يحدد الجزء operations العمليات التي تنفذها العملية والتي تؤدي إلى إطلاق المؤشر. إذا كان فارغًا، يتم تشغيل المؤشر عندما تُنشئ العملية حدثًا.
يتم تعريف العمليات باستخدام عنصر operation مع سمة type وعنصر expression.
<operation type="WriteFile">Expression</operation>
المكونات التالية مدعومة من جميع العمليات.
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
BitsJobAddFile
تمت إضافة ملف إلى مهمة BITS.
المكونات المدعومة:
بترجّع معلومات عن مهمة BITS.
خاصية
|
نوع
|
الوصف
|
مثال
|
FileCount
|
Int
|
عدد الملفات اللي اتضافت للمهمة.
|
1
|
JobTitle
|
String
|
الاسم المعروض لمهمة BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
مسار الوجهة المحلي للملف.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
عنوان URL المصدر أو المسار البعيد للملف.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث المحدد
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
الحساب اللي يمتلك الوظيفة أو أنشأها.
|
|
UserSid
|
String
|
معرف الأمان (SID) الخاص بالحساب.
|
|
العمليات المدعومة
|
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
CodeInjection
تعرضت إحدى العمليات لشكل من أشكال حقن الكود.
المكونات المدعومة:
ClientProcessInfo متاح فقط بالاقتران مع عمليات WmiExecution وWmiQuery وCodeInjection، اللي ليها عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية من العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد الحد الأدنى لدرجة الخطورة من خلال سياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
العمليات المدعومة
- Codeinjection
- WmiExecution
- WmiQuery
|
بالنسبة لأحداث CodeInjection، فإنها تُبلّغ عن معلومات تتعلق بتقنية حقن الكود المستخدمة.
خاصية
|
نوع
|
الوصف
|
مثال
|
CodeInjectionType
|
Symbol
|
تقنية حقن الكود المستخدمة
|
القيم المحتملة هي:
- 0—CreateRemoteThread
- 1—SetThreadContext
- 2—ApcQueue
|
العمليات المدعومة
|
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر إحصائية عن الوحدات في الشبكة المُراقَبة.
العمليات المدعومة
- CreateProcess
- LoadDLL
- حقن الكود
- إسقاط الوحدة
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
ESET LiveGrid هو نظام وقائي يجمع معلومات عن التهديدات من المستخدمين في جميع أنحاء العالم. تحتوي قاعدة بيانات ESET LiveGrid على معلومات السمعة حول التهديدات المحتملة. تساعدك سمعة الملفات التنفيذية على تصفية نتائج القواعد.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل الأسبوع، والشهر، ونصف العام، والعام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما زاد، كل ما زادت الثقة
|
القيم المحتملة هي:
- 9، 8 - موثوق
- 7، 6—حسنًا
- 5، 4 — خطر
- 3—PUA، غير معروف (لم يتم رصده بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي اكتشف فيها ESET LiveGrid® ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما تتعدّاش شعبية 1000 لحد ما يتم اكتشافها.
|
|
|
|
لا يمكنك الاعتماد على قيم ESET LiveGrid للملفات التنفيذية الجديدة. حتى الملف التنفيذي الأكثر شيوعًا وموثوقية (مثل مثبِّت إصدار جديد من Google Chrome) تكون شعبيته منخفضة وسمعته غير معروفة لبعض الوقت بعد إصداره.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- ModuleDrop
|
إرجاع المعلومات الخاصة بالوحدة الحالية
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة الذي يحدده محرك التعلم الآلي من ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة اللي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف على أنه nearmiss.
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون نتائج إيجابية خاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (إذا تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف المعروض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه عن طريق RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف ده عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O تنفيذي محمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرّف المطوّر الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يُوزَّع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبَل الأجهزة
- 80—Valid—التوقيع موثوق به من قِبَل نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقِّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفقة بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا توجد قائمة بيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مُدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك بنرشح إنك تستخدم قيمة isnotempty أو isempty للشرط.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- LoadDriver
- ModuleDrop
|
إرجاع معلومات عن العملية الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حسّاسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
المسافة بين العملية والعملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المُرسَلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
إرجاع معلومات عن عملية الخدمة الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية عن العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة الخطورة، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المرسلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
CreateNamedPipe
تم إنشاء أنبوب مُسمى.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
CreateProcess
تم إنشاء عملية.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر إحصائية عن الوحدات في الشبكة المُراقَبة.
العمليات المدعومة
- CreateProcess
- LoadDLL
- حقن الكود
- إسقاط الوحدة
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
ESET LiveGrid هو نظام وقائي يجمع معلومات عن التهديدات من المستخدمين في جميع أنحاء العالم. تحتوي قاعدة بيانات ESET LiveGrid على معلومات السمعة حول التهديدات المحتملة. تساعدك سمعة الملفات التنفيذية على تصفية نتائج القواعد.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل الأسبوع، والشهر، ونصف العام، والعام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما زاد، كل ما زادت الثقة
|
القيم المحتملة هي:
- 9، 8 - موثوق
- 7، 6—حسنًا
- 5، 4 — خطر
- 3—PUA، غير معروف (لم يتم رصده بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي اكتشف فيها ESET LiveGrid® ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما تتعدّاش شعبية 1000 لحد ما يتم اكتشافها.
|
|
|
|
لا يمكنك الاعتماد على قيم ESET LiveGrid للملفات التنفيذية الجديدة. حتى الملف التنفيذي الأكثر شيوعًا وموثوقية (مثل مثبِّت إصدار جديد من Google Chrome) تكون شعبيته منخفضة وسمعته غير معروفة لبعض الوقت بعد إصداره.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- ModuleDrop
|
إرجاع المعلومات الخاصة بالوحدة الحالية
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة الذي يحدده محرك التعلم الآلي من ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة اللي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف على أنه nearmiss.
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون نتائج إيجابية خاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (إذا تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف المعروض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه عن طريق RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف ده عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O تنفيذي محمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرّف المطوّر الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يُوزَّع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبَل الأجهزة
- 80—Valid—التوقيع موثوق به من قِبَل نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقِّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفقة بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا توجد قائمة بيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مُدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك بنرشح إنك تستخدم قيمة isnotempty أو isempty للشرط.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- LoadDriver
- ModuleDrop
|
إرجاع معلومات عن العملية الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حسّاسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
المسافة بين العملية والعملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المُرسَلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
إرجاع معلومات عن عملية الخدمة الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية عن العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة الخطورة، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المرسلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
DeleteFile
تم حذف ملف.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
DeleteVolumeShadowCopy
تم حذف نسخة ظل لوحدة تخزين.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
يعرض معلومات حول إنشاء نسخة الظل ولقطات النسخ الاحتياطي الموجودة.
