ESET PROTECT On-Prem

Sin conexión | Establecer conexión

ESET PROTECT On-Prem – Índice

# Eventos exportados a formato CEF

Copiar la URL del artículo actual Compartir por correo electrónico

Defina un filtro en una categoría de registro de notificaciones para filtrar los registros de sucesos enviados a Syslog.

CEF es un formato de registro de texto desarrollado por ArcSight. El CEF formato incluye un encabezado CEF y una extensión CEF. La extensión contiene una lista de pares clave-valor.

## Encabezado CEF

Encabezado | Ejemplo | Descripción
--- | --- | ---
Device Vendor | ESET |
Device Product | Protect |
Device Version | 10.0.5.1 | ESET PROTECT On-Prem versión
Device Event Class ID (Signature ID): | 109 | Identificador único de la categoría de evento de dispositivo: •100–199 evento de amenaza •200–299 evento de cortafuegos •300–399 HIPS evento •400–499 evento de auditoría •500–599 ESET Inspect evento •600–699 evento de archivos bloqueados •700–799 evento de sitios web filtrados •Evento de incidente 800–899
Event Name | Detected port scanning attack | Una breve descripción de lo que ocurrió en el evento
Severity | 5 | Nivel de registro •2 – Información •3 – Aviso •5 – Advertencia •7 – Error •8 – Crítico •10 – Fatal

## Extensiones CEF comunes a todas las categorías

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
cat | ESET Threat Event | Categoría de evento: •ESET Threat Event •ESET Firewall Event •ESET HIPS Event •ESET RA Audit Event •ESET Inspect Event •ESET Blocked File Event •ESET Filtered Website Event
dvc | 10.0.12.59 | Dirección IPv4 del ordenador que genera el evento.
c6a1 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | Dirección IPv6 del ordenador que genera el evento.
c6a1Label | Device IPv6 Address |
dvchost | COMPUTER02 | Nombre de cliente del ordenador con el suceso
deviceExternalId | 39e0feee-45e2-476a-b17f-169b592c3645 | UUID del ordenador que genera el evento.
rt | Jun 04 2017 14:10:0 | Hora UTC en la que el evento tuvo lugar. El formato es %b %d %Y %H:%M:%S
ESETProtectDeviceGroupName | All/Lost & found | La ruta completa al grupo estático del ordenador que genera el evento. Si la ruta de acceso tiene más de 255 caracteres, ESETProtectDeviceGroupName solo contiene el nombre del grupo estático.
ESETProtectDeviceOsName | Microsoft Windows 11 Pro | Información sobre el sistema operativo del ordenador.
ESETProtectDeviceGroupDescription | Lost & found static group | Descripción del grupo estático.

## Extensiones CEF por categoría de evento

### Eventos de amenaza

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
cs1 | W97M/Kojer.A | Nombre de la amenaza encontrada
cs1Label | Threat Name |
cs2 | 25898 (20220909) | Versión del Motor de detección
cs2Label | Engine Version |
cs3 | Virus | Tipo de detección
cs3Label | Threat Type |
cs4 | Real-time file system protection | ID del escáner
cs4Label | Scanner ID |
cs5 | virlog.dat | ID del análisis
cs5Label | Scan ID |
cs6 | Failed to remove file | Mensaje de error si la "acción" no se ha realizado correctamente
cs6Label | Action Error |
cs7 | Event occurred on a newly created file | Breve descripción de la causa del evento
cs7Label | Circumstances |
cs8 | 0000000000000000000000000000000000000000 | Hash SHA1 de la secuencia de datos (detección).
cs8Label | Hash |
act | Cleaned by deleting file | La acción la realizó el equipo
filePath | file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC | Objeto URI
fileType | File | Tipo de objeto relacionado con el evento
cn1 | 1 | La detección se gestionó (1) o no se gestionó (0)
cn1Label | Handled |
cn2 | 0 | Reiniciar es necesario (1) o no es necesario (0)
cn2Label | Restart Needed |
suser | 172-MG\\Administrator | Nombre de la cuenta de usuario relacionada con el evento
sprod | C:\\7-Zip\\7z.exe | El nombre del proceso de origen del evento
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | La hora y la fecha en las que se encontró la detección por primera vez en el equipo. El formato es %b %d %Y %H:%M:%S

Ejemplo de registro de CEF de evento de amenaza:

CEF:O|ESET|Protect|10.0.0.0|183|File scanner cleaned a virus|5|deviceExternalId=e9d26759-fd21-47f1-9751-d2e7194c41a8 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Threat Event rt=Jun 04 2017 14:10:00 cs1=W97M/Kojer.A cs1Label=Threat Name cs2=25898 (20220909) cs2Label=Engine Version cs3=Virus cs3Label=Threat Type cs4=Real-time file system protection cs4Label=Scanner ID cs5=virlog.dat cs5Label=Scan ID act=Cleaned by deleting fileType=File filePath=file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC cn1=1 cn1Label=Handled suser=172-MG\\Administrator sprod=C:\\7-Zip\\7z.exe cs7=Event occurred on a newly created file. cs7Label=Circumstances eviceCustomDate1=Jun 04 2019 14:10:00 deviceCustomDate1Label=FirstSeen cs8=0000000000000000000000000000000000000000 cs8Label=Hash

