ESET PROTECT On-Prem

Izvan mreže | Spoji se na mrežu

ESET PROTECT On-Prem – Sadržaj

# Događaji izvezeni u format JSON

Kopirajte URL-a trenutačnog članka Podijelite putem e-pošte

Definirajte filtar u kategoriji dnevnika obavijesti za filtriranje dnevnika događaja poslanih Syslogu.

JSONjednostavan je format za razmjenu podataka. Temelji se na skupu parova naziva/vrijednosti i poredanog popisa vrijednosti.

## Izvezeni događaji

Ovaj odjeljak sadrži pojedinosti o formatu i značenju atributa svih izvezenih događaja. Poruka događaja je JSON objekt s nekim obaveznim i nekim neobaveznim ključevima. Svaki izvezeni događaj sadržavat će sljedeći ključ:

event_type | niz |  | Vrsta izvezenih događaja: •Threat_Event (Antivirusne otkrivene prijetnje) •FirewallAggregated_Event ( otkrivene prijetnje firewalla) •HipsAggregated_Event ( HIPS prijetnje) •Audit_Event (Dnevnik provjere) •FilteredWebsites_Event (filtrirane web stranice – web zaštita) •EnterpriseInspectorAlert_Event ( upozorenja funkcije ESET Inspect) •BlockedFiles_Event ( Blokirane datoteke)
--- | --- | --- | ---
ipv4 | niz | nije obavezno | IPv4 adresa računala koje generira događaj.
ipv6 | niz | nije obavezno | IPv6 adresa računala koje generira događaj.
hostname | niz |  | Naziv hosta računala koje generira događaj.
source_uuid | niz |  | UUID računala koje generira događaj.
occurred | niz |  | UTC vrijeme zbivanja događaja. Format je %d-%b-%Y %H:%M:%S
severity | niz |  | Razina ozbiljnosti događaja. Moguće su sljedeće vrijednosti (od najmanje ozbiljne do najozbiljnije): Informacija, Obavijest, Upozorenje, Pogreška, Kritična pogreška i Kobna pogreška.
group_name | niz |  | Cijeli put statičke grupe računala koje generira događaj. Ako je put dulji od 255 znakova, group_name sadrži samo naziv statičke grupe.
group_description | niz |  | Opis statičke grupe.
os_name | niz |  | Informacije o operacijskom sustavu računala.

|  | Sve niže navedene vrste događaja sa svim razinama ozbiljnosti se prijavljuju Syslog serveru. Definirajte filtar u kategoriji dnevnika obavijesti za filtriranje dnevnika događaja poslanih Syslogu. Prijavljene vrijednosti ovise o ESET-ovoj sigurnosnoj aplikaciji (i njenoj verziji) instaliranoj na upravljanom računalu i ESET PROTECT On-Prem izvješćuje samo o primljenim podacima. Stoga ESET ne može pružiti sveobuhvatan popis svih vrijednosti. Preporučujemo da gledate svoju mrežu i filtrirate dnevnike na temelju vrijednosti koje primate.

## Prilagođeni ključevi prema stavci event_type:

### Threat_Event

Svi događaji Antivirusnih otkrivenih prijetnji koje generiraju upravljana računala prosljeđuju se Syslogu. Poseban ključ događaja prijetnji:

threat_type | niz | nije obavezno | Vrsta prijetnje
--- | --- | --- | ---
threat_name | niz | nije obavezno | Naziv prijetnje
threat_flags | niz | nije obavezno | Zastavice koje se odnose na prijetnje
scanner_id | niz | nije obavezno | ID skenera
scan_id | niz | nije obavezno | ID skeniranja
engine_version | niz | nije obavezno | Verzija sustava za skeniranje
object_type | niz | nije obavezno | Vrsta objekta povezanog s ovim događajem
object_uri | niz | nije obavezno | URI objekta
action_taken | niz | nije obavezno | Radnja koju poduzima Endpoint
action_error | niz | nije obavezno | Poruka o pogrešci ako "radnja" nije uspješna
threat_handled | bool | nije obavezno | Označava je li prijetnja riješena
need_restart | bool | nije obavezno | Označava je li potrebno ponovno pokretanje
username | niz | nije obavezno | Naziv korisničkog računa povezanog s događajem
processname | niz | nije obavezno | Naziv procesa povezanog s događajem
circumstances | niz | nije obavezno | Kratak opis uzroka događaja
hash | niz | nije obavezno | SHA1 hash protoka podataka (o prijetnjama).
firstseen | niz | nije obavezno | Vrijeme i datum kad je prijetnja prvi put otkrivena na tom računalu. ESET PROTECT On-Prem upotrebljava različite formate datuma i vremena za atribut firstseen (i sve druge atribute datuma i vremena) ovisno o izlaznom formatu dnevnika (JSON ili LEEF): •JSON format: "%d-%b-%Y %H:%M:%S" •LEEF format: "%b %d %Y %H:%M:%S"

