ESET PROTECT On-Prem

Offline | Prejsť do režimu online

ESET PROTECT On-Prem – Obsah

# Udalosti exportované vo formáte JSON

Skopírovať odkaz na aktuálny článok Odoslať e‑mailom

JSON je jednoduchý formát pre výmenu dát. Je založený na dvoch dátových štruktúrach: kolekcia párov názov-hodnota a zoradený zoznam hodnôt.

## Exportované udalosti

Táto sekcia obsahuje podrobnosti o formáte a význame atribútov všetkých exportovaných udalostí. Správa o udalosti má podobu objektu JSON vrátane niektorých povinných a voliteľných kľúčov (atribútov). Každá exportovaná udalosť bude obsahovať nasledujúci kľúč:

event_type | reťazec |  | Typ exportovanej udalosti: •Threat_Event ( Antivírusové detekcie) •FirewallAggregated_Event (Detekcie firewallu) •HipsAggregated_Event (Detekcie modulu HIPS) •Audit_Event (Protokol auditu) •FilteredWebsites_Event (Filtrované webové stránky – Webová ochrana) •EnterpriseInspectorAlert_Event (Upozornenia nástroja ESET Inspect) •BlockedFiles_Event ( Blokované súbory)
--- | --- | --- | ---
ipv4 | reťazec | voliteľné | IPv4 adresa počítača, ktorý generoval udalosť.
ipv6 | reťazec | voliteľné | IPv6 adresa počítača, ktorý generoval udalosť.
hostname | reťazec |  | Názov hostiteľa počítača, ktorý generoval udalosť.
source_uuid | reťazec |  | UUID počítača, ktorý generoval udalosť.
occurred | reťazec |  | Čas vo formáte UTC, kedy udalosť vznikla. Formát: %d-%b-%Y %H:%M:%S
severity | reťazec |  | Závažnosť udalosti. Možné hodnoty (od najmenej závažnej po najviac závažnú) sú: Informácia, Oznámenie, Upozornenie, Chyba, Kritický, Závažný.
group_name | reťazec |  | Úplná cesta k statickej skupine počítača, ktorý generoval udalosť. Ak je cesta dlhšia ako 255 znakov, group_name obsahuje len názov statickej skupiny.
group_description | reťazec |  | Popis statickej skupiny.
os_name | reťazec |  | Informácie o operačnom systéme počítača.

|  | Všetky typy udalostí uvedené ďalej sú bez ohľadu na úroveň závažnosti nahlasované Syslog serveru. Na filtrovanie protokolov udalostí odoslaných do Syslogu vytvorte oznámenie pre kategóriu protokolov s definovaným filtrom. Hlásené hodnoty závisia od bezpečnostnej aplikácie ESET nainštalovanej na spravovanom počítači (a jej verzie), pričom ESET PROTECT On-Prem len reportuje prijaté dáta. ESET preto nevie poskytnúť kompletný zoznam všetkých hodnôt. Odporúčame sledovať vašu sieť a filtrovať protokoly na základe hodnôt, ktoré ste dostali.

## Vlastné kľúče (atribúty) podľa event_type:

### Threat_Event

Všetky záznamy o antivírusových detekciách generovaných spravovanými koncovými zariadeniami sa odošlú na Syslog. Záznam o detekcii vyzerá nasledovne:

threat_type | reťazec | voliteľné | Typ detekcie
--- | --- | --- | ---
threat_name | reťazec | voliteľné | Názov detekcie
threat_flags | reťazec | voliteľné | Príznaky súvisiace s detekciou
scanner_id | reťazec | voliteľné | ID skenera
scan_id | reťazec | voliteľné | ID kontroly
engine_version | reťazec | voliteľné | Verzia skenovacieho jadra
object_type | reťazec | voliteľné | Typ objektu týkajúci sa tejto udalosti
object_uri | reťazec | voliteľné | URI objektu
action_taken | reťazec | voliteľné | Akcia vykonaná koncovou bezpečnostnou aplikáciou
action_error | reťazec | voliteľné | Chybové hlásenie v prípade, že „akcia“ nebola úspešná
threat_handled | bool | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená
need_restart | bool | voliteľné | Informácia o tom, či je potrebný reštart
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
circumstances | reťazec | voliteľné | Krátka informácia o tom, čo spôsobilo danú udalosť
hash | reťazec | voliteľné | SHA1 hash (detekcie) dátového toku.
firstseen | reťazec | voliteľné | Čas a dátum, kedy bola detekcia po prvýkrát zistená na zariadení. ESET PROTECT On-Prem používa rozdielne formáty času a dátumu pre atribút firstseen (a každý iný atribút času a dátumu) v závislosti od výstupného formátu (JSON alebo LEEF): •JSON formát: "%d-%b-%Y %H:%M:%S" •LEEF formát: "%b %d %Y %H:%M:%S"