خاصية
|
نوع
|
الوصف
|
مثال
|
OriginalVolumeName
|
String
|
اسم وحدة التخزين اللي اتعملها نسخة ظل
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
اسم الجهاز اللي فيه وحدة التخزين الأصلية
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
اسم الموفّر المستخدم لإنشاء نسخة الظل (shadow copy)
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
اسم النظام الذي يوفر خدمة نسخة ظل (Shadow Copy) (عادةً نفس الجهاز الأصلي في النسخ الاحتياطية المحلية)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
مسار الجهاز الذي يمثل لقطة وحدة التخزين. يمكن اعتبار مسار كائن الجهاز بمثابة جذر نسخة ظل لوحدة التخزين. هيستخدم مقدمو الطلبات اسم الجهاز ده عند الوصول للملفات الموجودة على وحدة تخزين تم نسخها في الظل ومحتاج يشتغل عليها.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
العمليات المدعومة
|
DnsRequest
تم إجراء طلب DNS (عادةً IP > نطاق، نطاق > IP).
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
DnsInfo بالخصائص التالية:
خاصية
|
نوع
|
الوصف
|
مثال
|
DnsQuery
|
String
|
استعلام DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
طول استعلام DNS
|
100
|
DnsResponseIpAddressV4
|
مجموعة عناوين IPv4
|
سجلات A في استجابة DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
مجموعة عناوين IPv6
|
سجلات AAAA في استجابة DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
مجموعة من السلاسل النصية
|
سجلات NS وCNAME وPTR أو TXT في استجابة DNS
|
mobile-google.com
|
DnsResponseType
|
مجموعة من الرموز
|
أنواع السجلات الموجودة في استجابة DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
الطول الإجمالي لاستجابة DNS
|
100
|
بالنسبة للخاصية DnsResponseType، فيه نطاق محدد مسبقًا من القيم اللي ممكن تُستخدم (غير حساس لحالة الأحرف):
لمزيد من المعلومات حول قيم DnsResponseType، راجع أنواع سجلات الموارد (RR).
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مدرجة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
مثال
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
العمليات المدعومة
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
HttpRequest
تم إجراء طلب HTTP.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع معلومات حول أحداث الشبكة
خاصية
|
نوع
|
الوصف
|
مثال
|
DestinationIpAddressV4
|
Ipv4 العنوان
|
عنوان الوجهة Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 العنوان
|
عنوان الوجهة Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
اسم المضيف الهدف.
مدعوم فقط مع أحداث TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
الاتصال وارد
|
true/false
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان Ipv4 المستهدف للحدث. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان Ipv6 المستهدف للحدث. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
منفذ الهدف TCP/UDP
|
8080
|
Protocol
|
String
|
البروتوكول المستخدم بواسطة الاتصال
|
HTTP, HTTPS، إلخ.
|
SourceIpAddressV4
|
Ipv4 العنوان
|
عنوان المصدر Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 العنوان
|
عنوان المصدر Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
إذا كان الطلب يتضمن عنوان URL (أي طلب HTTP)
مدعوم بطلبات HTTP والاكتشافات.
|
عنوان URL المستهدف
|
مثال
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Detection
- HttpRequest
- TcpIpAccept
- TcpIpConnect
- TcpIpProtocolIdentified
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
LoadDLL
تم تحميل ملف DLL.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر إحصائية عن الوحدات في الشبكة المُراقَبة.
العمليات المدعومة
- CreateProcess
- LoadDLL
- حقن الكود
- إسقاط الوحدة
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
ESET LiveGrid هو نظام وقائي يجمع معلومات عن التهديدات من المستخدمين في جميع أنحاء العالم. تحتوي قاعدة بيانات ESET LiveGrid على معلومات السمعة حول التهديدات المحتملة. تساعدك سمعة الملفات التنفيذية على تصفية نتائج القواعد.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل الأسبوع، والشهر، ونصف العام، والعام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما زاد، كل ما زادت الثقة
|
القيم المحتملة هي:
- 9، 8 - موثوق
- 7، 6—حسنًا
- 5، 4 — خطر
- 3—PUA، غير معروف (لم يتم رصده بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي اكتشف فيها ESET LiveGrid® ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما تتعدّاش شعبية 1000 لحد ما يتم اكتشافها.
|
|
|
|
لا يمكنك الاعتماد على قيم ESET LiveGrid للملفات التنفيذية الجديدة. حتى الملف التنفيذي الأكثر شيوعًا وموثوقية (مثل مثبِّت إصدار جديد من Google Chrome) تكون شعبيته منخفضة وسمعته غير معروفة لبعض الوقت بعد إصداره.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- ModuleDrop
|
إرجاع المعلومات الخاصة بالوحدة الحالية
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة الذي يحدده محرك التعلم الآلي من ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة اللي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف على أنه nearmiss.
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون نتائج إيجابية خاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (إذا تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف المعروض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه عن طريق RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف ده عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O تنفيذي محمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرّف المطوّر الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يُوزَّع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبَل الأجهزة
- 80—Valid—التوقيع موثوق به من قِبَل نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقِّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفقة بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا توجد قائمة بيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مُدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك بنرشح إنك تستخدم قيمة isnotempty أو isempty للشرط.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- LoadDriver
- ModuleDrop
|
إرجاع معلومات عن العملية الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حسّاسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
المسافة بين العملية والعملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المُرسَلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
إرجاع معلومات عن عملية الخدمة الحالية.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية عن العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة الخطورة، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد حد درجة المخاطر من خلال السياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
SentBytes
|
Int
|
إجمالي عدد وحدات البايت المرسلة من قبل العملية.
|
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
LoadDriver
تم تحميل برنامج تشغيل أو وحدة kernel.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
إرجاع المعلومات الخاصة بالوحدة الحالية
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة الذي يحدده محرك التعلم الآلي من ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة اللي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف على أنه nearmiss.
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون نتائج إيجابية خاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (إذا تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف المعروض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه عن طريق RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف ده عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O تنفيذي محمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرّف المطوّر الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يُوزَّع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبَل الأجهزة
- 80—Valid—التوقيع موثوق به من قِبَل نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقِّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفقة بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا توجد قائمة بيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مُدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك بنرشح إنك تستخدم قيمة isnotempty أو isempty للشرط.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- LoadDriver
- ModuleDrop
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
ModuleDrop
تم إسقاط ملف تنفيذي.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر إحصائية عن الوحدات في الشبكة المُراقَبة.
