تنسيق بيانات Open XDR
يعتمد تنسيق بيانات Open XDR على المخطط العام المرن (ECS)، وهو التنسيق العادي المستخدم لـ ESET Open XDR. يعمل ECS على تبسيط كتابة الاستعلامات وتمكين ربط البيانات عبر مصادر البيانات المختلفة. يتم تطبيع أحداث القياس عن بُعد والمؤشرات والحوادث في هذا المخطط عبر المنتجات وعمليات الدمج التي تعد جزءاً من منصة Open XDR.
|
تُتاح بيانات Open XDR من أجهزة الكمبيوتر التي تعمل بإصدار العامل ESET Management من الإصدار 13.0+ والموصل ESET Inspect من الإصدار 3.0+. يمكنك العثور على المزيد من المعلومات حول توحيد ESET Inspect وESET PROTECT (Open XDR). |
مجموعات الحقول
يحدد ECS مجموعات متعددة من الحقول ذات الصلة، والمعروفة باسم مجموعات الحقول.
تصف حقول العامل مكون البرنامج الذي يجمّع أحداث أو مؤشرات القياس عن بُعد أو يكتشفها أو يراقبها.
|
تحتوي مجموعة الحقول الأساسية على جميع الحقول الموجودة في جذر الأحداث. هذه الحقول شائعة في جميع أنواع الأحداث.
|
تم تصميمها لالتقاط البيانات الوصفية حول الموارد التي تعمل في بيئة سحابية.
|
حقول تصف التوقيع الرقمي لملف موجود على القرص، أو لملف تنفيذي قام بتشغيل عملية، أو لمكتبة تم تحميلها ديناميكياً. وتوضح هذه الحقول ما إذا كان الملف موقَّعاً، ومن الجهة التي قامت بتوقيعه، وما إذا كان التوقيع صالحاً وموثوقاً. ومن المتوقَّع أن تكون حقول توقيع التعليمات البرمجية متداخلة ضمن:
|
الحقول التي تصف هدف الاتصال بالشبكة أو نقل البيانات. وعادة ما تتضمن تفاصيل حول الأجهزة التي تستقبل البيانات، مثل عنوان IP والمنفذ والنطاق.
|
الحقول التي تصف الجهاز المتضمن في الحدث. عادةً ما تتضمن السمات مثل معرفات الجهاز، والطراز، والشركة المصنعة، والرقم التسلسلي، وغيرها من السمات التي تساعد في تحديد الجهاز الفعلي الذي يولد البيانات أو يستقبلها.
|
الحقول التي تصف مكتبة تم تحميلها ديناميكياً متضمنة في حدث. على الرغم من أن الاسم يركز على بيئة Windows، فإن هذه المجموعة من الحقول تغطي منصات متعددة:
يمكن دمج مجموعات الحقول التالية ضمن مجموعة حقول DLL:
|
معلومات وصفية خاصة بـ ECS.
|
الحقول التي تصف تفاصيل حدث أو نشاط تم التقاطه بواسطة أحد الأنظمة أو أحد التطبيقات. توفر هذه الحقول سياقاً مثل فئة الحدث ونوعه وإجراءه ونتائجه والطوابع الزمنية.
|
تمثل تفاصيل حول ملف متضمن في الحدث. يمكن دمج مجموعات الحقول التالية ضمن مجموعة حقول الملفات:
|
يحتوي على قيم تجزئة مشفرة تحدد الملفات بشكل فريد. من المتوقع أن تُدمج حقول التجزئة في:
|
يمثل تفاصيل حول المضيف (الكمبيوتر أو الخادم أو الجهاز) الذي نشأ منه الحدث أو تمت ملاحظته فيه. يمكن دمج مجموعات الحقول التالية ضمن مجموعة حقول المضيف:
|
تمثل تفاصيل حول نشاط الشبكة المرتبط بالحدث. وتصف هذه الحقول البروتوكول والوجهة ومعرفات الضغط على الشبكة.
|
تمثل تفاصيل حول نظام التشغيل الذي يعمل على أحد مضيف أو جهاز. من المتوقع أن تُدمج حقول نظام التشغيل في:
|
تمثل البيانات الأولية المستخرجة من ملف Windows Portable Executable (PE)، مثل الملفات التنفيذية وملفات DLL وبرامج التشغيل. من المتوقع أن تُدمج حقول PE في:
|
تمثل تفاصيل حول عملية تجري على مضيف مرتبط بالحدث. من المتوقع أن تُدمج حقول العملية في:
يمكن دمج مجموعات الحقول التالية ضمن مجموعة حقول العملية:
|
الحقول المتعلقة بعمليات سجل Windows.
