ESET PROTECT On-Prem

Off-line | Ir on-line

ESET PROTECT On-Prem – Índice

# Eventos exportados para o formato JSON

Copiar URL do artigo atual Compartilhar por e-mail

Defina um filtro em uma Categoria de relatório de notificação para filtrar os relatórios de evento enviados para o Syslog.

O JSON é um formato leve para troca de dados. É construído em uma coleção de pares de nome / valor e uma lista ordenada de valores.

## Eventos exportados

Esta seção contém detalhes sobre o formato e significado de atributos de todos os eventos exportados. A mensagem de evento é um objeto JSON com algumas chaves obrigatórias e opcionais. Cada evento exportado vai ter a chave a seguir:

event_type | string |  | Tipo de eventos exportados: •Threat_Event (detecções de Antivírus) •FirewallAggregated_Event (detecções de Firewall) •HipsAggregated_Event (detecções de HIPS) •Audit_Event (Relatório de auditoria) •FilteredWebsites_Event (sites filtrados – Proteção da web) •EnterpriseInspectorAlert_Event ( ESET Inspect Alertas) •BlockedFiles_Event ( Arquivos bloqueados)
--- | --- | --- | ---
ipv4 | string | opcional | Endereço IPv4 do computador gerando o evento.
ipv6 | string | opcional | Endereço IPv6 do computador gerando o evento.
hostname | string |  | Nome do host do computador gerando o evento.
source_uuid | string |  | UUID do computador gerando o evento.
occurred | string |  | Hora UTC de ocorrência do evento. O formato é %d-%b-%Y %H:%M:%S
severity | string |  | Gravidade do evento. Valores possíveis (do menos ao mais grave) são: Informação, Aviso, Alerta, Erro, Crítico, Fatal
group_name | string |  | O caminho completo para o grupo estático do computador gerando o evento. Se o caminho for maior que 255 caracteres o group_name vai ter apenas o nome do grupo estático.
group_description | string |  | Descrição do grupo estático.
os_name | string |  | Informações sobre o sistema operacional do computador.

|  | Todos os tipos de evento listados abaixo com todos os níveis de gravidade são reportados ao servidor Syslog. Defina um filtro em uma Categoria de relatório de notificação para filtrar os relatórios de evento enviados para o Syslog. Os valores reportados dependem do aplicativo de segurança ESET (e sua versão) instalado no computador gerenciado, e o ESET PROTECT On-Prem reporta apenas os dados recebidos. Portanto, a ESET não pode fornecer uma lista completa de todos os valores. Recomendamos observar sua rede e filtrar os relatórios com base nos valores recebidos.

## Teclas personalizadas de acordo com o event_type:

### Threat_Event

Todos os eventos de Detecção Antivírus gerados por endpoints gerenciados serão encaminhados para o Syslog. Chave de evento específica de Detecção:

threat_type | string | opcional | Tipo de detecção
--- | --- | --- | ---
threat_name | string | opcional | Nome da detecção
threat_flags | string | opcional | Sinalizadores de detecção relacionados
scanner_id | string | opcional | ID do Scanner
scan_id | string | opcional | ID de rastreamento
engine_version | string | opcional | Versão do mecanismo de escaneamento
object_type | string | opcional | Tipo de objeto relacionado a este evento
object_uri | string | opcional | URI do objeto
action_taken | string | opcional | Ação realizada pelo Endpoint
action_error | string | opcional | Mensagem de erro se a "ação" não for bem sucedida
threat_handled | bool | opcional | Indica se a detecção foi resolvida ou não
need_restart | bool | opcional | Indica se era necessário reiniciar ou não
username | string | opcional | Nome da conta de usuário associada ao evento
processname | string | opcional | Nome do processo associado ao evento
circumstances | string | opcional | Descrição breve do que causou o evento
hash | string | opcional | SHA1 hash do fluxo de dados (detecção).
firstseen | string | opcional | Data e hora de quando a detecção foi detectada pela primeira vez na máquina. O ESET PROTECT On-Prem usa formatos de data-hora diferentes para o atributo firstseen (e qualquer outro atributo de data-hora) dependendo do formato de saída do relatório (JSON ou LEEF): •JSON formato:"%d-%b-%Y %H:%M:%S" •LEEF formato:"%b %d %Y %H:%M:%S"