العمليات المدعومة
- CreateProcess
- LoadDLL
- حقن الكود
- إسقاط الوحدة
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
ESET LiveGrid هو نظام وقائي يجمع معلومات عن التهديدات من المستخدمين في جميع أنحاء العالم. تحتوي قاعدة بيانات ESET LiveGrid على معلومات السمعة حول التهديدات المحتملة. تساعدك سمعة الملفات التنفيذية على تصفية نتائج القواعد.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل الأسبوع، والشهر، ونصف العام، والعام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما زاد، كل ما زادت الثقة
|
القيم المحتملة هي:
- 9، 8 - موثوق
- 7، 6—حسنًا
- 5، 4 — خطر
- 3—PUA، غير معروف (لم يتم رصده بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي اكتشف فيها ESET LiveGrid® ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما تتعدّاش شعبية 1000 لحد ما يتم اكتشافها.
|
|
|
|
لا يمكنك الاعتماد على قيم ESET LiveGrid للملفات التنفيذية الجديدة. حتى الملف التنفيذي الأكثر شيوعًا وموثوقية (مثل مثبِّت إصدار جديد من Google Chrome) تكون شعبيته منخفضة وسمعته غير معروفة لبعض الوقت بعد إصداره.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- ModuleDrop
|
إرجاع المعلومات الخاصة بالوحدة الحالية
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة الذي يحدده محرك التعلم الآلي من ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة اللي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف على أنه nearmiss.
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون نتائج إيجابية خاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (إذا تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف المعروض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه عن طريق RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف ده عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O تنفيذي محمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرّف المطوّر الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يُوزَّع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبَل الأجهزة
- 80—Valid—التوقيع موثوق به من قِبَل نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقِّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفقة بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا توجد قائمة بيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مُدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك بنرشح إنك تستخدم قيمة isnotempty أو isempty للشرط.
|
العمليات المدعومة
- CodeInjection
- CreateProcess
- LoadDLL
- LoadDriver
- ModuleDrop
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
MultipleFilesChanged
قامت العملية بتعديل ملفات متعددة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
يتم الإبلاغ عن أحداث ProcessBehavior على Windows. الحماية ضد الفيروسات بتتتبع الملفات اللي تم الوصول ليها وعدد مرات الوصول ليها. في حالة وصول العملية إلى عدد من الملفات أكبر من العدد المحدد في الحاجز خلال فترة زمنية معينة، يتم الإبلاغ عن هذا الحدث.
خاصية
|
نوع
|
الوصف
|
مثال
|
FileOperations
|
String
|
العمليات وحواجزها
|
القيم المحتملة هي:
- 0—Unknown
- 1—WrBarrier1
- 2—WrBarrier2
- 3—RenameBarrier1
- 4—RenameBarrier2
- 5—MultiextWrBarrier1
- 6—MultiextWrBarrier2
- 7—MultiextRenameBarrier1
- 8—MultiextRenameBarrier2
- 9—BlobDetection
|
|
|
قيم FileOperations داخلية والمقصود استخدامها مع القواعد الافتراضية فقط.
|
العمليات المدعومة
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
OpenProcess
تمت إضافة سمة قاعدة جديدة، يتم تشغيلها عند فتح عملية. تتم مراقبة العملية المفتوحة إلى lsass.exe فقط.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
تمت إضافة سمة قاعدة جديدة، يتم تشغيلها عند فتح عملية.
HIPS يرسل أحداث OpenProcess فقط لـ lsass.exe وفقط مع وصول العملية PROCESS_VM_WRITE و/أو PROCESS_VM_READ وفقط عند استدعاء OpenProcess أو DuplicateHandle (عندما تكون العملية مفتوحة بالفعل بأنواع الوصول المذكورة)
خاصية
|
نوع
|
الوصف
|
مثال
|
AccessRight
|
Symbol
|
|
القيم المحتملة هي:
- 1—PROCESS_TERMINATE
- 2—PROCESS_CREATE_THREAD
- 8—PROCESS_VM_OPERATION
- 16—PROCESS_VM_READ
- 32—PROCESS_VM_WRITE
- 64—PROCESS_DUP_HANDLE
- 128—PROCESS_CREATE_PROCESS
- 256—PROCESS_SET_QUOTA
- 512—PROCESS_SET_INFORMATION
- 1024—PROCESS_QUERY_INFORMATION
- 2048—PROCESS_SUSPEND_RESUME
- 4096—PROCESS_QUERY_LIMITED_INFORMATION
- 65536—DELETE
- 131072—READ_CONTROL
- 262144—WRITE_DAC
- 524288—WRITE_OWNER
- 1048576—SYNCHRONIZE
- 2097151—PROCESS_ALL_ACCESS
|
مثال
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
العمليات المدعومة
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
ReadFile
يتم تشغيله عند قراءة ملف تتم مراقبته. الملفات المراقَبة هي الملفات اللي بتحتوي إما على معلومات حساسة أو بيانات اعتماد مخزّنة، مثلاً كلمات مرور المتصفح المخزّنة، وكلمات مرور عملاء FTP المخزّنة، وقاعدة بيانات AD، وهكذا.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
RegDeleteKey
تم حذف مفتاح تسجيل.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
قم بإرجاع المعلومات حول أحداث السجل.
خاصية
|
نوع
|
الوصف
|
مثال
|
Key
|
Path
|
مسار المفتاح، يحتوي على اسم القيمة الخاص بالمفتاح
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
طول قيمة المفتاح
|
16
|
StringValue
|
String
|
قيمة مفتاح السلسلة النصية
|
قيمة المثال
|
IntValue
|
Int
|
قيمة مفتاح int
|
32
|
مثال
لمفتاح التسجيل: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
العمليات المدعومة
- RegDeleteKey
- RegDeleteValue
- RegRenameKey
- RegSetValue
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
RegDeleteValue
تم حذف قيمة السجل.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
قم بإرجاع المعلومات حول أحداث السجل.
خاصية
|
نوع
|
الوصف
|
مثال
|
Key
|
Path
|
مسار المفتاح، يحتوي على اسم القيمة الخاص بالمفتاح
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
طول قيمة المفتاح
|
16
|
StringValue
|
String
|
قيمة مفتاح السلسلة النصية
|
قيمة المثال
|
IntValue
|
Int
|
قيمة مفتاح int
|
32
|
مثال
لمفتاح التسجيل: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
العمليات المدعومة
- RegDeleteKey
- RegDeleteValue
- RegRenameKey
- RegSetValue
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
RegRenameKey
تمت إعادة تسمية مفتاح التسجيل.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
قم بإرجاع المعلومات حول أحداث السجل.
