ESET PROTECT On-Prem

오프라인 | 온라인으로 전환

ESET PROTECT On-Prem – 목차

# CEF 형식으로 내보낸 이벤트

현재 문서 URL 복사 이메일로 공유

Syslog로 전송되는 이벤트 로그를 필터링하려면 알림 로그 범주에서 필터를 정의합니다.

CEF는 ArcSight에서 개발한 텍스트 기반 로그 형식입니다. CEF 형식에는 CEF 헤더와 CEF 확장이 포함됩니다. 확장에는 키-값 쌍의 목록이 포함됩니다.

## CEF 헤더

헤더 | 예 | 설명
--- | --- | ---
Device Vendor | ESET |
Device Product | Protect |
Device Version | 10.0.5.1 | ESET PROTECT On-Prem 버전으로 업그레이드
Device Event Class ID (Signature ID): | 109 | 장치 이벤트 범주 고유 식별자: •100–199 위협 이벤트 •200–299 방화벽 이벤트 •300–399 HIPS 이벤트 •400–499 감사 이벤트 •500–599 ESET Inspect 이벤트 •600–699 차단된 파일 이벤트 •700–799 필터링된 웹 사이트 이벤트 •800~899 인시던트 이벤트
Event Name | Detected port scanning attack | 이벤트에서 일어난 일에 대한 간략한 설명
Severity | 5 | 심각도 •2 – 정보 •3 – 알림 •5 – 경고 •7 – 오류 •8 – 중요 •10 – 치명적인

## 모든 범주에 공통적인 CEF 확장

확장 이름 | 예 | 설명
--- | --- | ---
cat | ESET Threat Event | 이벤트 범주: •ESET Threat Event •ESET Firewall Event •ESET HIPS Event •ESET RA Audit Event •ESET Inspect Event •ESET Blocked File Event •ESET Filtered Website Event
dvc | 10.0.12.59 | 이벤트를 생성하는 컴퓨터의 IPv4 주소
c6a1 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | 이벤트를 생성하는 컴퓨터의 IPv6 주소
c6a1Label | Device IPv6 Address |
dvchost | COMPUTER02 | 이벤트가 있는 컴퓨터의 호스트 이름
deviceExternalId | 39e0feee-45e2-476a-b17f-169b592c3645 | 이벤트를 생성하는 컴퓨터의 UUID
rt | Jun 04 2017 14:10:0 | 이벤트가 발생한 UTC 시간. 형식은 %b %d %Y %H:%M:%S입니다.
ESETProtectDeviceGroupName | All/Lost & found | 이벤트를 생성하는 컴퓨터의 정적 그룹에 대한 전체 경로입니다. 경로가 255자보다 길면 ESETProtectDeviceGroupName에는 정적 그룹 이름만 포함됩니다.
ESETProtectDeviceOsName | Microsoft Windows 11 Pro | 컴퓨터의 운영 체제에 대한 정보입니다.
ESETProtectDeviceGroupDescription | Lost & found static group | 정적 그룹 설명.

## 이벤트 범주별 CEF 확장

### 위협 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
cs1 | W97M/Kojer.A | 발견된 위협 이름
cs1Label | Threat Name |
cs2 | 25898 (20220909) | 진단 엔진 버전
cs2Label | Engine Version |
cs3 | Virus | 탐지 유형
cs3Label | Threat Type |
cs4 | Real-time file system protection | 검사기 ID
cs4Label | Scanner ID |
cs5 | virlog.dat | 검사 ID
cs5Label | Scan ID |
cs6 | Failed to remove file | "동작"이 실패한 경우 오류 메시지
cs6Label | Action Error |
cs7 | Event occurred on a newly created file | 이벤트 원인에 대한 간략한 설명
cs7Label | Circumstances |
cs8 | 0000000000000000000000000000000000000000 | (탐지) 데이터 스트림의 SHA1 해시입니다.
cs8Label | Hash |
act | Cleaned by deleting file | 엔드포인트에서 수행된 동작
filePath | file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC | 개체 URI
fileType | File | 이벤트와 관련된 개체 유형
cn1 | 1 | 처리된 탐지(1) 또는 처리되지 않은 탐지(0)
cn1Label | Handled |
cn2 | 0 | 다시 시작 필요(1) 또는 다시 시작 필요 없음(0)
cn2Label | Restart Needed |
suser | 172-MG\\Administrator | 이벤트와 연결된 사용자 계정의 이름
sprod | C:\\7-Zip\\7z.exe | 이벤트 소스 프로세스의 이름
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | 컴퓨터에서 처음으로 탐지가 발견된 시간과 날짜입니다. 형식은 %b %d %Y %H:%M:%S입니다.

