Část operations definuje, které operace prováděné procesem vyvolávají indikátor. Pokud je prázdný, indikátor se spustí, když proces vygeneruje událost.
Operace jsou definovány pomocí elementu operation s atributem type a elementem expression.
<operation type="WriteFile">Expression</operation>
Následující komponenty jsou podporovány všemi operacemi.
•
Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
BitsJobAddFile
Do úlohy služby BITS byl přidán soubor.
Podporované komponenty:
• BitsJobAddFile
Vrátí informace o úloze služby BITS.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
FileCount
|
Int
|
Počet souborů přidaných k úloze.
|
1
|
JobTitle
|
String
|
Zobrazovaný název úlohy služby BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Lokální cílová cesta k souboru.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
Zdrojová URL nebo vzdálená cesta k souboru.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Která skupina (její typ SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Účet, který úlohu vlastní nebo vytvořil.
|
|
UserSid
|
String
|
Bezpečnostní identifikátor (SID) účtu.
|
|
Podporované operace
•BitsJobAddFile |
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
CodeInjection
Proces byl vystaven určité formě injektáže kódu.
Podporované komponenty:
• ClientProcessInfo
ClientProcessInfo je k dispozici pouze v kombinaci s operacemi WmiExecution, WmiQuery a CodeInjection, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Při dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
Podporované operace
•Codeinjection
•WmiExecution
•WmiQuery |
• Informace o injekci kódu
U událostí CodeInjection hlásí informace týkající se použité techniky injektáže kódu.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CodeInjectionType
|
Symbol
|
Použitá technika vkládání kódu
|
Možné hodnoty jsou:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Podporované operace
•CodeInjection |
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• Enterprise
Poskytuje statistické informace o modulech ve sledované síti.
Podporované operace
•CreateProcess
•Načíst DLL
•Injekce kódu
•Vypuštění modulu |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ESET LiveGrid®
ESET LiveGrid je preventivní systém, který shromažďuje informace o hrozbách od uživatelů po celém světě. Databáze ESET LiveGrid® obsahuje reputační informace o potenciálních hrozbách. Reputace spustitelných souborů vám pomáhá filtrovat výsledky pravidel.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezaznamenaná v ESET LiveGrid)
•2, 1 – Škodlivý software |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán tento spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není detekován.
|
|
|
|
U nových spustitelných souborů se nelze spoléhat na hodnoty ESET LiveGrid. I ten nejoblíbenější a nejdůvěryhodnější spustitelný soubor (např. instalační program nové verze prohlížeče Google Chrome) má po určitou dobu od svého vydání nízkou popularitu a neznámou pověst.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vrátit informace o aktuálním modulu
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre generované modulem strojového učení ESET. Možné hodnoty: 0 až 99
|
67
|
CompanyName
|
String
|
Z informací o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že se jedná o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Z informací o verzi, popis souboru zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0—RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informace o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je PE DLL knihovna
|
true/false
|
IsElf
|
Bool
|
Soubor je typu ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda je soubor souborem Mach-O (macOS), nebo ne
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor systému Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informací o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informací o verzi, číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted– podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je pro operační systém důvěryhodný
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present – podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených pro spustitelný soubor
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor je přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je na seznamu povolených ze systému ESET LiveGrid
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro tuto podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• Informace o procesu
Vrátí informace o aktuálním procesu.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí MarkAsCompromised
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vrátí informace o aktuálním procesu služby.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
CreateNamedPipe
Byla vytvořena pojmenovaná roura.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
CreateProcess
Byl vytvořen proces.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• Enterprise
Poskytuje statistické informace o modulech ve sledované síti.