Primjer dnevnika Threat_Event JSON:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Dnevnike događaja koje generira ESET Firewall ( otkrivene prijetnje firewalla) prikuplja upravljački ESET Management agent da bi se izbjeglo trošenje propusnosti veze tijekom replikacije ESET Management agenta / ESET PROTECT servera. Posebni ključ događaja firewalla:

event | niz | nije obavezno | Naziv događaja
--- | --- | --- | ---
source_address | niz | nije obavezno | Adresa izvora događaja
source_address_type | niz | nije obavezno | Vrsta adrese izvora događaja
source_port | broj | nije obavezno | Port izvora događaja
target_address | niz | nije obavezno | Adresa odredišta događaja
target_address_type | niz | nije obavezno | Vrsta adrese odredišta događaja
target_port | broj | nije obavezno | Port odredišta događaja
protocol | niz | nije obavezno | Protokol
account | niz | nije obavezno | Naziv korisničkog računa povezanog s događajem
process_name | niz | nije obavezno | Naziv procesa povezanog s događajem
rule_name | niz | nije obavezno | Naziv pravila
rule_id | niz | nije obavezno | ID pravila
inbound | bool | nije obavezno | Označava je li veza bila ulazna
threat_name | niz | nije obavezno | Naziv prijetnje
aggregate_count | broj | nije obavezno | Koliko je potpuno udvostručenih poruka generiralo računalo između dviju uzastopnih replikacija između ESET PROTECT servera i izvršnog ESET Management agenta
action | niz | nije obavezno | Poduzeta radnja
handled | niz | nije obavezno | Označava je li prijetnja riješena

Primjer dnevnika FirewallAggregated_Event JSONt:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Događaji iz sistema za sprječavanje upada ( HIPS prijetnje) filtriraju se s obzirom na ozbiljnost prije nego što se pošalju dalje kao Syslog poruke. Posebni su HIPS atributi sljedeći:

application | niz | nije obavezno | Naziv aplikacije
--- | --- | --- | ---
operation | niz | nije obavezno | Operacija
target | niz | nije obavezno | Objekt
action | niz | nije obavezno | Poduzeta radnja
action_taken | niz | nije obavezno | Radnja koju poduzima Endpoint
rule_name | niz | nije obavezno | Naziv pravila
rule_id | niz | nije obavezno | ID pravila
aggregate_count | broj | nije obavezno | Koliko je potpuno udvostručenih poruka generiralo računalo između dviju uzastopnih replikacija između ESET PROTECT servera i izvršnog ESET Management agenta
handled | niz | nije obavezno | Označava je li prijetnja riješena

Primjer dnevnika HipsAggregated_Event JSON:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem prosljeđuje interne poruke dnevnika provjere Syslogu. Posebni su atributi sljedeći:

domain | niz | nije obavezno | Domena dnevnika provjere
--- | --- | --- | ---
action | niz | nije obavezno | Radnja koja se odvija
target | niz | nije obavezno | Ciljna radnja radi na
detail | niz | nije obavezno | Detaljni opis radnje
user | niz | nije obavezno | Korisnik zaštite koji je uključen
result | niz | nije obavezno | Rezultat radnje

Primjer dnevnika Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem prosljeđuje filtrirane web stranice (prijetnje web zaštite) syslogu. Posebni su atributi sljedeći:

processname | niz | nije obavezno | Naziv procesa povezanog s događajem
username | niz | nije obavezno | Naziv korisničkog računa povezanog s događajem
hash | niz | nije obavezno | SHA1 hash filtriranog objekta
event | niz | nije obavezno | Vrsta događaja
rule_id | niz | nije obavezno | ID pravila
action_taken | niz | nije obavezno | Poduzeta radnja
scanner_id | niz | nije obavezno | ID skenera
object_uri | niz | nije obavezno | URI objekta
target_address | niz | nije obavezno | Adresa odredišta događaja
target_address_type | niz | nije obavezno | Vrsta adrese odredišta događaja (25769803777 = IPv4; 25769803778 = IPv6)
handled | niz | nije obavezno | Označava je li prijetnja riješena

Primjer dnevnika FilteredWebsites_Event JSON:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem prosljeđuje ESET Inspect upozorenja syslogu. Posebni su atributi sljedeći:

processname | niz | nije obavezno | Naziv procesa koji uzrokuje upozorenje
--- | --- | --- | ---
username | niz | nije obavezno | Vlasnik procesa
rulename | niz | nije obavezno | Naziv pravila koje aktivira ovo upozorenje
count | broj | nije obavezno | Broj upozorenja ove vrste generiranih od posljednjeg upozorenja
hash | niz | nije obavezno | SHA1 hash upozorenja
eiconsolelink | niz | nije obavezno | Link na upozorenje u ESET Inspect On-Prem konzoli
eialarmid | niz | nije obavezno | ID poddio linka upozorenja ($1 u ^http.*/alarm/([0-9]+)$)
computer_severity_score | broj | nije obavezno | Rezultat ozbiljnosti računala
severity_score | broj | nije obavezno | Rezultat ozbiljnosti pravila

Primjer dnevnika EnterpriseInspectorAlert_Event JSON:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem prosljeđuje ESET Inspect On-Prem blokirane datoteke syslogu. Posebni su atributi sljedeći:

processname | niz | nije obavezno | Naziv procesa povezanog s događajem
username | niz | nije obavezno | Naziv korisničkog računa povezanog s događajem
hash | niz | nije obavezno | SHA1 hash blokirane datoteke
object_uri | niz | nije obavezno | URI objekta
action | niz | nije obavezno | Poduzeta radnja
firstseen | niz | nije obavezno | Vrijeme i datum kad je prijetnja prvi put otkrivena na tom računalu (format vremena i datuma).
cause | niz | nije obavezno |
description | niz | nije obavezno | Opis blokirane datoteke
handled | niz | nije obavezno | Označava je li prijetnja riješena

˄˅