위협 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|183|File scanner cleaned a virus|5|deviceExternalId=e9d26759-fd21-47f1-9751-d2e7194c41a8 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Threat Event rt=Jun 04 2017 14:10:00 cs1=W97M/Kojer.A cs1Label=Threat Name cs2=25898 (20220909) cs2Label=Engine Version cs3=Virus cs3Label=Threat Type cs4=Real-time file system protection cs4Label=Scanner ID cs5=virlog.dat cs5Label=Scan ID act=Cleaned by deleting fileType=File filePath=file:///C:/Users/Administrator/Downloads/doc/000001_5dc5c46b.DOC cn1=1 cn1Label=Handled suser=172-MG\\Administrator sprod=C:\\7-Zip\\7z.exe cs7=Event occurred on a newly created file. cs7Label=Circumstances eviceCustomDate1=Jun 04 2019 14:10:00 deviceCustomDate1Label=FirstSeen cs8=0000000000000000000000000000000000000000 cs8Label=Hash

### 방화벽 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
msg | TCP Port Scanning attack | 이벤트 이름
src | 127.0.0.1 | 이벤트 소스 IPv4 주소
c6a2 | 2001:0db8:85a3:0000:0000:8a2e:0370:7334 | 이벤트 소스 IPv6 주소
c6a2Label | Source IPv6 Address |
spt | 36324 | 이벤트 소스의 포트
dst | 127.0.0.2 | 이벤트 대상 IPv4 주소
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | 이벤트 대상 IPv6 주소
c6a3Label | Destination IPv6 Address |
dpt | 24 | 이벤트 대상 포트
proto | http | 프로토콜
act | Blocked | 수행된 동작
cn1 | 1 | 처리된 탐지(1) 또는 처리되지 않은 탐지(0)
cn1Label | Handled |
suser | 172-MG\\Administrator | 이벤트와 연결된 사용자 계정의 이름
deviceProcessName | someApp.exe | 이벤트와 연결된 프로세스의 이름
deviceDirection | 1 | 인바운드 연결(0) 또는 아웃바운드 연결(1)
cnt | 3 | ESET PROTECT On-Prem 및 ESET Management Agent 간 두 개의 연속 복제 사이에 있는 엔드포인트에서 생성된 동일한 메시지 수
cs1 |  | 규칙 ID
cs1Label | Rule ID |
cs2 | custom_rule_12 | 규칙 이름
cs2Label | Rule Name |
cs3 | Win32/Botnet.generic | 위협 이름
cs3Label | Threat Name |

방화벽 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|109|Detected port scanning attack|5|deviceExternalId=39e0feee-45e2-476a-b07f-169b592c3645 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Firewall Event rt=Jun 04 2017 14:10:00 msg=TCP Port Scanning attack src=127.0.0.1 spt=36324 dpt=21 dst=127.0.0.2 proto=http act=Blocked cnt=1 cn1=1 cn1Label=Handled suser=myAccount deviceProcessName=someApp.exe cs2=rule_118882389 cs2Label=Rule Name deviceDirection=0 cs3=Win32/Botnet.generic cs3Label=Threat Name

### HIPS 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
cs1 | Suspicious attempt to launch an application | 규칙 ID
cs1Label | Rule ID |
cs2 | custom_rule_12 | 규칙 이름
cs2Label | Rule Name |
cs3 | C:\\someapp.exe | 응용 프로그램 이름
cs3Label | Application |
cs4 | Attempt to run a suspicious object | 작업
cs4Label | Operation |
cs5 | C:\\somevirus.exe | 대상
cs5Label | Target |
act | Blocked | 수행된 동작
cs2 | custom_rule_12 | 규칙 이름
cn1 | 1 | 처리된 탐지(1) 또는 처리되지 않은 탐지(0)
cn1Label | Handled |
cnt | 3 | ESET PROTECT On-Prem 및 ESET Management Agent 간 두 개의 연속 복제 사이에 있는 엔드포인트에서 생성된 동일한 메시지 수

HIPS 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|303|Attempt to run a suspicious object Blocked|5|dvchost=test_bcmcjkbpgp deviceExternalId=82e114a8-9070-4868-8ee2-1e87b7b85ee3 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET HIPS Event rt=Jun 04 2019 14:10:00 cs3=C:\\someapp.exe cs3Label=Application cs4=Attempt to run a suspicious object cs4Label=Operation cs5=C:\\somevirus.exe cs5Label=Target act=Blocked cn1=1 cn1Label=Handled cs1=Suspicious attempt to launch an application cs1Label=Rule ID cnt=1

### 감사 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
act | Login attempt | 발생한 동작
suser | Administrator | 관련된 보안 사용자
duser | Administrator | 대상 보안 사용자(예: 로그인 시도)
msg | Authenticating native user 'Administrator' | 동작의 자세한 설명
cs1 | Native user | 감사 로그 도메인
cs1Label | Audit Domain |
cs2 | Success | 동작 결과
cs2Label | Result |

감사 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|449|Native user login|2|dvc=10.15.172.133 dvchost=BRNH00006D deviceExternalId=db4a82c0-e1c6-49be-8bac-a436136ed1f4 cat=ESET RA Audit Event rt=Sep 21 2022 13:10:23 cs1=Native user cs1Label=Audit Domain act=Login attempt duser=Administrator msg=Authenticating native user 'Administrator'. cs2=Success cs2Label=Result

