ESET PROTECT On-Prem

Offline | Przejdź do trybu online

ESET PROTECT On-Prem – Spis treści

# Zdarzenia eksportowane do formatu JSON

Skopiuj adres URL bieżącego artykułu Udostępnij przez e-mail

Określ filtr w kategorii dziennika powiadomień, aby odfiltrować dzienniki zdarzeń przesyłane do serwera Syslog.

JSON to niewymagający dużej ilości zasobów format wymiany danych. Tworzy go zbiór par nazw i wartości oraz uporządkowana lista wartości.

## Eksportowane zdarzenia

W tej części można znaleźć szczegółowe informacje o formacie oraz znaczeniu atrybutów wszystkich eksportowanych zdarzeń. Komunikat dotyczący zdarzenia jest obiektem JSON z pewnymi obowiązkowymi i opcjonalnymi kluczami. Każde z wyeksportowanych zdarzeń będzie zawierać następujące klucze:

event_type | string |  | Typ wyeksportowanych zdarzeń: •Threat_Event (wykrycia oprogramowania antywirusowego) •FirewallAggregated_Event ( wykrycia zapory sieciowej) •HipsAggregated_Event ( wykrycia systemu HIPS) •Audit_Event (Dziennik audytu) •FilteredWebsites_Event (Filtrowane strony internetowe — Ochrona sieci) •EnterpriseInspectorAlert_Event ( ESET Inspectalerty ) •BlockedFiles_Event ( zablokowane pliki)
--- | --- | --- | ---
ipv4 | string | opcjonalnie | Adres IPv4 komputera, który wygenerował zdarzenie.
ipv6 | string | opcjonalnie | Adres IPv6 komputera, który wygenerował zdarzenie.
hostname | string |  | Identyfikator Nazwa hosta komputera, który wygenerował zdarzenie.
source_uuid | string |  | Identyfikator UUID komputera, który wygenerował zdarzenie.
occurred | string |  | Godzina wystąpienia zdarzenia w formacie UTC. Używany format: %d-%b-%Y %H:%M:%S
severity | string |  | Stopień ważności zdarzenia. Możliwe wartości (od najmniejszej do największej wagi): Informacja, Powiadomienie, Ostrzeżenie, Błąd, Krytyczne, Katastrofalny.
group_name | string |  | Pełna ścieżka do grupy statycznej komputera generującego zdarzenie. Jeśli jednak ścieżka jest dłuższa niż 255 znaków, group_name zawiera tylko nazwę grupy statycznej.
group_description | string |  | Opis grupy statycznej.
os_name | string |  | Informacje o systemie operacyjnym komputera.

|  | Wszystkie typy zdarzeń wymienione poniżej ze wszystkimi poziomami ważności są zgłaszane do serwera programu Syslog. Określ filtr w kategorii dziennika powiadomień, aby odfiltrować dzienniki zdarzeń przesyłane do serwera Syslog. Zgłaszane wartości zależą od aplikacji zabezpieczającej firmy ESET (i jej wersji) zainstalowanej na zarządzanym komputerze i ESET PROTECT On-Prem zgłaszają tylko otrzymane dane. W związku z tym firma ESET nie może dostarczyć wyczerpującej listy wszystkich wartości. Zalecamy obserwowanie sieci i filtrowanie dzienników na podstawie otrzymanych wartości.

## Klucze niestandardowe według atrybutu event_type:

### Threat_Event

Wszystkie zdarzenia wykrycia przez program antywirusowy wygenerowane przez zarządzane punkty końcowe będą przekazywane do dziennika systemowego Syslog. Klucze zdarzeń związanych z wykryciami:

threat_type | string | opcjonalnie | Typ wykrycia
--- | --- | --- | ---
threat_name | string | opcjonalnie | Nazwa wykrycia
threat_flags | string | opcjonalnie | Flagi związane z wykryciem
scanner_id | string | opcjonalnie | Identyfikator skanera
scan_id | string | opcjonalnie | Identyfikator skanowania
engine_version | string | opcjonalnie | Wersja aparatu skanowania
object_type | string | opcjonalnie | Typ obiektu związanego z tym zdarzeniem
object_uri | string | opcjonalnie | Identyfikator URI obiektu
action_taken | string | opcjonalnie | Czynność podjęta przez punkt końcowy
action_error | string | opcjonalnie | Komunikat o błędzie generowany w przypadku, gdy „czynność” nie przyniesie żądanego efektu
threat_handled | wartość logiczna | opcjonalnie | Informacja o tym, czy wykrycie zostało obsłużone
need_restart | wartość logiczna | opcjonalnie | Informacja o tym, czy konieczne jest ponowne uruchomienie
username | string | opcjonalnie | Nazwa konta użytkownika związanego ze zdarzeniem
processname | string | opcjonalnie | Nazwa procesu związanego ze zdarzeniem
circumstances | string | opcjonalnie | Krótki opis przyczyny zdarzenia
hash | string | opcjonalnie | Skrót SHA1 strumienia danych (wykrycia).
firstseen | string | opcjonalnie | Godzina i data, gdy wykrycie znaleziono po raz pierwszy w tym urządzeniu. ESET PROTECT On-Prem stosuje inne formaty daty/godziny w atrybucie firstseen (i każdym innym atrybucie daty/godziny), w zależności od formatu wyjściowego dziennika (JSON lub LEEF): •JSON format:"%d-%b-%Y %H:%M:%S" •LEEF format:"%b %d %Y %H:%M:%S"

Threat_Event – przykład dziennika JSON:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Dzienniki zdarzeń generowane przez Zaporę ESET ( wykrycia Zapory) są agregowane przez zarządzającego agenta ESET Management, aby uniknąć niepotrzebnego zużycia przepustowości podczas replikacji między agentem ESET Management a serwerem ESET PROTECT. Klucze zdarzeń związanych z zaporą:

event | string | opcjonalnie | Nazwa zdarzenia
--- | --- | --- | ---
source_address | string | opcjonalnie | Adres źródła zdarzenia
source_address_type | string | opcjonalnie | Typ adresu źródła zdarzenia
source_port | wartość liczbowa | opcjonalnie | Port źródła zdarzenia
target_address | string | opcjonalnie | Adres miejsca docelowego zdarzenia
target_address_type | string | opcjonalnie | Typ adresu miejsca docelowego zdarzenia
target_port | wartość liczbowa | opcjonalnie | Port miejsca docelowego zdarzenia
protocol | string | opcjonalnie | Protokół
account | string | opcjonalnie | Nazwa konta użytkownika związanego ze zdarzeniem
process_name | string | opcjonalnie | Nazwa procesu związanego ze zdarzeniem
rule_name | string | opcjonalnie | Nazwa reguły
rule_id | string | opcjonalnie | Identyfikator reguły
inbound | wartość logiczna | opcjonalnie | Informacja o tym, czy było to połączenie przychodzące
threat_name | string | opcjonalnie | Nazwa wykrycia
aggregate_count | wartość liczbowa | opcjonalnie | Liczba identycznych komunikatów wygenerowanych przez punkt końcowy pomiędzy dwiema kolejnymi replikacjami zachodzącymi między serwerem ESET PROTECT a zarządzającym agentem ESET Management
action | string | opcjonalnie | Wykonane czynności
handled | string | opcjonalnie | Informacja o tym, czy wykrycie zostało obsłużone

FirewallAggregated_Event – przykład dziennika JSON:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Zdarzenia z systemu zapobiegania włamaniom działającego na hoście Host-based Intrusion Prevention System ( wykrycia systemu HIPS) są filtrowane na podstawie stopnia ważności, zanim zostaną przesłane dalej jako komunikaty Syslog. Poniżej przedstawiono atrybuty związane z systemem HIPS:

application | string | opcjonalnie | Nazwa aplikacji
--- | --- | --- | ---
operation | string | opcjonalnie | Operacja
target | string | opcjonalnie | Obiekt docelowy
action | string | opcjonalnie | Wykonane czynności
action_taken | string | opcjonalnie | Czynność podjęta przez punkt końcowy
rule_name | string | opcjonalnie | Nazwa reguły
rule_id | string | opcjonalnie | Identyfikator reguły
aggregate_count | wartość liczbowa | opcjonalnie | Liczba identycznych komunikatów wygenerowanych przez punkt końcowy pomiędzy dwiema kolejnymi replikacjami zachodzącymi między serwerem ESET PROTECT a zarządzającym agentem ESET Management
handled | string | opcjonalnie | Informacja o tym, czy wykrycie zostało obsłużone