### Eventos de cortafuegos

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
msg | TCP Port Scanning attack | Nombre del evento
src | 127.0.0.1 | Dirección IPv4 del origen del evento
c6a2 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | Dirección IPv6 del origen del evento
c6a2Label | Source IPv6 Address |
spt | 36324 | Puerto del origen del evento
dst | 127.0.0.2 | Dirección IPv4 del destino del evento
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | Dirección IPv6 del destino del evento
c6a3Label | Destination IPv6 Address |
dpt | 24 | Puerto de destino del evento
proto | http | Protocolo
act | Blocked | Acción realizada
cn1 | 1 | La detección se gestionó (1) o no se gestionó (0)
cn1Label | Handled |
suser | 172-MG\\Administrator | Nombre de la cuenta de usuario relacionada con el evento
deviceProcessName | someApp.exe | Nombre del proceso relacionado con el evento
deviceDirection | 1 | La conexión era entrante (0) o saliente (1)
cnt | 3 | El número de los mismos mensajes generados por el equipo entre dos replicaciones consecutivas entre ESET PROTECT On-Prem y ESET Management Agent
cs1 |  | ID de la regla
cs1Label | Rule ID |
cs2 | custom_rule_12 | Nombre de la regla
cs2Label | Rule Name |
cs3 | Win32/Botnet.generic | Nombre de la amenaza
cs3Label | Threat Name |

Ejemplo de registro de CEF de evento del cortafuegos

CEF:O|ESET|Protect|10.0.0.0|109|Detected port scanning attack|5|deviceExternalId=39e0feee-45e2-476a-b07f-169b592c3645 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Firewall Event rt=Jun 04 2017 14:10:00 msg=TCP Port Scanning attack src=127.0.0.1 spt=36324 dpt=21 dst=127.0.0.2 proto=http act=Blocked cnt=1 cn1=1 cn1Label=Handled suser=myAccount deviceProcessName=someApp.exe cs2=rule_118882389 cs2Label=Rule Name deviceDirection=0 cs3=Win32/Botnet.generic cs3Label=Threat Name

### HIPS sucesos

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
cs1 | Suspicious attempt to launch an application | ID de la regla
cs1Label | Rule ID |
cs2 | custom_rule_12 | Nombre de la regla
cs2Label | Rule Name |
cs3 | C:\\someapp.exe | Nombre de la aplicación
cs3Label | Application |
cs4 | Attempt to run a suspicious object | Operación
cs4Label | Operation |
cs5 | C:\\somevirus.exe | Destino
cs5Label | Target |
act | Blocked | Acción realizada
cs2 | custom_rule_12 | Nombre de la regla
cn1 | 1 | La detección se gestionó (1) o no se gestionó (0)
cn1Label | Handled |
cnt | 3 | El número de los mismos mensajes generados por el equipo entre dos replicaciones consecutivas entre ESET PROTECT On-Prem y ESET Management Agent

Ejemplo de registro de CEF de evento HIPS

CEF:O|ESET|Protect|10.0.0.0|303|Attempt to run a suspicious object Blocked|5|dvchost=test_bcmcjkbpgp deviceExternalId=82e114a8-9070-4868-8ee2-1e87b7b85ee3 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET HIPS Event rt=Jun 04 2019 14:10:00 cs3=C:\\someapp.exe cs3Label=Application cs4=Attempt to run a suspicious object cs4Label=Operation cs5=C:\\somevirus.exe cs5Label=Target act=Blocked cn1=1 cn1Label=Handled cs1=Suspicious attempt to launch an application cs1Label=Rule ID cnt=1

### Eventos de auditoría

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
act | Login attempt | Acción que se está realizando
suser | Administrator | Usuario de seguridad implicado
duser | Administrator | Usuario de seguridad objetivo (por ejemplo, para intentos de inicio de sesión)
msg | Authenticating native user 'Administrator' | Descripción detallada de la acción
cs1 | Native user | Dominio del registro de auditoría
cs1Label | Audit Domain |
cs2 | Success | Resultado de la acción
cs2Label | Result |

Ejemplo de registro de CEF de evento de auditoría:

CEF:O|ESET|Protect|10.0.0.0|449|Native user login|2|dvc=10.15.172.133 dvchost=BRNH00006D deviceExternalId=db4a82c0-e1c6-49be-8bac-a436136ed1f4 cat=ESET RA Audit Event rt=Sep 21 2022 13:10:23 cs1=Native user cs1Label=Audit Domain act=Login attempt duser=Administrator msg=Authenticating native user 'Administrator'. cs2=Success cs2Label=Result

