ESET PROTECT On-Prem

Sin conexión | Trabajar en línea

ESET PROTECT On-Prem – Tabla de contenido

# Eventos exportados a formato JSON

Copiar la URL del artículo actual Compartir por correo electrónico

Defina un filtro en una categoría de registro de notificaciones para filtrar los registros de eventos enviados a Syslog.

JSON es un formato liviano para el intercambio de datos. Se forma con una colección de parejas de nombres y valores, y una lista ordenada de valores.

## Eventos exportados

Esta sección contiene información sobre el formato y el significado de los atributos de todos los eventos exportados. El mensaje de evento es un objeto JSON con algunas claves obligatorias y otras opcionales. Cada evento exportado contendrá la siguiente clave:

event_type | string |  | Tipo de eventos exportados: •Threat_Event (detecciones antivirus) •FirewallAggregated_Event ( detecciones de firewall) •HipsAggregated_Event ( detecciones de HIPS) •Audit_Event (registro de auditoría) •FilteredWebsites_Event (sitios web filtrados: protección web) •EnterpriseInspectorAlert_Event (alertas de ESET Inspect ) •BlockedFiles_Event ( archivos bloqueados)
--- | --- | --- | ---
ipv4 | string | opcional | Dirección IPv4 del equipo que genera el evento.
ipv6 | string | opcional | Dirección IPv6 del equipo que genera el evento.
hostname | string |  | Hostname del equipo que genera el evento.
source_uuid | string |  | UUID del equipo que genera el evento.
occurred | string |  | Hora UTC de la ocurrencia del evento. El formato es %d-%b-%Y %H:%M:%S
severity | string |  | Severidad del evento. Los posibles valores (de menos grave a más grave) son: Información, Aviso, Advertencia, Error, Critical, Fatal
group_name | string |  | La ruta completa al grupo estático del equipo que genera el evento. Si la ruta tiene más de 255 caracteres, group_name solo contiene el nombre del grupo estático.
group_description | string |  | Descripción del grupo estático.
os_name | string |  | Información sobre el sistema operativo del equipo.

|  | Todos los tipos de eventos que se indican a continuación junto con todos los niveles de gravedad se informan al servidor Syslog. Defina un filtro en una categoría de registro de notificaciones para filtrar los registros de eventos enviados a Syslog. Los valores notificados dependen de la aplicación de seguridad de ESET (y su versión) instalado en el equipo administrado y solo ESET PROTECT On-Prem informa los datos recibidos. Por lo tanto, ESET no puede proporcionar una lista exhaustiva de todos los valores. Le recomendamos que mida su red y filtre los registros en función de los valores recibidos.

## Claves personalizadas en función del event_type:

### Threat_Event

Todos los eventos de detección antivirus generados por puntos de conexión gestionados se reenviarán a Syslog. Clave específica del evento de detección:

threat_type | string | opcional | Tipo de detección
--- | --- | --- | ---
threat_name | string | opcional | Nombre de la detección
threat_flags | string | opcional | Indicadores relacionados de la detección
scanner_id | string | opcional | ID de exploración
scan_id | string | opcional | ID de exploración
engine_version | string | opcional | Versión del motor de exploración
object_type | string | opcional | Tipo de objeto relacionado con este evento
object_uri | string | opcional | URI del objeto
action_taken | string | opcional | Medidas adoptadas por el punto final
action_error | string | opcional | Mensaje de error si la "acción" no se ha realizado correctamente
threat_handled | bool | opcional | Indica si la detección pudo ser controlada o no
need_restart | bool | opcional | Define si es necesario reiniciar o no
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
processname | string | opcional | Nombre del proceso asociado al evento
circumstances | string | opcional | Breve descripción de lo que causó el evento
hash | string | opcional | Hash SHA1 del flujo de datos (de la detección).
firstseen | string | opcional | Hora y fecha cuando la detección se detectó por primera vez en ese equipo. ESET PROTECT On-Prem utiliza diferentes formatos de fecha-hora para el atributo firstseen (y todos los demás atributos fecha-hora) dependiendo del formato de salida del registro (JSON o LEEF): •JSON formato:"%d-%b-%Y %H:%M:%S" •LEEF formato:"%b %d %Y %H:%M:%S"

