ESET PROTECT On-Prem

Off-line | Vai on-line

ESET PROTECT On-Prem – Indice

# Eventi esportati in formato JSON

Copia l’URL dell’articolo corrente Invia tramite e-mail

Definire un filtro in una Categoria di rapporto di notifica per filtrare i rapporti degli eventi inviati a Syslog.

JSON è un formato leggero per lo scambio di dati. È sviluppato su una raccolta di coppie di nomi/valori e su un elenco ordinato di valori.

## Eventi esportati

Questa sezione contiene informazioni dettagliate sul formato e sul significato degli attributi di tutti gli eventi esportati. Il messaggio dell’evento è un oggetto JSON con alcune chiavi obbligatorie e alcune chiavi facoltative. Ciascun evento esportato conterrà la seguente chiave:

event_type | stringa |  | Tipo di eventi esportati: •Threat_Event (rilevamenti antivirus) •FirewallAggregated_Event ( rilevamenti firewall) •HipsAggregated_Event ( rilevamenti HIPS) •Evento_controllo (Rapporto di controllo) •FilteredWebsites_Event ( siti web filtrati: protezione web) •EnterpriseInspectorAlert_Event ( avvisi ESET Inspect) •BlockedFiles_Event ( file bloccati)
--- | --- | --- | ---
ipv4 | stringa | facoltativo | Indirizzo IPv4 del computer che genera l'evento.
ipv6 | stringa | facoltativo | Indirizzo IPv6 del computer che genera l'evento.
hostname | stringa |  | Nome host del computer che genera l'evento.
source_uuid | stringa |  | UUID del computer che genera l'evento.
occurred | stringa |  | Ora UTC di occorrenza dell'evento. Il formato è %d-%b-%Y %H:%M:%S
severity | stringa |  | Gravità dell'evento. I valori possibili (dal meno grave al più grave) sono: Informazioni, Avviso, Avvertenza, Errore, Critico, Irreversibile.
group_name | stringa |  | Percorso completo del gruppo statico del computer che genera l’evento. Se il percorso è più lungo di 255 caratteri, group_name contiene solo il nome del gruppo statico.
group_description | stringa |  | Descrizione del gruppo statico.
os_name | stringa |  | Informazioni sul sistema operativo del computer.

|  | Tutti i tipi di eventi elencati di seguito con tutti i livelli di gravità vengono segnalati al server Syslog. Definire un filtro in una Categoria di rapporto di notifica per filtrare i rapporti degli eventi inviati a Syslog. I valori segnalati dipendono dall'applicazione di protezione ESET (e dalla relativa versione) installata sul computer gestito e ESET PROTECT On-Prem segnala solo i dati ricevuti. Di conseguenza, ESET non può fornire un elenco esaustivo di tutti i valori. Si consiglia di osservare la rete in uso e di filtrare i rapporti in base ai valori ricevuti.

## Chiavi personalizzate in base a event_type:

### Threat_Event

Tutti gli eventi dei rilevamenti Antivirus generati dagli endpoint gestiti saranno inoltrati a Syslog. Chiave specifica evento rilevamento:

threat_type | stringa | facoltativo | Tipo di rilevamento
--- | --- | --- | ---
threat_name | stringa | facoltativo | Nome del rilevamento
threat_flags | stringa | facoltativo | Contrassegni correlati al rilevamento
scanner_id | stringa | facoltativo | ID scanner
scan_id | stringa | facoltativo | ID controllo
engine_version | stringa | facoltativo | Versione del motore di controllo
object_type | stringa | facoltativo | Tipo di oggetto correlato a questo evento
object_uri | stringa | facoltativo | URI oggetto
action_taken | stringa | facoltativo | Azione intrapresa dall'endpoint
action_error | stringa | facoltativo | Messaggio di errore se l’“azione” non è stata eseguita correttamente
threat_handled | bool | facoltativo | Indica l'eventuale gestione del rilevamento
need_restart | bool | facoltativo | Indica l'eventuale necessità di un riavvio
username | stringa | facoltativo | Nome dell'account utente associato all'evento
processname | stringa | facoltativo | Nome del processo associato all'evento
circumstances | stringa | facoltativo | Breve descrizione della causa dell'evento
hash | stringa | facoltativo | Hash SHA1 del flusso di dati (rilevamento).
firstseen | stringa | facoltativo | Data e ora del primo rilevamento trovato su tale macchina. ESET PROTECT On-Prem utilizza formati di data e ora differenti per l’attributo firstseen (e qualsiasi altro attributo data/ora) a seconda del formato del rapporto generato (JSON o LEEF): •JSON formato:"%d-%b-%Y %H:%M:%S" •LEEF formato:"%b %d %Y %H:%M:%S"

