ESET PROTECT On-Prem

Offline | Prejsť do režimu online

ESET PROTECT On-Prem – Obsah

# Udalosti exportované vo formáte JSON

Skopírovať odkaz na aktuálny článok Odoslať e‑mailom

V kategórii protokolu oznámení definujte filter, pomocou ktorého budete filtrovať protokoly udalostí odosielané do Syslogu.

JSON je jednoduchý formát pre výmenu dát. Je založený na dvoch dátových štruktúrach: kolekcia párov názov-hodnota a zoradený zoznam hodnôt.

## Exportované udalosti

Táto sekcia obsahuje podrobnosti o formáte a význame atribútov všetkých exportovaných udalostí. Správa o udalosti má podobu objektu JSON vrátane niektorých povinných a voliteľných kľúčov (atribútov). Každá exportovaná udalosť bude obsahovať nasledujúci kľúč:

event_type | reťazec |  | Typ exportovanej udalosti: •Threat_Event ( Antivírusové detekcie) •FirewallAggregated_Event (Detekcie firewallu) •HipsAggregated_Event (Detekcie modulu HIPS) •Audit_Event (Protokol auditu) •FilteredWebsites_Event (Filtrované webové stránky – Webová ochrana) •EnterpriseInspectorAlert_Event (Upozornenia nástroja ESET Inspect) •BlockedFiles_Event ( Blokované súbory)
--- | --- | --- | ---
ipv4 | reťazec | voliteľné | IPv4 adresa počítača, ktorý generoval udalosť.
ipv6 | reťazec | voliteľné | IPv6 adresa počítača, ktorý generoval udalosť.
hostname | reťazec |  | Názov hostiteľa počítača, ktorý generoval udalosť.
source_uuid | reťazec |  | UUID počítača, ktorý generoval udalosť.
occurred | reťazec |  | Čas vo formáte UTC, kedy udalosť vznikla. Formát: %d-%b-%Y %H:%M:%S
severity | reťazec |  | Závažnosť udalosti. Možné hodnoty (od najmenej závažnej po najviac závažnú) sú: Informácia, Oznámenie, Upozornenie, Chyba, Kritický, Závažný.
group_name | reťazec |  | Úplná cesta k statickej skupine počítača, ktorý generoval udalosť. Ak je cesta dlhšia ako 255 znakov, group_name obsahuje len názov statickej skupiny.
group_description | reťazec |  | Popis statickej skupiny.
os_name | reťazec |  | Informácie o operačnom systéme počítača.

|  | Všetky typy udalostí uvedené ďalej sú bez ohľadu na úroveň závažnosti nahlasované Syslog serveru. V kategórii protokolu oznámení definujte filter, pomocou ktorého budete filtrovať protokoly udalostí odosielané do Syslogu. Hlásené hodnoty závisia od bezpečnostnej aplikácie ESET nainštalovanej na spravovanom počítači (a jej verzie), pričom ESET PROTECT On-Prem len reportuje prijaté dáta. ESET preto nevie poskytnúť kompletný zoznam všetkých hodnôt. Odporúčame sledovať vašu sieť a filtrovať protokoly na základe hodnôt, ktoré ste dostali.

## Vlastné kľúče (atribúty) podľa event_type:

### Threat_Event

Všetky záznamy o antivírusových detekciách generovaných spravovanými koncovými zariadeniami sa odošlú na Syslog. Záznam o detekcii vyzerá nasledovne:

threat_type | reťazec | voliteľné | Typ detekcie
--- | --- | --- | ---
threat_name | reťazec | voliteľné | Názov detekcie
threat_flags | reťazec | voliteľné | Príznaky súvisiace s detekciou
scanner_id | reťazec | voliteľné | ID skenera
scan_id | reťazec | voliteľné | ID kontroly
engine_version | reťazec | voliteľné | Verzia skenovacieho jadra
object_type | reťazec | voliteľné | Typ objektu týkajúci sa tejto udalosti
object_uri | reťazec | voliteľné | URI objektu
action_taken | reťazec | voliteľné | Akcia vykonaná koncovou bezpečnostnou aplikáciou
action_error | reťazec | voliteľné | Chybové hlásenie v prípade, že „akcia“ nebola úspešná
threat_handled | bool | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená
need_restart | bool | voliteľné | Informácia o tom, či je potrebný reštart
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
circumstances | reťazec | voliteľné | Krátka informácia o tom, čo spôsobilo danú udalosť
hash | reťazec | voliteľné | SHA1 hash (detekcie) dátového toku.
firstseen | reťazec | voliteľné | Čas a dátum, kedy bola detekcia po prvýkrát zistená na zariadení. ESET PROTECT On-Prem používa rozdielne formáty času a dátumu pre atribút firstseen (a každý iný atribút času a dátumu) v závislosti od výstupného formátu (JSON alebo LEEF): •JSON formát: "%d-%b-%Y %H:%M:%S" •LEEF formát: "%b %d %Y %H:%M:%S"