خاصية
|
نوع
|
الوصف
|
مثال
|
Key
|
Path
|
مسار المفتاح، يحتوي على اسم القيمة الخاص بالمفتاح
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
طول قيمة المفتاح
|
16
|
StringValue
|
String
|
قيمة مفتاح السلسلة النصية
|
قيمة المثال
|
IntValue
|
Int
|
قيمة مفتاح int
|
32
|
مثال
لمفتاح التسجيل: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
العمليات المدعومة
- RegDeleteKey
- RegDeleteValue
- RegRenameKey
- RegSetValue
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
RegSetValue
تم تعديل مفتاح في الريجستري.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
قم بإرجاع المعلومات حول أحداث السجل.
خاصية
|
نوع
|
الوصف
|
مثال
|
Key
|
Path
|
مسار المفتاح، يحتوي على اسم القيمة الخاص بالمفتاح
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
طول قيمة المفتاح
|
16
|
StringValue
|
String
|
قيمة مفتاح السلسلة النصية
|
قيمة المثال
|
IntValue
|
Int
|
قيمة مفتاح int
|
32
|
مثال
لمفتاح التسجيل: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
العمليات المدعومة
- RegDeleteKey
- RegDeleteValue
- RegRenameKey
- RegSetValue
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
RenameFile
تمت إعادة تسمية ملف.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
ScheduledTask
تمت إضافة مهمة مجدولة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
إرجاع المعلومات عن المهمة المجدولة.
خاصية
|
نوع
|
الوصف
|
مثال
|
Boundary
|
Date
|
قيود التوقيت الخاصة بالجدول: البداية/النهاية، والمنطقة الزمنية، ونافذة/قواعد التكرار.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
يشير إلى ما إذا كانت المهمة المجدولة نشطة وسيتم تشغيلها وفقًا لجدولها الزمني.
|
true/false
|
Location
|
String
|
المسار في شجرة أداة الجدولة "Microsoft Task Scheduler" بدءًا من عقدة "Task Scheduler Library"
|
|
Name
|
String
|
اسم المهمة
|
|
Type
|
Symbol
|
نوع عملية المهمة المجدولة
|
القيم المحتملة هي:
|
العمليات المدعومة
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
Scripts
تم تنفيذ برنامج نصي تم كشفه بواسطة AMSI.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
يسمح لك مكون البرامج النصية بإنشاء قواعد استنادًا إلى خصائص البرنامج النصي المُنفَّذ التي تكشفها AMSI.
خاصية
|
نوع
|
الوصف
|
Script
|
String
|
تم استلام البرنامج النصي بواسطة ESET PROTECT عبر تكامل AMSI
|
ScriptLength
|
Int
|
طول البرنامج النصي (عدد الأحرف)
|
ScriptSha1
|
Hash
|
تجزئة SHA1 لجزء البرنامج النصي
|
ScriptSha256
|
Hash
|
تجزئة SHA256 لجزء البرنامج النصي
|
مثال
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
العمليات المدعومة
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
ServiceInstalled
تم تثبيت خدمة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
يتيح لك مكوّن الخدمة إنشاء قواعد استنادًا إلى خصائص خدمات Windows وأحداث التحكم في الخدمة التي تعرضها إدارة التحكم بالخدمات (SCM).
خاصية
|
نوع
|
الوصف
|
مثال
|
LoadType
|
Symbol
|
نوع بدء تشغيل الخدمة
|
القيم المحتملة هي:
- 0—BootLoad
- 1—SystemLoad
- 2—AutoLoad
- 3—ManualLoad
- 4—DisabledLoad
|
Name
|
String
|
اسم الخدمة الداخلي المسجل لدى SCM
|
|
Type
|
Int
|
يشير إلى نوع الخدمة اللي اتسجلت في SCM
|
القيم المحتملة هي:
- 1—DriverType
- 2—FileSystemType
- 4—AdapterType
- 8—RecognizerType
- 16—Win32ServiceOwnProcess
- 32—Win32ServiceShareProcess
- 272—InteractiveOwnProcess
- 288—InteractiveShareProcess
|
العمليات المدعومة
- ServiceInstalled
- ServiceStarted
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
ServiceStarted
تم بدء تشغيل خدمة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
يتيح لك مكوّن الخدمة إنشاء قواعد استنادًا إلى خصائص خدمات Windows وأحداث التحكم في الخدمة التي تعرضها إدارة التحكم بالخدمات (SCM).
خاصية
|
نوع
|
الوصف
|
مثال
|
LoadType
|
Symbol
|
نوع بدء تشغيل الخدمة
|
القيم المحتملة هي:
- 0—BootLoad
- 1—SystemLoad
- 2—AutoLoad
- 3—ManualLoad
- 4—DisabledLoad
|
Name
|
String
|
اسم الخدمة الداخلي المسجل لدى SCM
|
|
Type
|
Int
|
يشير إلى نوع الخدمة اللي اتسجلت في SCM
|
القيم المحتملة هي:
- 1—DriverType
- 2—FileSystemType
- 4—AdapterType
- 8—RecognizerType
- 16—Win32ServiceOwnProcess
- 32—Win32ServiceShareProcess
- 272—InteractiveOwnProcess
- 288—InteractiveShareProcess
|
العمليات المدعومة
- ServiceInstalled
- ServiceStarted
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
SetFileAttribute
تم تعيين سمة ملف.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
FileAttribute يتم الإبلاغ عن أحداثها حاليًا على Linux فقط. يتم تشغيل القاعدة عند تعيين سمة، على سبيل المثال، بواسطة الأمر chmod.
خاصية
|
نوع
|
الوصف
|
مثال
|
Attribute
|
Symbol
|
سمة الملف
|
القيم المحتملة هي:
- 1—SUID
- 2—SGID
- 4—Sticky
- 8—Immutable
- 16—AppendOnly
- 32—Undeletable
- 64—Executable
|
العمليات المدعومة
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
SystemApiCall
تم استدعاء إحدى وظائف النظام.
المكونات المدعومة:
بترجع معلومات عن استدعاءات API.
خاصية
|
نوع
|
الوصف
|
مثال
|
ApiName
|
Symbol
|
اسم واجهة برمجة التطبيقات (API) التي استدعتها العملية
|
القيم المدعومة هي:
- 0—SetWinEventHook
- 1—SetWindowsHookEx
- 2—RegisterRawInputDevices
- 3—GetAsyncKeyState
- 4—UiLimitWriteClipboard
- 5—UiWriteClipboard
- 6—CredEnumerate
- 7—CredReadDomainCredentials
- 8—CredFindBestCredential
- 9—CredBackupCredentials
- 10—CredRead
- 11—CredReadByTokenHandle
- 12—VaultEnumerateCredentials
- 21845—RawSocketCreated1
- 21846—SocketFilterAttached1
|
1 نظام التشغيل Linux فقط:
مثال
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
العمليات المدعومة
|
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
TcpIpAccept
تم قبول اتصال TCP/IP وارد.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع معلومات حول أحداث الشبكة
خاصية
|
نوع
|
الوصف
|
مثال
|
DestinationIpAddressV4
|
Ipv4 العنوان
|
عنوان الوجهة Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 العنوان
|
عنوان الوجهة Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
اسم المضيف الهدف.