Ejemplo de registro JSON de Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Los registros de eventos generados por ESET Firewall ( detecciones de firewall) los agrega el agente de administración de ESET Management para evitar el desperdicio de ancho de banda durante la replicación del agente de ESET Management o del servidor de ESET PROTECT. Clave específica del evento de Firewall:

event | string | opcional | Nombre del evento
--- | --- | --- | ---
source_address | string | opcional | Dirección del origen del evento
source_address_type | string | opcional | Tipo de dirección del origen del evento
source_port | número | opcional | Puerto de la fuente del evento
target_address | string | opcional | Dirección de destino del evento
target_address_type | string | opcional | Tipo de dirección del destino del evento
target_port | número | opcional | Puerto del destino del evento
protocol | string | opcional | Protocolo
account | string | opcional | Nombre de la cuenta de usuario asociada con el evento
process_name | string | opcional | Nombre del proceso asociado al evento
rule_name | string | opcional | Nombre de regla
rule_id | string | opcional | ID de la regla
inbound | bool | opcional | Define si la conexión era de entrada o no
threat_name | string | opcional | Nombre de la detección
aggregate_count | número | opcional | Define cuántos mensajes iguales fueron generados por el punto final entre dos replicaciones consecutivas entre el servidor ESET PROTECT y la gestión del agente ESET Management
action | string | opcional | Medida tomada
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Los eventos del Sistema de prevención de intrusiones basado en host ( detecciones de HIPS) se filtran según la gravedad antes de enviarse como mensajes de Syslog. Los atributos específicos de HIPS son los siguientes:

application | string | opcional | Nombre de la aplicación
--- | --- | --- | ---
operation | string | opcional | Operación
target | string | opcional | Destino
action | string | opcional | Medida tomada
action_taken | string | opcional | Medidas adoptadas por el punto final
rule_name | string | opcional | Nombre de regla
rule_id | string | opcional | ID de la regla
aggregate_count | número | opcional | Define cuántos mensajes iguales fueron generados por el punto final entre dos replicaciones consecutivas entre el servidor ESET PROTECT y la gestión del agente ESET Management
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem envía los mensajes de registro de auditoría interna a Syslog. Los atributos específicos son los siguientes:

domain | string | opcional | Dominio de registro de auditoría
--- | --- | --- | ---
action | string | opcional | Acción que se lleva a cabo
target | string | opcional | Acción de destino que está en funcionamiento
detail | string | opcional | Descripción detallada de la acción
user | string | opcional | Usuario de seguridad involucrado
result | string | opcional | Resultado de la acción

Ejemplo de registro de Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem reenvía los sitios web filtrados (detecciones de protección web) a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso asociado al evento
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
hash | string | opcional | Hash SHA1 del objeto filtrado
event | string | opcional | Tipo de evento
rule_id | string | opcional | ID de la regla
action_taken | string | opcional | Medida tomada
scanner_id | string | opcional | ID de exploración
object_uri | string | opcional | URI del objeto
target_address | string | opcional | Dirección de destino del evento
target_address_type | string | opcional | Tipo de dirección del destino del evento (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | opcional | Indica si la detección pudo ser controlada o no

Ejemplo de registro JSON de FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem reenvía las alarmas de ESET Inspect a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso que causa esta alarma
--- | --- | --- | ---
username | string | opcional | Dueño del proceso
rulename | string | opcional | Nombre de la regla que desencadena esta alarma
count | número | opcional | Cantidad de alertas de este tipo que se han generado desde la última alarma
hash | string | opcional | Hash SHA1 de la alarma
eiconsolelink | string | opcional | Enlace a la alarma en la consola ESET Inspect On-Prem
eialarmid | string | opcional | Subparte del ID del enlace de la alarma ($1 en ^http.*/alarm/([0-9]+)$)
computer_severity_score | número | opcional | Nivel de gravedad del equipo
severity_score | número | opcional | Nivel de gravedad de la regla

Ejemplo de registro JSON de EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem reenvía las alarmas de los archivos bloqueados de ESET Inspect On-Prem a Syslog. Los atributos específicos son los siguientes:

processname | string | opcional | Nombre del proceso asociado al evento
username | string | opcional | Nombre de la cuenta de usuario asociada con el evento
hash | string | opcional | Hash SHA1 del archivo bloqueado
object_uri | string | opcional | URI del objeto
action | string | opcional | Medida tomada
firstseen | string | opcional | Hora y fecha cuando la detección se detectó por primera vez en ese equipo (formato de fecha y hora).
cause | string | opcional |
description | string | opcional | Descripción del archivo bloqueado
handled | string | opcional | Indica si la detección pudo ser controlada o no

˄˅