### ESET Inspect 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
deviceProcessName | c:\\imagepath_bin.exe | 이 경보를 발생시키는 프로세스의 이름
suser | HP\\home | 프로세스 소유자
cs2 | custom_rule_12 | 이 경보를 트리거하는 규칙의 이름
cs2Label | Rule Name |
cs3 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | 경보 SHA1 해시
cs3Label | Hash |
cs4 | https://inspect.eset.com:443/console/alarm/126 | ESET Inspect On-Prem 웹 콘솔의 경보에 대한 링크
cs4Label | EI Console Link |
cs5 | 126 | 경보 링크의 ID 하위 부분(^http.*/alarm/([0-9]+)$의 $1)
cs5Label | EI Alarm ID |
cn1 | 275 | 컴퓨터 심각도 점수
cn1Label | ComputerSeverityScore |
cn2 | 60 | 규칙 심각도 점수
cn2Label | SeverityScore |
cnt | 3 | 마지막 경보 이후에 생성된 같은 유형의 경보 수

ESET Inspect 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|500|ESET Inspect Alert|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Inspect Alert rt=Sep 21 2022 07:31:55 deviceProcessName=c:\\mother_process_info_imagepath_dir\\mother_process_info_imagepath_bin.exe suser=HP\\home cs2=9_1_0addd4e8baf8e87d4bc4ed77fadc cs2Label=Rule Name cs3=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs3Label=Hash cs4=https://dev-inspect.eset.com:443/console/alarm/126 cs4Label=EI Console Link cs5=126 cs5Label=EI Alarm ID cn1=275 cn1Label=ComputerSeverityScore cn2=60 cn2Label=SeverityScore

### 차단된 파일 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
act | Execution blocked | 수행된 동작
cn1 | 1 | 처리된 탐지(1) 또는 처리되지 않은 탐지(0)
cn1Label | Handled |
suser | HP\\home | 이벤트와 연결된 사용자 계정의 이름
deviceProcessName | C:\\Windows\\explorer.exe | 이벤트와 연결된 프로세스의 이름
cs1 | 78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 | 차단된 파일의 SHA1 해시
cs1Label | Hash |
filePath | C:\\totalcmd\\TOTALCMD.EXE | 개체 URI
msg | ESET Inspect | 차단된 파일 설명
deviceCustomDate1 | Jun 04 2019 14:10:00 |
deviceCustomDate1Label | FirstSeen | 컴퓨터에서 처음으로 탐지가 발견된 시간과 날짜입니다. 형식은 %b %d %Y %H:%M:%S입니다.
cs2 | Blocked by Administrator | 원인
cs2Label | Cause |

차단된 파일 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|600|Blocked File Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Blocked File Event rt=Sep 21 2022 07:31:55 act=Execution blocked cn1=1 cn1Label=Handled suser=HP\\home deviceProcessName=C:\\Windows\\explorer.exe cs1=78C136C80FF3F46C2C98F5C6B3B5BB581F8903A9 cs1Label=Hash filePath=C:\\totalcmd\\TOTALCMD.EXE deviceCustomDate1=Sep 21 2022 07:31:55 deviceCustomDate1Label=FirstSeen cs2=Blocked by Administrator cs2Label=Cause msg=ESET Inspect

### 필터링된 웹 사이트 이벤트

확장 이름 | 예 | 설명
--- | --- | ---
msg | An attempt to connect to URL | 이벤트 유형
act | Blocked | 수행된 동작
cn1 | 1 | 처리된 탐지(1) 또는 처리되지 않은 탐지(0)
cn1Label | Handled |
user | Peter | 이벤트와 연결된 사용자 계정의 이름
deviceProcessName | Firefox | 이벤트와 연결된 프로세스의 이름
cs1 | Blocked by PUA blacklist | 규칙 ID
cs1Label | Rule ID |
requestUrl | https://kenmmal.com/ | 차단된 요청 URL
dst | 172.17.9.224 | 이벤트 대상 IPv4 주소
c6a3 | 2001:0db8:85a3:0000:0000:8a2e:0370:7335 | 이벤트 대상 IPv6 주소
c6a3Label | Destination IPv6 Address |
cs2 | HTTP filter | 검사기 ID
cs2Label | Scanner ID |
cs3 | 8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 | 필터링된 개체의 SHA1 해시
cs3Label | Hash |

필터링된 웹 사이트 이벤트 CEF 로그의 예:

CEF:O|ESET|Protect|10.0.0.0|716|Filtered Website Event|5|dvchost=test_lrghlbjyoa deviceExternalId=432a30af-6ac7-4b61-ae5c-5141bfc5d878 ESETProtectDeviceGroupName=All/Lost & found ESETProtectDeviceOsName=Microsoft Windows 11 Pro ESETProtectDeviceGroupDescription=Lost & found static group cat=ESET Filtered Website Event rt=Sep 21 2022 07:31:55 msg=An attempt to connect to URL dst=172.17.9.224 cs2=HTTP filter cs2Label=Scanner ID act=Blocked cn1=1 cn1Label=Handled requestUrl=https://kenmmal.com cs3=8EECCDD290BE2E99183290FDBE4172EBE3DC7EC5 cs3Label=Hash suser=Peter deviceProcessName=Firefox cs1=Blocked by PUA blacklist cs1Label=Rule ID

˄˅