Podporované operace
•CreateProcess
•Načíst DLL
•Injekce kódu
•Vypuštění modulu |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ESET LiveGrid®
ESET LiveGrid je preventivní systém, který shromažďuje informace o hrozbách od uživatelů po celém světě. Databáze ESET LiveGrid® obsahuje reputační informace o potenciálních hrozbách. Reputace spustitelných souborů vám pomáhá filtrovat výsledky pravidel.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezaznamenaná v ESET LiveGrid)
•2, 1 – Škodlivý software |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán tento spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není detekován.
|
|
|
|
U nových spustitelných souborů se nelze spoléhat na hodnoty ESET LiveGrid. I ten nejoblíbenější a nejdůvěryhodnější spustitelný soubor (např. instalační program nové verze prohlížeče Google Chrome) má po určitou dobu od svého vydání nízkou popularitu a neznámou pověst.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vrátit informace o aktuálním modulu
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre generované modulem strojového učení ESET. Možné hodnoty: 0 až 99
|
67
|
CompanyName
|
String
|
Z informací o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že se jedná o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Z informací o verzi, popis souboru zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0—RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informace o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je PE DLL knihovna
|
true/false
|
IsElf
|
Bool
|
Soubor je typu ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda je soubor souborem Mach-O (macOS), nebo ne
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor systému Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informací o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informací o verzi, číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted– podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je pro operační systém důvěryhodný
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present – podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených pro spustitelný soubor
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor je přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je na seznamu povolených ze systému ESET LiveGrid
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro tuto podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Vrátí informace o aktuálním procesu.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí MarkAsCompromised
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vrátí informace o aktuálním procesu služby.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
DeleteFile
Soubor byl odstraněn.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
DeleteVolumeShadowCopy
Byla odstraněna stínová kopie svazku.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• VolumeShadowCopyInfo
Vrátí informace o vytvoření stínové kopie a existujících zálohovacích snímcích.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
OriginalVolumeName
|
String
|
Název svazku, který byl stínově zkopírován
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Název zařízení obsahujícího svazek originálu
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Název zprostředkovatele použitého k vytvoření stínové kopie
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Název systému poskytujícího službu stínové kopie (obvykle stejný jako počítač, na kterém záloha vznikla, v případě místních záloh)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Cesta k zařízení, která představuje snímek svazku. Cestu k objektu zařízení si lze představit jako kořen stínové kopie svazku. Žadatelé budou tento název zařízení používat při přístupu k souborům na stínově zkopírovaném svazku, se kterým potřebují pracovat.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Podporované operace
•DeleteVolumeShadowCopy |
DnsRequest
Byl proveden DNS požadavek (obvykle IP > doména, doména > IP).
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DnsInfo
DnsInfo s následujícími vlastnostmi:
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DnsQuery
|
String
|
Dotaz DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
Délka dotazu DNS
|
100
|
DnsResponseIpAddressV4
|
Sada IPv4 adres
|
Záznamy A v odpovědi DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Sada IPv6 adres
|
Záznamy AAAA v odpovědi DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Sada řetězců
|
Záznamy NS, CNAME, PTR nebo TXT v odpovědi DNS
|
mobile-google.com
|
DnsResponseType
|
Sada symbolů
|
Typy záznamů přítomných v odpovědi DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
Celková délka odpovědi DNS
|
100
|
Pro vlastnost DnsResponseType je předdefinován rozsah hodnot, které lze použít (nerozlišuje se velikost písmen):
Další informace o hodnotách DnsResponseType naleznete v tématu TYPY záznamů o prostředku (RR).
Podmínky podporované pro typy sad (Sada IPv4 adres, Sada IPv6 adres, Sada řetězců, Sada symbolů) jsou uvedeny v tabulce Typy vlastností & vztahy pod sadou hodnot.
Příklad
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Podporované operace
•DnsRequest |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
HttpRequest
Byl podán požadavek HTTP.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Síť
Vrátit informace o síťových událostech
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DestinationIpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 adresa
|
Cílová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Název cílového hostitele.
Je podporováno pouze u událostí protokolu TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Jedná se o příchozí spojení
|
true/false
|
IpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa události. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
IpAddressV6
|
Ipv6 adresa
|
Cílová adresa Ipv6 události. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Cílový TCP/UDP port
|
8080
|
Protocol
|
String
|
Protokol použitý při připojení
|
HTTP, HTTPS atd.
|
SourceIpAddressV4
|
Ipv4 adresa
|
Zdrojová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 adresa
|
Zdrojová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Pokud požadavek obsahoval URL (tj. HTTP požadavek)
Je podporováno u HTTP požadavků a detekcí.
|
Cílová adresa URL
|
Příklad
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podporované operace
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
LoadDLL
Byla načtena knihovna DLL.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• Enterprise
Poskytuje statistické informace o modulech ve sledované síti.