مدعوم فقط مع أحداث TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
الاتصال وارد
|
true/false
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان Ipv4 المستهدف للحدث. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان Ipv6 المستهدف للحدث. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
منفذ الهدف TCP/UDP
|
8080
|
Protocol
|
String
|
البروتوكول المستخدم بواسطة الاتصال
|
HTTP, HTTPS، إلخ.
|
SourceIpAddressV4
|
Ipv4 العنوان
|
عنوان المصدر Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 العنوان
|
عنوان المصدر Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
إذا كان الطلب يتضمن عنوان URL (أي طلب HTTP)
مدعوم بطلبات HTTP والاكتشافات.
|
عنوان URL المستهدف
|
مثال
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Detection
- HttpRequest
- TcpIpAccept
- TcpIpConnect
- TcpIpProtocolIdentified
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
TcpIpConnect
تم إجراء اتصال TCP/IP صادر.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع معلومات حول أحداث الشبكة
خاصية
|
نوع
|
الوصف
|
مثال
|
DestinationIpAddressV4
|
Ipv4 العنوان
|
عنوان الوجهة Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 العنوان
|
عنوان الوجهة Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
اسم المضيف الهدف.
مدعوم فقط مع أحداث TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
الاتصال وارد
|
true/false
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان Ipv4 المستهدف للحدث. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان Ipv6 المستهدف للحدث. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
منفذ الهدف TCP/UDP
|
8080
|
Protocol
|
String
|
البروتوكول المستخدم بواسطة الاتصال
|
HTTP, HTTPS، إلخ.
|
SourceIpAddressV4
|
Ipv4 العنوان
|
عنوان المصدر Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 العنوان
|
عنوان المصدر Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
إذا كان الطلب يتضمن عنوان URL (أي طلب HTTP)
مدعوم بطلبات HTTP والاكتشافات.
|
عنوان URL المستهدف
|
مثال
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Detection
- HttpRequest
- TcpIpAccept
- TcpIpConnect
- TcpIpProtocolIdentified
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
TcpIpProtocolIdentified
فوق اتصال TCP/IP، يصف البروتوكول المستخدم.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع معلومات حول أحداث الشبكة
خاصية
|
نوع
|
الوصف
|
مثال
|
DestinationIpAddressV4
|
Ipv4 العنوان
|
عنوان الوجهة Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 العنوان
|
عنوان الوجهة Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
اسم المضيف الهدف.
مدعوم فقط مع أحداث TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
الاتصال وارد
|
true/false
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان Ipv4 المستهدف للحدث. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان Ipv6 المستهدف للحدث. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
منفذ الهدف TCP/UDP
|
8080
|
Protocol
|
String
|
البروتوكول المستخدم بواسطة الاتصال
|
HTTP, HTTPS، إلخ.
|
SourceIpAddressV4
|
Ipv4 العنوان
|
عنوان المصدر Ipv4 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
192.168.0.1، يدعم الأقنعة - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 العنوان
|
عنوان المصدر Ipv6 لاكتشاف جدار الحماية. يدعم الأقنعة.
|
2001:db8:85a3:8d3:1319:8a2e:370:0، يدعم الأقنعة - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
إذا كان الطلب يتضمن عنوان URL (أي طلب HTTP)
مدعوم بطلبات HTTP والاكتشافات.
|
عنوان URL المستهدف
|
مثال
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Detection
- HttpRequest
- TcpIpAccept
- TcpIpConnect
- TcpIpProtocolIdentified
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
TruncateFile
تم اقتطاع ملف.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
UnloadDriver
تم إلغاء تحميل برنامج تشغيل أو وحدة kernel.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
UserActivate
تم تنشيط المستخدم.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
UserAddToGroup
تمت إضافة المستخدم إلى المجموعة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
نفس UserLogonData لكن مع خصائص لبيانات عن المجموعات.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) يقف وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserAddToGroup
- UserRemoveFromGroup
|
UserCreate
تم إنشاء مستخدم جديد.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
UserDisable
تم تعطيل المستخدم.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
UserLogin
قام المستخدم بتسجيل الدخول.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
الأحداث المتعلقة بأنشطة المستخدم (إنشاء مستخدم، تسجيل الدخول، ...)، ومعلومات عن تلك الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
Hostname
|
String
|
اسم الجهاز الذي تمت منه محاولة تسجيل الدخول
|
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان IPv4 للجهاز الذي تمت محاولة تسجيل الدخول منه
|
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان IPv6 للجهاز اللي اتعملت منه محاولة تسجيل الدخول
|
|
LogonType
|
Symbol
|
نوع تسجيل الدخول
|
القيم المحتملة هي:
- 0—Unknown
- 2—Interactive
- 3—Network
- 4—Batch
- 5—Service
- 7—Unlock
- 8—NetworkCleartext
- 9—NewCredentials
- 10—RemoteInteractive
- 11—CachedInteractive
- 12—CachedRemoteInteractive
|
Port
|
Int
|
منفذ المصدر الذي تم استخدامه لمحاولة تسجيل الدخول من جهاز بعيد
|
|
العمليات المدعومة
|
UserLogout
قام المستخدم بتسجيل الخروج.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
الأحداث المتعلقة بأنشطة المستخدم (إنشاء مستخدم، تسجيل الدخول، ...)، ومعلومات عن تلك الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
Hostname
|
String
|
اسم الجهاز الذي تمت منه محاولة تسجيل الدخول
|
|
IpAddressV4
|
Ipv4 العنوان
|
عنوان IPv4 للجهاز الذي تمت محاولة تسجيل الدخول منه
|
|
IpAddressV6
|
Ipv6 العنوان
|
عنوان IPv6 للجهاز اللي اتعملت منه محاولة تسجيل الدخول
|
|
LogonType
|
Symbol
|
نوع تسجيل الدخول
|
القيم المحتملة هي:
- 0—Unknown
- 2—Interactive
- 3—Network
- 4—Batch
- 5—Service
- 7—Unlock
- 8—NetworkCleartext
- 9—NewCredentials
- 10—RemoteInteractive
- 11—CachedInteractive
- 12—CachedRemoteInteractive
|
Port
|
Int
|
منفذ المصدر الذي تم استخدامه لمحاولة تسجيل الدخول من جهاز بعيد
|
|
العمليات المدعومة
|
UserRemove
تمت إزالة المستخدم.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
UserRemoveFromGroup
تمت إزالة المستخدم من المجموعة.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف الحساب SID) وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
المستخدم الذي تم استهدافه.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) اللي وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserActivate
- UserAddToGroup
- UserCreate
- UserDisable
- UserLogin
- UserLogout
- UserRemove
- UserRemoveFromGroup
|
نفس UserLogonData لكن مع خصائص لبيانات عن المجموعات.