HipsAggregated_Event – przykład dziennika JSON:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem przekazuje komunikaty wewnętrznego dziennika audytu do Syslog. Poniżej przedstawiono konkretne atrybuty:

domain | string | opcjonalnie | Domena dzienników audytu
--- | --- | --- | ---
action | string | opcjonalnie | Trwające działanie
target | string | opcjonalnie | Cel, którego dotyczy działanie
detail | string | opcjonalnie | Szczegółowy opis działania
user | string | opcjonalnie | Użytkownik związany z zabezpieczeniami
result | string | opcjonalnie | Wynik działania

Audit_Event – przykład dziennika:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem przekazuje filtrowane witryny internetowe (wykrycia funkcji Ochrona dostępu do stron internetowych) do programu Syslog. Poniżej przedstawiono konkretne atrybuty:

processname | string | opcjonalnie | Nazwa procesu związanego ze zdarzeniem
username | string | opcjonalnie | Nazwa konta użytkownika związanego ze zdarzeniem
hash | string | opcjonalnie | Skrót SHA1 filtrowanego obiektu
event | string | opcjonalnie | Typ zdarzenia
rule_id | string | opcjonalnie | Identyfikator reguły
action_taken | string | opcjonalnie | Wykonane czynności
scanner_id | string | opcjonalnie | Identyfikator skanera
object_uri | string | opcjonalnie | Identyfikator URI obiektu
target_address | string | opcjonalnie | Adres miejsca docelowego zdarzenia
target_address_type | string | opcjonalnie | Typ adresu miejsca docelowego zdarzenia (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | opcjonalnie | Informacja o tym, czy wykrycie zostało obsłużone

FilteredWebsites_Event – przykład dziennika JSON:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem przekazuje alarmy ESET Inspect do programu Syslog. Poniżej przedstawiono konkretne atrybuty:

processname | string | opcjonalnie | Nazwa procesu wywołującego ten alarm
--- | --- | --- | ---
username | string | opcjonalnie | Właściciel procesu
rulename | string | opcjonalnie | Nazwa reguły wyzwalającej ten alarm
count | wartość liczbowa | opcjonalnie | Liczba alertów tego typu wygenerowanych od ostatniego alarmu
hash | string | opcjonalnie | Skrót SHA1 alarmu
eiconsolelink | string | opcjonalnie | Łącze do alarmu w konsoli ESET Inspect On-Prem
eialarmid | string | opcjonalnie | Podczęść ID łącza alarmowego ($1 (w ^http.*/alarm/([0-9]+)$)
computer_severity_score | wartość liczbowa | opcjonalnie | Wynik stopnia zagrożenia komputera
severity_score | wartość liczbowa | opcjonalnie | Wynik stopnia zagrożenia reguły

EnterpriseInspectorAlert_Event – przykład dziennika JSON:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem przekazuje zablokowane pliki ESET Inspect On-Prem do programu Syslog. Poniżej przedstawiono konkretne atrybuty:

processname | string | opcjonalnie | Nazwa procesu związanego ze zdarzeniem
username | string | opcjonalnie | Nazwa konta użytkownika związanego ze zdarzeniem
hash | string | opcjonalnie | Skrót SHA1 zablokowanego pliku
object_uri | string | opcjonalnie | Identyfikator URI obiektu
action | string | opcjonalnie | Wykonane czynności
firstseen | string | opcjonalnie | Godzina i data pierwszego wykrycia na tym urządzeniu (format daty i godziny).
cause | string | opcjonalnie |
description | string | opcjonalnie | Opis zablokowanego pliku
handled | string | opcjonalnie | Informacja o tym, czy wykrycie zostało obsłużone

˄˅