Príklad protokolu Threat_Event vo formáte JSON:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Protokoly udalostí generované firewallom ESET (detekcie firewallu) agreguje riadiaci ESET Management Agent na účely zníženia množstva dát prenášaných počas replikácie ESET Management Agenta/ESET PROTECT Servera. Záznam o udalostiach firewallu vyzerá nasledovne:

event | reťazec | voliteľné | Názov udalosti
--- | --- | --- | ---
source_address | reťazec | voliteľné | Adresa zdroja udalosti
source_address_type | reťazec | voliteľné | Typ adresy zdroja udalosti
source_port | číslo | voliteľné | Port zdroja udalosti
target_address | reťazec | voliteľné | Adresa cieľa udalosti
target_address_type | reťazec | voliteľné | Typ adresy cieľa udalosti
target_port | číslo | voliteľné | Port cieľa udalosti
protocol | reťazec | voliteľné | Protokol
account | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
process_name | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
rule_name | reťazec | voliteľné | Názov pravidla
rule_id | reťazec | voliteľné | ID pravidla
inbound | bool | voliteľné | Informácia, či išlo o prichádzajúce pripojenie
threat_name | reťazec | voliteľné | Názov detekcie
aggregate_count | číslo | voliteľné | Počet rovnakých správ vygenerovaných koncovou bezpečnostnou aplikáciou medzi dvoma po sebe idúcimi replikáciami ESET Management Agenta na ESET PROTECT Server
action | reťazec | voliteľné | Vykonaná akcia
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu FirewallAggregated_Event vo formáte JSON:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Udalosti z modulu HIPS (detekcie modulu HIPS) sú filtrované na základe závažnosti pred tým, ako sú ďalej odosielané v podobe Syslog správ. Záznam o udalostiach modulu HIPS vyzerá nasledovne:

application | reťazec | voliteľné | Názov aplikácie
--- | --- | --- | ---
operation | reťazec | voliteľné | Operácia
target | reťazec | voliteľné | Cieľ
action | reťazec | voliteľné | Vykonaná akcia
action_taken | reťazec | voliteľné | Akcia vykonaná koncovou bezpečnostnou aplikáciou
rule_name | reťazec | voliteľné | Názov pravidla
rule_id | reťazec | voliteľné | ID pravidla
aggregate_count | číslo | voliteľné | Počet rovnakých správ vygenerovaných koncovou bezpečnostnou aplikáciou medzi dvoma po sebe idúcimi replikáciami ESET Management Agenta na ESET PROTECT Server
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu HipsAggregated_Event vo formáte JSON:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

ESET PROTECT On-Prem preposiela do Syslogu správy z interného protokolu auditu. Záznam o udalostiach vyzerá nasledovne:

domain | reťazec | voliteľné | Doména protokolu auditu
--- | --- | --- | ---
action | reťazec | voliteľné | Vykonávaná akcia
target | reťazec | voliteľné | Cieľ, na ktorom je akcia vykonávaná
detail | reťazec | voliteľné | Podrobný popis akcie
user | reťazec | voliteľné | Užívateľ vykonávajúci akciu
result | reťazec | voliteľné | Výsledok akcie

Príklad protokolu Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

ESET PROTECT On-Prem preposiela filtrované webové stránky (detekcie Webovej ochrany) do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
hash | reťazec | voliteľné | SHA1 hash filtrovaného objektu
event | reťazec | voliteľné | Typ udalosti
rule_id | reťazec | voliteľné | ID pravidla
action_taken | reťazec | voliteľné | Vykonaná akcia
scanner_id | reťazec | voliteľné | ID skenera
object_uri | reťazec | voliteľné | URI objektu
target_address | reťazec | voliteľné | Adresa cieľa udalosti
target_address_type | reťazec | voliteľné | Typ adresy cieľa udalosti (25769803777 = IPv4; 25769803778 = IPv6)
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

Príklad protokolu FilteredWebsites_Event vo formáte JSON:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

ESET PROTECT On-Prem preposiela upozornenia nástroja ESET Inspect do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu, ktorý spôsobil upozornenie
--- | --- | --- | ---
username | reťazec | voliteľné | Vlastník procesu
rulename | reťazec | voliteľné | Názov pravidla, ktoré spustilo upozornenie
count | číslo | voliteľné | Počet upozornení tohto typu vygenerovaných od posledného upozornenia
hash | reťazec | voliteľné | SHA1 hash upozornenia
eiconsolelink | reťazec | voliteľné | Odkaz na upozornenie v konzole ESET Inspect On-Prem
eialarmid | reťazec | voliteľné | Podčasť ID odkazu na upozornenie ($1 v ^http.*/alarm/([0-9]+)$)
computer_severity_score | číslo | voliteľné | Skóre závažnosti počítača
severity_score | číslo | voliteľné | Skóre závažnosti pravidla

Príklad protokolu EnterpriseInspectorAlert_Event vo formáte JSON:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

ESET PROTECT On-Prem preposiela blokované súbory nahlásené nástrojom ESET Inspect On-Prem do Syslogu. Záznam o udalostiach vyzerá nasledovne:

processname | reťazec | voliteľné | Názov procesu spojeného s touto udalosťou
username | reťazec | voliteľné | Názov používateľského účtu spojeného s touto udalosťou
hash | reťazec | voliteľné | SHA1 hash blokovaného súboru
object_uri | reťazec | voliteľné | URI objektu
action | reťazec | voliteľné | Vykonaná akcia
firstseen | reťazec | voliteľné | Čas a dátum, kedy bola detekcia prvýkrát nájdená na danom počítači (formát dátumu a času).
cause | reťazec | voliteľné |
description | reťazec | voliteľné | Popis blokovaného súboru
handled | reťazec | voliteľné | Udáva, či detekcia bola alebo nebola vyriešená

˄˅