Exemplo de relatório JSON Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Relatórios de evento gerados pelo Firewall da ESET (detecções de Firewall) são agregados pelo Agente ESET Management gerente, para evitar o desperdício de banda durante a replicação de Agente ESET Management/Servidor ESET PROTECT. Chave de evento específico de Firewall:

event | string | opcional | Nome do evento
--- | --- | --- | ---
source_address | string | opcional | Endereço da origem do evento
source_address_type | string | opcional | Tipo de endereço da origem do evento
source_port | número | opcional | Porta de origem do evento
target_address | string | opcional | Endereço do destino do evento
target_address_type | string | opcional | Tipo de endereço do destino do evento
target_port | número | opcional | Porta de destino do evento
protocol | string | opcional | Protocolo
account | string | opcional | Nome da conta de usuário associada ao evento
process_name | string | opcional | Nome do processo associado ao evento
rule_name | string | opcional | Nome da regra
rule_id | string | opcional | ID de regra
inbound | bool | opcional | Indica se a conexão era de entrada ou não
threat_name | string | opcional | Nome da detecção
aggregate_count | número | opcional | Quantas mensagens exatamente iguais foram geradas pelo endpoint entre duas replicações consecutivas entre o Servidor ESET PROTECT e o Agente ESET Management gerente
action | string | opcional | Ação realizada
handled | string | opcional | Indica se a detecção foi resolvida ou não

Exemplo de relatório JSON FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Eventos do Sistema de Prevenção de intruso Baseado em Host (detecções de HIPS) são filtrados por gravidade antes de serem enviados como mensagens Syslog. Os atributos específicos HIPS são os seguintes:

application | string | opcional | Nome do aplicativo
--- | --- | --- | ---
operation | string | opcional | Operação
target | string | opcional | Destino
action | string | opcional | Ação realizada
action_taken | string | opcional | Ação realizada pelo Endpoint
rule_name | string | opcional | Nome da regra
rule_id | string | opcional | ID de regra
aggregate_count | número | opcional | Quantas mensagens exatamente iguais foram geradas pelo endpoint entre duas replicações consecutivas entre o Servidor ESET PROTECT e o Agente ESET Management gerente
handled | string | opcional | Indica se a detecção foi resolvida ou não

Exemplo de relatório JSON HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

O ESET PROTECT On-Prem encaminha as mensagem de relatório de auditoria internas para o Syslog. Os atributos específicos são os seguintes:

domain | string | opcional | Domínio de relatório de auditoria
--- | --- | --- | ---
action | string | opcional | Ação sendo realizada
target | string | opcional | Ação de destino no qual está operando
detail | string | opcional | Descrição detalhada da ação
user | string | opcional | Usuário de segurança envolvido
result | string | opcional | Resultado da ação

Exemplo de relatório Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

O ESET PROTECT On-Prem encaminha os sites filtrados (detecções da Proteção da web) para o Syslog. Os atributos específicos são os seguintes:

processname | string | opcional | Nome do processo associado ao evento
username | string | opcional | Nome da conta de usuário associada ao evento
hash | string | opcional | Hashs SHA1 do objeto filtrado
event | string | opcional | Tipo do evento
rule_id | string | opcional | ID de regra
action_taken | string | opcional | Ação realizada
scanner_id | string | opcional | ID do Scanner
object_uri | string | opcional | URI do objeto
target_address | string | opcional | Endereço do destino do evento
target_address_type | string | opcional | Tipo de endereço do destino do evento (25769803777 = IPv4; 25769803778 = IPv6)
handled | string | opcional | Indica se a detecção foi resolvida ou não

Exemplo de relatório JSON FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

O ESET PROTECT On-Prem encaminha os alarmes ESET Inspect para o syslog. Os atributos específicos são os seguintes:

processname | string | opcional | Nome do processo causando esse alarme
--- | --- | --- | ---
username | string | opcional | Proprietário do processo
rulename | string | opcional | Nome da regra acionando este alarme
count | número | opcional | Número de alertas desse tipo gerados desde o último alarme
hash | string | opcional | Hash SHA1 do alarme
eiconsolelink | string | opcional | Link para o alarme no console ESET Inspect On-Prem
eialarmid | string | opcional | ID da subparte do link de alarme ($1 no ^http.*/alarm/([0-9]+)$)
computer_severity_score | número | opcional | Pontuação de gravidade do computador
severity_score | número | opcional | Pontuação de gravidade da regra

Exemplo de relatório JSON EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

O ESET PROTECT On-Prem encaminha os arquivos bloqueados ESET Inspect On-Prem ao Syslog. Os atributos específicos são os seguintes:

processname | string | opcional | Nome do processo associado ao evento
username | string | opcional | Nome da conta de usuário associada ao evento
hash | string | opcional | Hash SHA1 do arquivo bloqueado
object_uri | string | opcional | URI do objeto
action | string | opcional | Ação realizada
firstseen | string | opcional | Hora e data em que a detecção foi encontrada pela primeira vez na máquina (formato de data e hora).
cause | string | opcional |
description | string | opcional | Descrição do arquivo bloqueado
handled | string | opcional | Indica se a detecção foi resolvida ou não

˄˅