ESET PROTECT On-Prem

Не в сети | Переход в сетевой режим

ESET PROTECT On-Prem – Содержание

# События, экспортируемые в формат JSON

Скопировать URL-адрес текущей статьи Поделиться по электронной почте

Настройте фильтр в категории журнала уведомлений для фильтрации журналов событий, отправляемых в системный журнал.

JSON — облегченный формат для обмена данными. Он построен на наборе пар «имя-значение» и упорядоченном списке значений.

## Экспортируемые события

Этот раздел содержит сведения о формате и значение атрибутов всех экспортируемых событий. Сообщение о событии представляет собой объект JSON с некоторыми обязательными и необязательными ключами. Каждое экспортируемое событие будет содержать следующий ключ:

event_type | строка |  | Тип экспортируемых событий: •Threat_Event (обнаружения защиты от вирусов ) •FirewallAggregated_Event (обнаружения файервола ) •HipsAggregated_Event (обнаружения системы HIPS ) •Audit_Event (журнал аудита) •FilteredWebsites_Event (отфильтрованные веб-сайты – защита доступа в Интернет ) •EnterpriseInspectorAlert_Event (ESET Inspectпредупреждения ) •BlockedFiles_Event (заблокированные файлы )
--- | --- | --- | ---
ipv4 | строка | необязательно | IPv4-адрес компьютера, создавшего событие.
ipv6 | строка | необязательно | IPv6-адрес компьютера, создавшего событие.
hostname | строка |  | Идентификатор Имя хоста компьютера, создавшего событие.
source_uuid | строка |  | Идентификатор UUID компьютера, создавшего событие.
occurred | строка |  | Время события в формате UTC. Используется формат %d-%b-%Y %H:%M:%S.
severity | строка |  | Серьезность события. Возможные значения (от наименее до наиболее серьезных событий): «Информация», «Примечание», «Предупреждение», «Ошибка», «Критическая ошибка», «Неустранимая ошибка».
group_name | строка |  | Полный путь статической группы компьютера, создавшего событие. Если длина пути превышает 255 символов, group_name содержит только имя статической группы.
group_description | строка |  | Описание статической группы.
os_name | строка |  | Информация об операционной системе компьютера.

|  | Все перечисленные ниже типы событий со всеми уровнями серьезности передаются на сервер системного журнала. Настройте фильтр в категории журнала уведомлений для фильтрации журналов событий, отправляемых в системный журнал. Передаваемые значения зависят от приложения безопасности ESET (и его версии), установленного на управляемом компьютере, и ESET PROTECT On-Prem передает только полученные данные. Поэтому ESET не может предоставить исчерпывающий список всех значений. Рекомендуем наблюдать за сетью и фильтровать журналы на основании получаемых значений.

## Настраиваемые ключи в соответствии с event_type:

### Threat_Event

Все события типа «обнаружение защиты от вирусов» , которые создаются управляемыми конечными точками, будут перенаправлены в системный журнал. Ключи событий «обнаружение» перечислены в таблице ниже.

threat_type | строка | необязательно | Тип обнаружения
--- | --- | --- | ---
threat_name | строка | необязательно | Имя обнаружения
threat_flags | строка | необязательно | Флаги, связанные с обнаружением
scanner_id | строка | необязательно | Идентификатор модуля сканирования.
scan_id | строка | необязательно | Идентификатор сканирования.
engine_version | строка | необязательно | Версия модуля сканирования.
object_type | строка | необязательно | Тип объекта, связанного с этим событием.
object_uri | строка | необязательно | URI объекта
action_taken | строка | необязательно | Действие, которое выполнила конечная точка.
action_error | строка | необязательно | Сообщение об ошибке, если «действие» не было успешным.
threat_handled | логическое значение | необязательно | Показывает, было ли обработано обнаружение.
need_restart | логическое значение | необязательно | Показывает, нужна ли перезагрузка.
username | строка | необязательно | Имя учетной записи пользователя, связанной с событием.
processname | строка | необязательно | Имя процесса, связанного с событием.
circumstances | строка | необязательно | Краткое описание причины события.
hash | строка | необязательно | SHA1-хеш потока данных (обнаружения).
firstseen | строка | необязательно | Время и дата, когда обнаружение было выявлено впервые на этом компьютере. ESET PROTECT On-Prem использует разные форматы даты и времени для атрибута firstseen (и любого другого атрибута даты и времени) в зависимости от формата вывода журнала (JSON или LEEF): •JSON формат:"%d-%b-%Y %H:%M:%S" •LEEF формат:"%b %d %Y %H:%M:%S"

Пример журнала JSON Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Чтобы не перегружать полосу пропускания при репликации агента ESET Management или сервера ESET PROTECT, журналы событий, созданные файерволом ESET (обнаружения файервола ), собирает управляющий агент ESET Management. Ключи событий файервола приведены в таблице ниже.