خاصية
|
نوع
|
الوصف
|
مثال
|
Sid
|
String
|
أي مستخدم (معرّف أمان الحساب SID) يقف وراء الحدث المحدد
|
|
SidNameUse
|
Symbol
|
أي مجموعة (نوع الـ SID بتاعها) وراء الحدث ده
|
المجموعات هي:
- 1—User
- 2—Group
- 3—Domain
- 4—Alias
- 5—WellKnownGroup
- 6—DeletedAccount
- 7—Invalid
- 8—Unknown
- 9—Computer
- 10—Label
- 11—LogonSession
|
UserName
|
String
|
أي مستخدم (اسم الحساب) يقف وراء الحدث المحدد
|
|
العمليات المدعومة
- UserAddToGroup
- UserRemoveFromGroup
|
VirtualDiskMounted
تم تنفيذ حدث من VirtualDiskMount.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
WmiExecution
تم تشغيل حدث تنفيذ Windows Management Instrumentation.
المكونات المدعومة:
ClientEnterprise متاح فقط بالاشتراك مع عمليتَي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت بالفعل أسلوب Windows Management Instrumentation.
العمليات المدعومة
|
ClientFileItem متاح فقط بالاقتران مع عمليتَي WmiExecution وWmiQuery، اللي ليها عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف بدون امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
بيشتغل لو العملية اتنفذت بواسطة الملف على نفسه (ده شائع إن البرمجيات الخبيثة تحذف نفسها)
|
true/false
|
العمليات المدعومة
|
ClientLiveGrid متاح فقط بالاقتران مع عمليتي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل أسبوع، أو شهر، أو نصف عام، أو عام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما كانت أعلى، كل ما زادت الثقة فيها
|
القيم المحتملة هي:
- 9، 8 — موثوق
- 7، 6 - حسنًا
- 5، 4 - خطر
- 3—PUA، غير معروف (غير مرئي بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي رصد عليها ESET LiveGrid ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما بتتعداش شعبية 1000 لحد ما يتم اكتشافها.
|
|
العمليات المدعومة
|
ClientModule متاح بس بالاقتران مع عمليتَي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا طريقة Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة من محرك التعلم الآلي الخاص بـ ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة التي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف كحالة "nearmiss" (شبه إصابة).
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون النتيجة من النتائج الإيجابية الخاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (لو تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف اللي بيتعرض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه من خلال RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O قابل للتنفيذ ومحمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرف المطور الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يتم توزيع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبل الأجهزة
- 80—Valid—التوقيع موثوق به من نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفق بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا يوجد إدراج في القائمة البيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك نوصي باستخدام القيمة isnotempty أو isempty للشرط.
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
|
ClientProcessInfo متاح فقط بالاقتران مع عمليات WmiExecution وWmiQuery وCodeInjection، اللي ليها عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية من العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد الحد الأدنى لدرجة الخطورة من خلال سياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
العمليات المدعومة
- Codeinjection
- WmiExecution
- WmiQuery
|
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
حدث تنفيذ Windows Management Instrumentation بيحصل بس لما يتم استدعاء أسلوب Windows Management Instrumentation، Win32_process.create().
خاصية
|
نوع
|
الوصف
|
ClassName
|
String
|
فئة تحتوي على طريقة مُشغَّلة
|
ClientMachineFQDN
|
String
|
اسم المجال المؤهل بالكامل لجهاز العميل
|
CommandLine
|
String
|
سطر أوامر يتم إرساله إلى دالة كقائمة من الوسائط
|
IsLocal
|
Bool
|
يحدد ما إذا كان قد تم استدعاء الأسلوب محليًا أو عن بُعد
|
MethodName
|
String
|
طريقة تم تشغيلها
|
مثال
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
العمليات المدعومة
|
WmiPersistence
يتم إنشاء الحدث عندما يرتبط المستهلك بفلتر.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
يتم إنشاء الحدث عندما يرتبط المستهلك بفلتر.
خاصية
|
نوع
|
الوصف
|
EventConsumerName
|
String
|
اسم المستهلك الذي يؤدي إلى تشغيل إجراء عند وصول حدث معين
|
EventFilterName
|
String
|
اسم الـ EventFilter المستخدم
|
Handler
|
String
|
سطر الأوامر اللي نفّذه مستهلك الأحداث
|
Query
|
String
|
استعلام في عامل تصفية أحداث يلتقط الأحداث التي ينبغي أن تنفّذ إجراءً
|
TriggeringUserName
|
String
|
اسم المستخدم الذي شغّل حدثًا تطابق مع أحد الفلاتر
|
TriggeringUserSid
|
String
|
تشغيل معرف الأمان الخاص بالمستخدم
|
TriggeringUserSidNameUse
|
Int
|
تشغيل نوع SID الخاص بالمستخدم
|
مثال
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
العمليات المدعومة
|
WmiQuery
تم تنفيذ استعلام Windows Management Instrumentation على جهاز كمبيوتر.
المكونات المدعومة:
ClientEnterprise متاح فقط بالاشتراك مع عمليتَي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت بالفعل أسلوب Windows Management Instrumentation.
العمليات المدعومة
|
ClientFileItem متاح فقط بالاقتران مع عمليتَي WmiExecution وWmiQuery، اللي ليها عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف بدون امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
بيشتغل لو العملية اتنفذت بواسطة الملف على نفسه (ده شائع إن البرمجيات الخبيثة تحذف نفسها)
|
true/false
|
العمليات المدعومة
|
ClientLiveGrid متاح فقط بالاقتران مع عمليتي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
Age
|
Int
|
عدد الأيام منذ ظهور الملف القابل للتنفيذ لأول مرة في ESET LiveGrid®. يتم تقريب الرقم إلى ما يعادل أسبوع، أو شهر، أو نصف عام، أو عام، وما إلى ذلك.
|
|
Reputation
|
Int
|
الرقم الموجود على مقياس السمعة. كل ما كانت أعلى، كل ما زادت الثقة فيها
|
القيم المحتملة هي:
- 9، 8 — موثوق
- 7، 6 - حسنًا
- 5، 4 - خطر
- 3—PUA، غير معروف (غير مرئي بواسطة ESET LiveGrid)
- 2، 1 - البرامج الضارة
|
Popularity
|
Int
|
عدد أجهزة الكمبيوتر التي رصد عليها ESET LiveGrid ملفًا تنفيذيًا. بيتم تقريبها لأرقام زي 10، 100، 1000، 10000، إلخ. البرامج الضارة عادةً ما بتتعداش شعبية 1000 لحد ما يتم اكتشافها.
|
|
العمليات المدعومة
|
ClientModule متاح بس بالاقتران مع عمليتَي WmiExecution وWmiQuery، اللي ليهم عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا طريقة Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
AugurScore
|
Int
|
رقم النتيجة من محرك التعلم الآلي الخاص بـ ESET. القيم المحتملة هي من 0 إلى 99
|
67
|
CompanyName
|
String
|
من معلومات الإصدار، اسم الشركة التي أنتجت الملف
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
عدد الأيام منذ أن تم التعرف على الملف كحالة "nearmiss" (شبه إصابة).