Esempio di rapporto JSON Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

I rapporti degli eventi generati da ESET Firewall ( rilevamenti firewall) sono aggregati dall’istanza di ESET Management Agent di gestione al fine di evitare un utilizzo non necessario della larghezza di banda durante la replica di ESET Management Agent/ESET PROTECT Server. Chiave specifica evento firewall:

event | stringa | facoltativo | Nome evento
--- | --- | --- | ---
source_address | stringa | facoltativo | Indirizzo dell'origine dell'evento
source_address_type | stringa | facoltativo | Tipo di indirizzo dell'origine dell'evento
source_port | numero | facoltativo | Porta dell'origine dell'evento
target_address | stringa | facoltativo | Indirizzo della destinazione dell'evento
target_address_type | stringa | facoltativo | Tipo di indirizzo della destinazione dell'evento
target_port | numero | facoltativo | Porta della destinazione dell'evento
protocol | stringa | facoltativo | Protocollo
account | stringa | facoltativo | Nome dell'account utente associato all'evento
process_name | stringa | facoltativo | Nome del processo associato all'evento
rule_name | stringa | facoltativo | Nome regola
rule_id | stringa | facoltativo | ID regola
inbound | bool | facoltativo | Specifica se la connessione era o meno in entrata
threat_name | stringa | facoltativo | Nome del rilevamento
aggregate_count | numero | facoltativo | Numero esatto di messaggi duplicati generati dall’endpoint tra due repliche consecutive tra ESET PROTECT Server e l’istanza di ESET Management Agent di gestione
action | stringa | facoltativo | Azione intrapresa
handled | stringa | facoltativo | Indica l'eventuale gestione del rilevamento

Esempio di rapporto JSON FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Gli eventi provenienti dal sistema anti-intrusione basato su host (“Host-based Intrusion Prevention System”, HIPS) ( rilevamenti HIPS) sono filtrati in base al livello di gravità prima di essere inoltrati come messaggi Syslog. Gli attributi specifici dell'HIPS sono i seguenti:

application | stringa | facoltativo | Nome applicazione
--- | --- | --- | ---
operation | stringa | facoltativo | Operazione
target | stringa | facoltativo | Destinazione
action | stringa | facoltativo | Azione intrapresa
action_taken | stringa | facoltativo | Azione intrapresa dall'endpoint
rule_name | stringa | facoltativo | Nome regola
rule_id | stringa | facoltativo | ID regola
aggregate_count | numero | facoltativo | Numero esatto di messaggi duplicati generati dall’endpoint tra due repliche consecutive tra ESET PROTECT Server e l’istanza di ESET Management Agent di gestione
handled | stringa | facoltativo | Indica l'eventuale gestione del rilevamento

Esempio di rapporto JSON HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem inoltra i messaggi dei rapporti di controllo interni a Syslog. Gli attributi specifici sono i seguenti:

domain | stringa | facoltativo | Dominio del rapporto di audit
--- | --- | --- | ---
action | stringa | facoltativo | Azione che viene eseguita
target | stringa | facoltativo | Destinazione sulla quale è attiva l'azione
detail | stringa | facoltativo | Descrizione dettagliata dell'azione
user | stringa | facoltativo | Utente coinvolto
result | stringa | facoltativo | Risultato dell'azione

Esempio di rapporto Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem inoltra i siti web filtrati (rilevamenti di Web Protection) a Syslog. Gli attributi specifici sono i seguenti:

processname | stringa | facoltativo | Nome del processo associato all'evento
username | stringa | facoltativo | Nome dell'account utente associato all'evento
hash | stringa | facoltativo | Hash SHA1 dell'oggetto filtrato
event | stringa | facoltativo | Tipo di evento
rule_id | stringa | facoltativo | ID regola
action_taken | stringa | facoltativo | Azione intrapresa
scanner_id | stringa | facoltativo | ID scanner
object_uri | stringa | facoltativo | URI oggetto
target_address | stringa | facoltativo | Indirizzo della destinazione dell'evento
target_address_type | stringa | facoltativo | Tipo di indirizzo della destinazione dell’evento (25769803777 = IPv4; 25769803778 = IPv6)
handled | stringa | facoltativo | Indica l'eventuale gestione del rilevamento

Esempio di rapporto JSON FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem inoltra gli allarmi ESET Inspect a Syslog. Gli attributi specifici sono i seguenti:

processname | stringa | facoltativo | Nome del processo che causa questo allarme
--- | --- | --- | ---
username | stringa | facoltativo | Proprietario del processo
rulename | stringa | facoltativo | Nome della regola che attiva questo allarme
count | numero | facoltativo | Numero di avvisi di questo tipo generati dall'ultimo allarme
hash | stringa | facoltativo | Hash SHA1 dell’allarme
eiconsolelink | stringa | facoltativo | Collegamento all'allarme nella console di ESET Inspect On-Prem
eialarmid | stringa | facoltativo | Sottoparte ID del collegamento allarme ($1 in ^http.*/alarm/([0-9]+)$)
computer_severity_score | numero | facoltativo | Punteggio gravità computer
severity_score | numero | facoltativo | Punteggio gravità regola

Esempio di rapporto JSON EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem inoltra i file bloccati di ESET Inspect On-Prem a Syslog. Gli attributi specifici sono i seguenti:

processname | stringa | facoltativo | Nome del processo associato all'evento
username | stringa | facoltativo | Nome dell'account utente associato all'evento
hash | stringa | facoltativo | Hash SHA1 del file bloccato
object_uri | stringa | facoltativo | URI oggetto
action | stringa | facoltativo | Azione intrapresa
firstseen | stringa | facoltativo | Ora e data in cui il rilevamento è stato trovato per la prima volta in quella macchina (formato data e ora).
cause | stringa | facoltativo |
description | stringa | facoltativo | Descrizione del file bloccato
handled | stringa | facoltativo | Indica l'eventuale gestione del rilevamento

˄˅