Príklad protokolu Threat_Event vo formáte JSON:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Protokoly udalostí generované firewallom ESET (detekcie firewallu) agreguje riadiaci ESET Management Agent na účely zníženia množstva dát prenášaných počas replikácie ESET Management Agenta/ESET PROTECT Servera. Záznam o udalostiach firewallu vyzerá nasledovne:

event | reťazec | voliteľné | Názov udalosti
--- | --- | --- | ---
source_address | reťazec | voliteľné | Adresa zdroja udalosti
source_address_type | reťazec | voliteľné | Typ adresy zdroja udalosti
source_port | číslo | voliteľné | Port zdroja udalosti
target_address | reťazec | voliteľné | Adresa cieľa udalosti
target_address_type | reťazec | voliteľné | Typ adresy cieľa udalosti
target_port | číslo | voliteľné | Port cieľa udalosti
protocol | reťazec | voliteľné | Protokol
account | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
process_name | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
rule_name | reťazec | voliteľné | Názov pravidla
rule_id | reťazec | voliteľné | ID pravidla
inbound | bool | voliteľné | Informácia, či išlo o prichádzajúce pripojenie
threat_name | reťazec | voliteľné | Názov detekcie
aggregate_count | číslo | voliteľné | Počet rovnakých správ vygenerovaných koncovou bezpečnostnou aplikáciou medzi dvoma po sebe idúcimi replikáciami ESET Management Agenta na ESET PROTECT Server
action | reťazec | voliteľné | Vykonaná akcia
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu FirewallAggregated_Event vo formáte JSON:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Udalosti z modulu HIPS (detekcie modulu HIPS) sú filtrované na základe závažnosti pred tým, ako sú ďalej odosielané v podobe Syslog správ. Záznam o udalostiach modulu HIPS vyzerá nasledovne:

application | reťazec | voliteľné | Názov aplikácie
--- | --- | --- | ---
operation | reťazec | voliteľné | Operácia
target | reťazec | voliteľné | Cieľ
action | reťazec | voliteľné | Vykonaná akcia
action_taken | reťazec | voliteľné | Akcia vykonaná koncovou bezpečnostnou aplikáciou
rule_name | reťazec | voliteľné | Názov pravidla
rule_id | reťazec | voliteľné | ID pravidla
aggregate_count | číslo | voliteľné | Počet rovnakých správ vygenerovaných koncovou bezpečnostnou aplikáciou medzi dvoma po sebe idúcimi replikáciami ESET Management Agenta na ESET PROTECT Server
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu HipsAggregated_Event vo formáte JSON:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem preposiela do Syslogu správy z interného protokolu auditu. Záznam o udalostiach vyzerá nasledovne:

domain | reťazec | voliteľné | Doména protokolu auditu
--- | --- | --- | ---
action | reťazec | voliteľné | Vykonávaná akcia
target | reťazec | voliteľné | Cieľ, na ktorom je akcia vykonávaná
detail | reťazec | voliteľné | Podrobný popis akcie
user | reťazec | voliteľné | Užívateľ vykonávajúci akciu
result | reťazec | voliteľné | Výsledok akcie

Príklad protokolu Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem preposiela filtrované webové stránky (detekcie Webovej ochrany) do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
hash | reťazec | voliteľné | SHA1 hash filtrovaného objektu
event | reťazec | voliteľné | Typ udalosti
rule_id | reťazec | voliteľné | ID pravidla
action_taken | reťazec | voliteľné | Vykonaná akcia
scanner_id | reťazec | voliteľné | ID skenera
object_uri | reťazec | voliteľné | URI objektu
target_address | reťazec | voliteľné | Adresa cieľa udalosti
target_address_type | reťazec | voliteľné | Typ adresy cieľa udalosti (25769803777 = IPv4; 25769803778 = IPv6)
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu FilteredWebsites_Event vo formáte JSON:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem preposiela upozornenia nástroja ESET Inspect do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu, ktorý spôsobil upozornenie
--- | --- | --- | ---
username | reťazec | voliteľné | Vlastník procesu
rulename | reťazec | voliteľné | Názov pravidla, ktoré spustilo upozornenie
count | číslo | voliteľné | Počet upozornení tohto typu vygenerovaných od posledného upozornenia
hash | reťazec | voliteľné | SHA1 hash upozornenia
eiconsolelink | reťazec | voliteľné | Odkaz na upozornenie v konzole ESET Inspect On-Prem
eialarmid | reťazec | voliteľné | Podčasť ID odkazu na upozornenie ($1 v ^http.*/alarm/([0-9]+)$)
computer_severity_score | číslo | voliteľné | Skóre závažnosti počítača
severity_score | číslo | voliteľné | Skóre závažnosti pravidla

Príklad protokolu EnterpriseInspectorAlert_Event vo formáte JSON:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem preposiela blokované súbory nahlásené nástrojom ESET Inspect On-Prem do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
hash | reťazec | voliteľné | SHA1 hash blokovaného súboru
object_uri | reťazec | voliteľné | URI objektu
action | reťazec | voliteľné | Vykonaná akcia
firstseen | reťazec | voliteľné | Čas a dátum, kedy bola detekcia prvýkrát nájdená na danom počítači (formát dátumu a času).
cause | reťazec | voliteľné |
description | reťazec | voliteľné | Popis blokovaného súboru
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

˄˅