### ESET Inspect sucesos

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
deviceProcessName | c:\\imagepath_bin.exe | Nombre del proceso que provoca esta alarma
suser | HP\\home | Propietario del proceso
cs2 | custom_rule_12 | Nombre de la regla que activa esta alarma
cs2Label | Rule Name |
cs3 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | Hash SHA1 de alarma
cs3Label | Hash |
cs4 | https://inspect.eset.com:443/console/alarm/126 | Vínculo a la alarma en ESET Inspect On-Prem Web Console
cs4Label | EI Console Link |
cs5 | 126 | Subparte del identificador del vínculo de alarma ($1 en ^http.*/alarm/([0-9]+)$)
cs5Label | EI Alarm ID |
cn1 | 275 | Nivel de gravedad del ordenador
cn1Label | ComputerSeverityScore |
cn2 | 60 | Nivel de gravedad de la regla
cn2Label | SeverityScore |
cnt | 3 | El número de alertas del mismo tipo generadas desde la última alarma

Ejemplo de registro de CEF de evento de ESET Inspect

CEF:O|ESET|Protect|10.0.0.0|500|ESET Inspect Alert|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Inspect Alert rt=Sep 21 2022 07:31:55 deviceProcessName=c:\\mother_process_info_imagepath_dir\\mother_process_info_imagepath_bin.exe suser=HP\\home cs2=9_1_0addd4e8baf8e87d4bc4ed77fadc cs2Label=Rule Name cs3=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs3Label=Hash cs4=https://dev-inspect.eset.com:443/console/alarm/126 cs4Label=EI Console Link cs5=126 cs5Label=EI Alarm ID cn1=275 cn1Label=ComputerSeverityScore cn2=60 cn2Label=SeverityScore

### Eventos en archivos bloqueados

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
act | Execution blocked | Acción realizada
cn1 | 1 | La detección se gestionó (1) o no se gestionó (0)
cn1Label | Handled |
suser | HP\\home | Nombre de la cuenta de usuario relacionada con el evento
deviceProcessName | C:\\Windows\\explorer.exe | Nombre del proceso relacionado con el evento
cs1 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | Hash SHA1 del archivo bloqueado
cs1Label | Hash |
filePath | C:\\totalcmd\\TOTALCMD.EXE | Objeto URI
msg | ESET Inspect | Descripción del archivo bloqueado
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | La hora y la fecha en las que se encontró la detección por primera vez en el equipo. El formato es %b %d %Y %H:%M:%S
cs2 | Blocked by Administrator | Causa
cs2Label | Cause |

Ejemplo de registro de CEF de evento de archivos bloqueados:

CEF:O|ESET|Protect|10.0.0.0|600|Blocked File Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Blocked File Event rt=Sep 21 2022 07:31:55 act=Execution blocked cn1=1 cn1Label=Handled suser=HP\\home deviceProcessName=C:\\Windows\\explorer.exe cs1=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs1Label=Hash filePath=C:\\totalcmd\\TOTALCMD.EXE deviceCustomDate1=Sep 21 2022 07:31:55 deviceCustomDate1Label=FirstSeen cs2=Blocked by Administrator cs2Label=Cause msg=ESET Inspect

### Eventos de sitio web filtrados

Nombre de la extensión | Ejemplo | Descripción
--- | --- | ---
msg | An attempt to connect to URL | Tipo de suceso
act | Blocked | Acción realizada
cn1 | 1 | La detección se gestionó (1) o no se gestionó (0)
cn1Label | Handled |
user | Peter | Nombre de la cuenta de usuario relacionada con el evento
deviceProcessName | Firefox | Nombre del proceso relacionado con el evento
cs1 | Blocked by PUA blacklist | ID de la regla
cs1Label | Rule ID |
requestUrl | https://kenmmal.com/ | URL de solicitud bloqueada
dst | 172.17.9.224 | Dirección IPv4 del destino del evento
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | Dirección IPv6 del destino del evento
c6a3Label | Destination IPv6 Address |
cs2 | HTTP filter | ID del escáner
cs2Label | Scanner ID |
cs3 | 8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 | Hash SHA1 del objeto filtrado
cs3Label | Hash |

Ejemplo de registro de CEF de evento de sitio web filtrado:

CEF:O|ESET|Protect|10.0.0.0|716|Filtered Website Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Filtered Website Event rt=Sep 21 2022 07:31:55 msg=An attempt to connect to URL dst=172.17.9.224 cs2=HTTP filter cs2Label=Scanner ID act=Blocked cn1=1 cn1Label=Handled requestUrl=https://kenmmal.com cs3=8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 cs3Label=Hash suser=Peter deviceProcessName=Firefox cs1=Blocked by PUA blacklist cs1Label=Rule ID

˄˅