアカウントの名前
hash | string | 任意 | フィルタリングされたオブジェクトのSHA1ハッシュ
event | string | 任意 | イベントタイプ
rule_id | string | 任意 | ルールID
action_taken | string | 任意 | 実行されたアクション
scanner_id | string | 任意 | スキャナーID
object_uri | string | 任意 | オブジェクトURI
target_address | string | 任意 | イベント宛先のアドレス
target_address_type | string | 任意 | イベント宛先のアドレスのタイプ(25769803777 = IPv4; 25769803778 = IPv6)
handled | string | 任意 | 検出が処理されたかどうかを示します

FilteredWebsites_Event JSONログの例:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-PremはESET InspectアラートをSyslogに転送します。固有の属性は次のとおりです。

processname | string | 任意 | このアラームを発生させるプロセスの名前
--- | --- | --- | ---
username | string | 任意 | プロセスの所有者
rulename | string | 任意 | このアラームをトリガーするルールの名前
count | number | 任意 | 前回のアラーム以降に生成されたこのタイプのアラート数
hash | string | 任意 | アラームのSHA1ハッシュ
eiconsolelink | string | 任意 | ESET Inspect On-Premコンソールのアラームへのリンク
eialarmid | string | 任意 | アラームリンクのID部分(^http.*/alarm/([0-9]+)$の$1)
computer_severity_score | number | 任意 | コンピューター重要度スコア
severity_score | number | 任意 | ルール重要度スコア

EnterpriseInspectorAlert_Event JSONログの例:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-PremはESET Inspect On-Prem ブロックされたファイルをSyslogに転送します。固有の属性は次のとおりです。

processname | string | 任意 | イベントに関連付けられたプロセスの名前
username | string | 任意 | イベントに関連付けられたユーザーアカウントの名前
hash | string | 任意 | ブロックされたファイルのSHA1ハッシュ
object_uri | string | 任意 | オブジェクトURI
action | string | 任意 | 実行されたアクション
firstseen | string | 任意 | そのコンピューターで初めて検出が特定された日時(日時形式)。
cause | string | 任意 |
description | string | 任意 | ブロックされたファイルの説明
handled | string | 任意 | 検出が処理されたかどうかを示します

˄˅