Nearmiss — يتم تشغيل الاكتشاف بسبب برنامج ضار، لكن قد تكون النتيجة من النتائج الإيجابية الخاطئة (لا يمكننا ضمان أنه برنامج ضار)
|
|
EmulationStatus
|
Int
|
حالة محاكاة الملف (لو تمت محاكاة الملف بواسطة أساليب الاستدلال المتقدمة)
|
0 — لم تتم محاكاته
1- تمت محاكاته
|
FileDescription
|
String
|
من معلومات الإصدار، وصف الملف اللي بيتعرض للمستخدمين
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
ملف تم تسليمه من خلال RDP
|
القيم المحتملة هي:
0—RDP
|
FileSize
|
Int
|
حجم الملف بالبايت
|
41984
|
FileVersion
|
String
|
من معلومات الإصدار، رقم إصدار الملف
|
"10.0.14393.0"
|
InternalName
|
String
|
من معلومات الإصدار، الاسم الداخلي للملف
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
الملف عبارة عن ملف DLL من نوع PE
|
true/false
|
IsElf
|
Bool
|
الملف ده ملف ELF
|
true/false
|
IsExe
|
Bool
|
الملف ده ملف تنفيذي
|
true/false
|
IsMacho
|
Bool
|
يحدد ما إذا كان الملف هو ملف Mach-O (macOS) أم لا
|
true/false
|
IsNative
|
Bool
|
الملف عبارة عن ملف PE تنفيذي أصلي
|
true/false
|
isPe
|
Bool
|
الملف ده ملف تنفيذي بنظام Windows
|
true/false
|
MD5
|
Hash
|
md5 تجزئة الملف القابل للتنفيذ
|
|
MachoIsProtected
|
Bool
|
الوحدة عبارة عن ملف Mach-O قابل للتنفيذ ومحمي
|
|
MachoSignatureId
|
String
|
معرف ملف Mach-O الموجود في التوقيع
|
"com.apple.ls"
|
MachoSignerCns
|
مجموعة من السلاسل النصية
|
مجموعة الأسماء الشائعة من الشهادات في ملف Mach-O
|
|
MachoUserId
|
String
|
معرف المطور الفريد المخصص من Apple
|
|
OriginalFileName
|
String
|
من معلومات الإصدار، الاسم الأصلي للملف
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
اسم ضاغط الفيروسات
|
"UPX"
|
ProductName
|
String
|
من معلومات الإصدار، اسم المنتج الذي يتم توزيع الملف معه
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
من معلومات الإصدار، رقم إصدار المنتج الذي يتم توزيع الملف معه
|
"10.0.14393"
|
SFXName
|
String
|
اسم ضاغط الفيروسات sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 تجزئة الملف القابل للتنفيذ
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
تجزئة sha256 للملف القابل للتنفيذ
|
|
SignatureType
|
Symbol
|
نوع توقيع الملف التنفيذي
|
القيم المحتملة هي:
- 90—Trusted—التوقيع موثوق به من قِبل الأجهزة
- 80—Valid—التوقيع موثوق به من نظام التشغيل
- 75—Adhoc—الشهادة موقّعة ذاتيًا
- 70—None—مفيش توقيع في الملف
- 60—Invalid—التوقيع غير صالح/تالف/تم إبطاله
- 50—Present—التوقيع موجود، لكن حالة الشهادة غير معروفة
- 50—Unknown—فشل التحقق من الشهادة
|
SignerName
|
String
|
اسم الموقّع، إن وجد
|
"Microsoft Windows"
|
Tags
|
String
|
يسمح للمستخدم بالتصفية حسب وحدة مرفق بها علامة محددة
|
|
Whitelist
|
Symbol
|
نوع القائمة البيضاء للملف التنفيذي
|
القيم المحتملة هي:
- 0—None—لا يوجد إدراج في القائمة البيضاء لهذا الملف
- 1—Authoritative—تم إدراج الملف في القائمة البيضاء بواسطة الأجهزة
- 2—LiveGrid—الملف مدرج في القائمة البيضاء من ESET LiveGrid
- 3—Certificate—شهادة الملف مدرجة في القائمة البيضاء
|
|
|
1أسماء ضواغط الفيروسات قد تتغير في المستقبل. لذلك نوصي باستخدام القيمة isnotempty أو isempty للشرط.
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
|
ClientProcessInfo متاح فقط بالاقتران مع عمليات WmiExecution وWmiQuery وCodeInjection، اللي ليها عملية عميل. عملية العميل هي العملية التي نفّذت فعليًا أسلوب Windows Management Instrumentation.
خاصية
|
نوع
|
الوصف
|
مثال
|
CaseSensitiveCommandLine
|
String
|
يسمح بإنشاء قواعد لسطر الأوامر تكون حساسة لحالة الأحرف
|
|
CommandLine
|
String
|
سطر أوامر العملية
|
file.txt
|
CommandLineLength
|
Int
|
طول سطر الأوامر
|
123
|
Compromised
|
Bool
|
تم وضع علامة على العملية على أنها مخترقة بقاعدة تحتوي على إجراء MarkAsCompromised
|
true/false أو 1/0
|
IntegrityLevel
|
Symbol
|
مستوى تكامل العملية
|
القيم المحتملة هي:
- 0—Untrusted
- 4096—Low
- 8192—Medium
- 12288—High
- 16384—System
- 20480—Protected process
|
LnkPath
|
String
|
يحتوي على مسار لتنفيذ اختصار
|
|
ProcessDistance
|
Int
|
مسافة العملية من العملية الحالية
|
123
|
ProcessLevel
|
Int
|
عمق العملية في التسلسل الهرمي للعمليات
|
123
|
ProcessOwner
|
String
|
المستخدم الذي أنشأ العملية
|
|
RiskScore
|
Int
|
يتم تتبع النتيجة لكل عملية على الأجهزة. يمكنك استخدام الإجراءات IncreaseParentRiskScore أو IncreaseRiskScore لزيادة القيمة بمقدار محدد. لما يتم الوصول لحد درجة المخاطر، يتم تشغيل إجراء KillParentProcess أو KillProcess. يمكنك تحديد الحد الأدنى لدرجة الخطورة من خلال سياسة > ESET Inspect Connector > الإعدادات المتقدمة. تتم إعادة تعيين درجة المخاطر بعد فترة زمنية معينة، وهي 6 ساعات بشكل افتراضي.
|
1000
|
العمليات المدعومة
- Codeinjection
- WmiExecution
- WmiQuery
|
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
بتحصل أحداث استعلام Windows Management Instrumentation لما مستخدم أو خدمة يشغّل استعلام على النظام.