|
يحتوي على قوائم بالمعرفات ذات الصلة بالحدث. تساعد هذه القيم في الربط بين الأحداث المختلفة التي قد يكون لها نفس القيمة في مجالات مختلفة مثل process.hash وprocess.parent.hash
|
يمثل تفاصيل حول المؤشر. تساعد هذه الحقول في تحديد المؤشرات وتصنيفها وربطها بناءً على منطق الكشف الذي أدى إلى تشغيلها.
|
الحقول التي تصف مصدر اتصال الشبكة أو نقل البيانات. وعادة ما تتضمن تفاصيل حول الأجهزة التي ترسل البيانات، مثل عنوان IP والمنفذ والنطاق.
|
تمثل تفاصيل حول عنوان URL المتضمن في الحدث. وتصف هذه الحقول بنية عنوان URL ومكوناته.
|
تمثل تفاصيل حول مستخدم مرتبط بالحدث. من المتوقع أن تُدمج حقول المستخدِم في:
|
الامتدادات
امتدادات ECS المخصصة هي مجموعات حقول إضافية تقدمها التكاملات لالتقاط بيانات غير مشمولة في مخطط Elastic Common Schema القياسي. تسمح هذه الحقول بسياق أكثر ثراءً وسمات خاصة بالمورد مع الحفاظ على التوافق مع ECS. يجب أن تلتزم الامتدادات باتفاقيات تسمية ECS ويتم تجميعها ضمن مساحة اسم واضحة لتجنب التعارض مع حقول ECS القياسية.
امتداد ESET
يوحد امتداد ESET البيانات الواردة من منتجات ESET من خلال ربط اكتشافات برامج الحماية ضد الفيروسات والمؤشرات السلوكية بحقول ECS مخصصة ضمن مساحة اسم ESET.
من المتوقع أن تُدمج حقول امتداد ESET في eset.*:
تحتوي مجموعة حقول امتداد ESET الأساسية على جميع الحقول الموجودة في جذر eset.* namespace.
|
يمثل تفاصيل حول العمليات الأصلية. من المتوقع أن تُدمج حقول العمليات الأصلية في:
من المتوقع أن تتداخل حقول ECS التالية ضمن eset.executable:
|
يمثّل تفاصيل حول العمليات الفرعية. من المتوقع أن تُدمج الحقول الفرعية في:
من المتوقع أن تتداخل حقول ECS التالية ضمن eset.executable:
|
لتوفير معلومات حول ملف تنفيذي مرتبط بالحدث. عندما يظهر هذا الحقل ضمن eset.process.*، فإنه يشير تحديداً إلى الملف التنفيذي للعملية التي تعمل على المضيف فيما يتعلق بالحدث. من المتوقع أن تُدمج حقول ESET التنفيذية في:
من المتوقع أن تتداخل حقول ECS التالية ضمن eset.executable:
من المتوقع أن تتداخل حقول امتداد ESET التالية ضمن eset.executable:
|
لتوفير معلومات حول بيانات ESET LiveGrid® المرتبطة بالملف التنفيذي. من المتوقع أن تُدمج حقول البحث في ESET LiveGrid في:
|
لتوفير معلومات حول المكتبات المُحمّلة والتي تم تحميلها في العملية في وقت إنشاء المؤشر. من المتوقع أن تُدمج حقول البحث في ESET LiveGrid في:
من المتوقع أن تُدمج مجموعات الحقول التالية ضمن مجموعة حقول eset.loaded_libraries:
|
تمثل تفاصيل حول عملية تجري على مضيف مرتبط بالحدث. يمكن دمج مجموعات الحقول التالية ضمن مجموعة حقول eset.process:
|
تمثل مهمة يتم تنفيذها استجابة لتفعيل قاعدة EDR، بهدف التخفيف من حدة التهديد الأمني المحتمل أو تحييده. من المتوقع أن تُدمج حقول إجراءات إصلاح ESET في:
|
تمثل معلومات حول الحدث الذي أدى إلى تشغيل القاعدة. من المتوقع أن تُدمج حقول حدث تشغيل ESET في:
|
يعمل امتداد بيانات ESET الوصفية على توحيد البيانات الوصفية الخاصة بـ ESET لأحداث الأمان. وهي تقوم بتسجيل تفاصيل العملاء والخدمة والنشر للمساعدة في تحديد أولويات الحوادث وتوجيهها داخل مراكز عمليات الأمن (SoC) التابعة لـ ESET. من المتوقع أن تُدمج حقول بيانات ESET الوصفية في:
|