event | строка | необязательно | Имя события.
--- | --- | --- | ---
source_address | строка | необязательно | Адрес источника события.
source_address_type | строка | необязательно | Тип адреса источника события.
source_port | число | необязательно | Порт источника события.
target_address | строка | необязательно | Адрес цели события.
target_address_type | строка | необязательно | Тип адреса цели события.
target_port | число | необязательно | Порт цели события.
protocol | строка | необязательно | Протокол
account | строка | необязательно | Имя учетной записи пользователя, связанной с событием.
process_name | строка | необязательно | Имя процесса, связанного с событием.
rule_name | строка | необязательно | Имя правила
rule_id | строка | необязательно | Идентификатор правила
inbound | логическое значение | необязательно | Показывает, является ли подключение входящим.
threat_name | строка | необязательно | Имя обнаружения.
aggregate_count | число | необязательно | Количество дублирующихся сообщений, созданных конечной точкой в промежутке между двумя последовательными репликациями между сервером ESET PROTECT и управляющим агентом ESET Management.
action | строка | необязательно | Действие выполнено
handled | строка | необязательно | Показывает, было ли обработано обнаружение.

Пример журнала JSON FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

События системы Host-based Intrusion Prevention System (обнаружения системы HIPS ) фильтруются по уровню серьезности перед отправкой далее в качестве сообщений системного журнала. В таблице ниже перечислены атрибуты HIPS.

application | строка | необязательно | Имя приложения
--- | --- | --- | ---
operation | строка | необязательно | Операция
target | строка | необязательно | Объект
action | строка | необязательно | Действие выполнено
action_taken | строка | необязательно | Действие, которое выполнила конечная точка.
rule_name | строка | необязательно | Имя правила
rule_id | строка | необязательно | Идентификатор правила
aggregate_count | число | необязательно | Количество дублирующихся сообщений, созданных конечной точкой в промежутке между двумя последовательными репликациями между сервером ESET PROTECT и управляющим агентом ESET Management.
handled | строка | необязательно | Показывает, было ли обработано обнаружение.

Пример журнала JSON HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem перенаправляет внутренние сообщения журнала аудита в системный журнал. В таблице ниже перечислены атрибуты.

domain | строка | необязательно | Домен журнала аудита
--- | --- | --- | ---
action | строка | необязательно | Выполняемое действие
target | строка | необязательно | Объект целевого действия
detail | строка | необязательно | Подробное описание действия
user | строка | необязательно | Пользователь программы для обеспечения безопасности
result | строка | необязательно | Результат действия

Пример журнала Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem перенаправляет отфильтрованные веб-сайты (обнаружения средством Защита доступа в Интернет) в системный журнал. В таблице ниже перечислены атрибуты.

processname | строка | необязательно | Имя процесса, связанного с событием.
username | строка | необязательно | Имя учетной записи пользователя, связанной с событием.
hash | строка | необязательно | Хеш SHA1 отфильтрованного объекта
event | строка | необязательно | Тип события
rule_id | строка | необязательно | Идентификатор правила
action_taken | строка | необязательно | Действие выполнено
scanner_id | строка | необязательно | Идентификатор модуля сканирования.
object_uri | строка | необязательно | URI объекта
target_address | строка | необязательно | Адрес цели события.
target_address_type | строка | необязательно | Тип адреса цели события (25769803777 = IPv4; 25769803778 = IPv6)
handled | строка | необязательно | Показывает, было ли обработано обнаружение.

Пример журнала JSON FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem перенаправляет предупреждения ESET Inspect в системный журнал. В таблице ниже перечислены атрибуты.

processname | строка | необязательно | Имя процесса, инициировавшего это предупреждение
--- | --- | --- | ---
username | строка | необязательно | Владелец процесса
rulename | строка | необязательно | Имя правила, инициировавшего это предупреждение
count | число | необязательно | Число уведомлений этого типа, созданных с момента последнего предупреждения
hash | строка | необязательно | Хеш SHA1 предупреждения
eiconsolelink | строка | необязательно | Ссылка на предупреждение в консоли ESET Inspect On-Prem
eialarmid | строка | необязательно | Подчасть идентификатора ссылки на предупреждение ($1 в ^http.*/alarm/([0-9]+)$)
computer_severity_score | число | необязательно | Оценка серьезности угроз на компьютере
severity_score | число | необязательно | Оценка серьезности правила

Пример журнала JSON EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem перенаправляет заблокированные файлы ESET Inspect On-Prem в системный журнал. В таблице ниже перечислены атрибуты.

processname | строка | необязательно | Имя процесса, связанного с событием.
username | строка | необязательно | Имя учетной записи пользователя, связанной с событием.
hash | строка | необязательно | Хеш SHA1 заблокированного файла
object_uri | строка | необязательно | URI объекта
action | строка | необязательно | Действие выполнено
firstseen | строка | необязательно | Время и дата, когда обнаружение было впервые выявлено на этом компьютере (формат даты и времени).
cause | строка | необязательно |
description | строка | необязательно | Описание заблокированного файла
handled | строка | необязательно | Показывает, было ли обработано обнаружение.

˄˅