خاصية
|
نوع
|
الوصف
|
ClientMachineFQDN
|
String
|
اسم المجال المؤهل بالكامل لجهاز العميل
|
IsLocal
|
Bool
|
إذا كانت القيمة false، فهذا يعني أنه تم استدعاء استعلام من جهاز بعيد (على سبيل المثال، باستخدام WbemTest)
|
Query
|
String
|
تم تشغيل استعلام في أحد الأنظمة
|
مثال
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
العمليات المدعومة
|
WriteFile
تمت الكتابة في ملف.
المكونات المدعومة:
بيسمح لك تكتب قواعد يتم تشغيلها في وقت محدد بس.
خاصية
|
نوع
|
الوصف
|
مثال
|
DayOfWeek
|
Int
|
تشغيل القاعدة في أيام معينة من الأسبوع فقط
|
القيم المحتملة هي:
- 2—Tuesday
- 3—Wednesday
- 4—Thursday
- 5—Friday
- 6—Saturday
|
Hour
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط. القيم المحتملة هي من 0 إلى 23
|
12
|
Minute
|
Int
|
شغّل القاعدة في أوقات معينة من اليوم فقط.
القيم المحتملة هي من 0 إلى 59
|
30
|
مثال
يتم تشغيل هذه القاعدة في كل مرة يتم فيها فتح برنامج Notepad من الاثنين إلى الجمعة بين الساعة 9 صباحًا و5 مساءً.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
العمليات المدعومة
مكوّن DateTime مدعوم من كل العمليات.
|
يوفر معلومات حول الموصل.
خاصية
|
نوع
|
الوصف
|
مثال
|
VersionString
|
String
|
سلسلة إصدار الموصل.
|
1.9.2385
|
VersionMajor
|
Int
|
الإصدار الرئيسي من الموصل.
|
1
|
VersionMinor
|
Int
|
الإصدار الثانوي من الموصل.
|
9
|
BuildNumber
|
Int
|
رقم إصدار الـ Connector.
|
2385
|
العمليات المدعومة
EnterpriseInspector المكوّن مدعوم من جميع العمليات.
|
إرجاع المعلومات الخاصة بالملف الحالي
خاصية
|
نوع
|
الوصف
|
مثال
|
ADS
|
String
|
جزء ADS من المسار
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
امتداد الملف
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
اسم الملف مع امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
اسم الملف من غير امتداد الملف
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
مسار الملف بما في ذلك اسم الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
طول الاسم
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
مسار الملف
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
يتم التشغيل إذا تمت العملية بواسطة الملف على نفسه (من الشائع أن تحذف البرامج الضارة نفسها)
|
true/false
|
ملف الكاناري
خصائص المسار فيها متغير خاص لملفات الكاناري. القيمة اللي بتحدد المسار لملف الكاناري هي %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
العمليات المدعومة
- Codeinjection
- CreateNamedPipe
- CreateProcess
- DeleteFile
- LoadDLL
- LoadDriver
- ModuleDrop
- OpenProcess
- ReadFile
- RenameFile
- ScheduledTaskAdded
- ServiceInstalled
- ServiceStarted
- SetFileAttribute
- TruncateFile
- UnloadDriver
- VirtualDiskMounted
- WmiExecution
- WriteFile
|
معلومات عن النظام اللي جاية منه الأحداث.
خاصية
|
نوع
|
الوصف
|
مثال
|
isServer
|
Bool
|
يشير إلى ما إذا كان النظام عبارة عن خادم
|
خطأ — ليس خادمًا
صح—سيرفر
|
SystemArchitecture
|
Symbol
|
نوع بنية النظام
|
لمطابقة بنية 32 بت، استخدم واحدًا مما يلي:
لمطابقة بنية 64 بت، استخدم واحدًا مما يلي:
- 64
- x64
- 64bit
- amd64
- x86-64
- 1
|
SystemType
|
Symbol
|
ما نوع نظام التشغيل الذي أدى إلى تشغيل الحدث
|
لمطابقة نظام Windows، استخدم أحد الخيارات التالية:
عشان يتطابق مع نظام MacOS، استخدم واحد من الخيارات دي:
لمطابقة نظام Linux، استخدم ما يلي:
|
SystemVersion
|
String
|
إصدار النظام بالكامل مع الأرقام الرئيسية والثانوية
|
|
Tags
|
مجموعة من السلاسل النصية
|
العلامات المخصصة لهذا النظام المحدد
|
|
الشروط المدعومة لأنواع المجموعات (مجموعة عناوين IPv4، مجموعة عناوين IPv6، مجموعة السلاسل، مجموعة الرموز) مذكورة في جدول أنواع الخصائص & العلاقات تحت مجموعة القيم.
العمليات المدعومة
مكوّن SystemInfo مدعوم في كل العمليات.
|
|
|
الإصدارات الأقدم من Windows مابتنتجش أحداث Windows Management Instrumentation. الوظيفة دي متاحة من الإصدار 1803 من Windows 10.
بعض الأحداث بتوفر معلومات جزئية بس:
- أحداث الكتابة على الملفات—أول تغيير في الملف بس هو اللي بيتسجل (ده لكل عملية. لو عمليتين غيّروا نفس الملف، التغييرين الاتنين بيتسجلوا)
- الأحداث المتعلقة بالسجل—يتم تسجيل أول تغيير لمفتاح السجل فقط (أول مرة من خلال عملية)
- DLLLoad - يتم تسجيل ملفات DLL غير المُدرجة في القائمة البيضاء لبرنامج مكافحة الفيروسات (AV) فقط
- أحداث TcpIp - يتم تسجيل أول اتصال بس (أول مرة من عملية معينة)
- أحداث Http - يتم تسجيل الطلب الأول فقط (أول مرة من جانب العملية)
- ModuleDrop (المعروف كمان باسم PEDrop) — بيتم الإبلاغ عنه بس عند أول إسقاط لوحدة معينة (أول مرة على الكمبيوتر)
- AmsiTriggerEvent—يتم تسجيل أول عملية تنفيذ فقط (أول مرة على الكمبيوتر)
|
