ESET PROTECT – جدول المحتويات

بنية القاعدة

روابط سريعة: <definition> , <operations>, <description>, <actions>

القاعدة هي مجموعة من التعبيرات المُعرَّفة باستخدام لغة قائمة على XML. ESET PROTECT تحتوي وحدة التحكم على شبكة الإنترنت على مجموعة قواعد محددة مسبقًا، لكن يمكنك إضافة قواعدك الخاصة وتحريرها.

الهيكل العام لجسم القاعدة هو:

Definition العلامة

ancestor—ممكن تاخد سمة إضافية:

  • distance—بيحدد المسافة الفعلية من العملية الحالية للعملية السلف اللي بتتم مطابقتها، على سبيل المثال.، 1 هي العملية الأصل، 2 الجد، إلخ. في حالة عدم التحديد، تتم مطابقة الخاصية مع جميع أسلاف العملية.
  • unique—بيسمح لعلامة السلف إنها تشيل العمليات المكررة في شجرة الأسلاف. على سبيل المثال، البرنامج الضار بينشئ نسخ متعددة من نفس العملية علشان يتجنب الاكتشاف (explorer > cmd > cmd > cmd > malware)، والسمة دي هتتخلص من التكرارات دي (explorer > cmd > malware).

Process وparentprocess

جزء process بيسمح لمهندسي الأمان إنهم يحصروا الأحداث في عملية معينة؛ وعشان كده تقدر تكتب قواعد زي "Outlook ينشئ ملف EXE". لو عنصر العملية فاضي، يتم تقييم parentprocess وoperations لكل العمليات.

الجزء parentprocess مشابه للعملية، لكنه يسمح لمهندسي الأمن باختبار سمات العملية الأصل. ده بيتيح قواعد زي "PowerShell، اللي بدأه Word، بيتصل بالإنترنت".

process وparentprocess وancestor وoperation بيستخدموا عنصر تعبير لوصف تعبير منطقي يتم تقييمه للتحقق مما إذا كان لازم يتم تشغيل الاكتشاف. يتكون التعبير من الشروط والعوامل المنطقية. يتحقق الشرط من قيمة خاصية معينة، وتقوم العوامل المنطقية بتجميع هذه الشروط في تعبيرات منطقية.

مثال على التعبير:

Operations

الجزء operations بيحدد العمليات اللي بتنفذها العملية (process) واللي بترفع المؤشر. إذا كان فارغًا، يتم تشغيل المؤشر عندما تنشئ العملية حدثًا.

يتم تعريف العمليات باستخدام عنصر operation مع سمة type وعنصر expression.

<operation type="WriteFile">Expression</operation>

للحصول على القائمة الكاملة بالعمليات المدعومة، راجع موضوع العمليات.

Operator

العوامل المنطقية المدعومة هي: AND، OR، وNOT. يمكن تداخل العوامل المنطقية. لذلك، يمكن أن يكون المعامل المنطقي وسيطًا لمعامل منطقي آخر. بخلاف العوامل المنطقية، يمكن استخدام عنصر الشرط كوسيطة للعوامل المنطقية. تقدر تستخدم علامة المُشغِّل زي ما هو موضح في المثال ده:

تتكون عناصر الشرط من ثلاثة أجزاء:

  • خاصية وسيطة العملية أو المعالجة.
  • قيمة محددة من قِبل مؤلف القاعدة.
  • العلاقة بين القيمة والخاصية.

يتم تجميع الخصائص بشكل هرمي في "مكونات".

فيه ثلاث مستويات من الخطورة: 1–39 > Info، و40–69 > Warning، و70–100 > Threat.

أنواع الخصائص وعلاقاتها (سمات الشرط) هي:

 

is(not)set

is(not)

is(not)empty

(not)starts

(not)contains

(not)ends

less, lessOrEqual, greater, greaterOrEqual

String

✔

✔

✔

✔

✔

✔

 

Int

✔

✔

 

 

✔

 

✔

Value

✔

✔

✔

 

 

 

 

Bool

✔

✔

 

 

 

 

 

Date

✔

✔

 

 

 

 

✔

مجموعة من السلاسل النصية

✔

 

✔

 

✔

 

 

عنوان IPv4

✔

✔

✔

 

 

 

 

عنوان IPv6

✔

✔

✔

 

 

 

 

مجموعة عناوين IPv4

✔

 

✔

 

✔

 

 

مجموعة عناوين IPv6

✔

 

✔

 

✔

 

 

Description العلامة

الوصف إلزامي ولازم يحتوي على اسم وفئة، لكن الباقي اختياري. من المفيد تعريف الحقول المذكورة أدناه لأنها تظهر في التفاصيل:

name - اسم القاعدة. بيظهر في قائمة القواعد.

category—بيسمح لك إنك تصنّف القواعد. يمكنك تحديد الفئات الخاصة بك.

explanation—يوضّح سبب تفعيل القاعدة.

os—يحتوي على نظام التشغيل الذي تنطبق عليه القاعدة. القيم المحتملة هي: Windows, Linux, OSX, ANY.

mitreattackid—يحتوي على معرّف MITRE ATT&CK®.

maliciousCauses—يوضح الأسباب الضارة للحدث أو التغيير اللي أدى لتشغيل القاعدة.

benignCauses—يوضح الأسباب غير الضارة للحدث أو التغيير اللي أدى لتشغيل القاعدة.

recommendedActions—بيوصف الإجراءات الموصى بيها اللي لازم مهندسو الأمن ياخدوها.

guid—تُستخدم للقواعد الداخلية. القواعد الخارجية بيتم إنشاء معرّف GUID ليها تلقائيًا. بيُستخدم لتحديد القواعد بشكل فريد أثناء التصدير/الاستيراد.

maliciousTarget العلامة

يمكنك استخدام علامة maliciousTarget لتحديد الهدف الذي سيتأثر بإجراءات الاستجابة المخصصة بشكل افتراضي. على سبيل المثال، لما تختار حظر الملف القابل للتنفيذ، التغييرات بتعتمد على maliciousTarget. ما بيغيرش سلوك علامة الإجراءات. القيم المحتملة هي current وmodule وnone وparent.

تم استبدال العلامة maliciousProcess بالعلامة maliciousTarget. لسه في الدعم القديم، لكن إحنا بننصح باستخدام العلامة maliciousTarget.

Actions العلامة

تسمح لك علامة الإجراءات (Actions) بتحديد مجموعة من الإجراءات التي يتم تنفيذها عند تشغيل القاعدة.

تقدر تحط الإجراءات في عنصر إجراء واحد:

<action name="BlockProcessExecutable"/>

أو قم بتجميع عناصر action متعددة في عنصر actions واحد (كما هو موضح في المثال التالي):

يمكن تشغيل إجراءات متعددة من قاعدة واحدة.