Podporované operace
•CreateProcess
•Načíst DLL
•Injekce kódu
•Vypuštění modulu |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ESET LiveGrid®
ESET LiveGrid je preventivní systém, který shromažďuje informace o hrozbách od uživatelů po celém světě. Databáze ESET LiveGrid® obsahuje reputační informace o potenciálních hrozbách. Reputace spustitelných souborů vám pomáhá filtrovat výsledky pravidel.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezaznamenaná v ESET LiveGrid)
•2, 1 – Škodlivý software |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán tento spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není detekován.
|
|
|
|
U nových spustitelných souborů se nelze spoléhat na hodnoty ESET LiveGrid. I ten nejoblíbenější a nejdůvěryhodnější spustitelný soubor (např. instalační program nové verze prohlížeče Google Chrome) má po určitou dobu od svého vydání nízkou popularitu a neznámou pověst.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vrátit informace o aktuálním modulu
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre generované modulem strojového učení ESET. Možné hodnoty: 0 až 99
|
67
|
CompanyName
|
String
|
Z informací o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že se jedná o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Z informací o verzi, popis souboru zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0—RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informace o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je PE DLL knihovna
|
true/false
|
IsElf
|
Bool
|
Soubor je typu ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda je soubor souborem Mach-O (macOS), nebo ne
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor systému Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informací o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informací o verzi, číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted– podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je pro operační systém důvěryhodný
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present – podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených pro spustitelný soubor
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor je přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je na seznamu povolených ze systému ESET LiveGrid
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro tuto podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• Informace o procesu
Vrátí informace o aktuálním procesu.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí MarkAsCompromised
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vrátí informace o aktuálním procesu služby.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Po dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
SentBytes
|
Int
|
Celkový počet bajtů odeslaných procesem.
|
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
LoadDriver
Byl zaveden ovladač nebo modul jádra.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Modul
Vrátit informace o aktuálním modulu
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre generované modulem strojového učení ESET. Možné hodnoty: 0 až 99
|
67
|
CompanyName
|
String
|
Z informací o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že se jedná o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Z informací o verzi, popis souboru zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0—RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informace o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je PE DLL knihovna
|
true/false
|
IsElf
|
Bool
|
Soubor je typu ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda je soubor souborem Mach-O (macOS), nebo ne
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor systému Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informací o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informací o verzi, číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted– podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je pro operační systém důvěryhodný
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present – podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených pro spustitelný soubor
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor je přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je na seznamu povolených ze systému ESET LiveGrid
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro tuto podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
ModuleDrop
Byl vypuštěn spustitelný soubor.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• Enterprise
Poskytuje statistické informace o modulech ve sledované síti.
Podporované operace
•CreateProcess
•Načíst DLL
•Injekce kódu
•Vypuštění modulu |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ESET LiveGrid®
ESET LiveGrid je preventivní systém, který shromažďuje informace o hrozbách od uživatelů po celém světě. Databáze ESET LiveGrid® obsahuje reputační informace o potenciálních hrozbách. Reputace spustitelných souborů vám pomáhá filtrovat výsledky pravidel.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezaznamenaná v ESET LiveGrid)
•2, 1 – Škodlivý software |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán tento spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není detekován.
|
|
|
|
U nových spustitelných souborů se nelze spoléhat na hodnoty ESET LiveGrid. I ten nejoblíbenější a nejdůvěryhodnější spustitelný soubor (např. instalační program nové verze prohlížeče Google Chrome) má po určitou dobu od svého vydání nízkou popularitu a neznámou pověst.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vrátit informace o aktuálním modulu
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre generované modulem strojového učení ESET. Možné hodnoty: 0 až 99
|
67
|
CompanyName
|
String
|
Z informací o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že se jedná o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Z informací o verzi, popis souboru zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0—RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informace o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je PE DLL knihovna
|
true/false
|
IsElf
|
Bool
|
Soubor je typu ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda je soubor souborem Mach-O (macOS), nebo ne
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor systému Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informací o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informací o verzi, číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted– podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je pro operační systém důvěryhodný
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present – podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených pro spustitelný soubor
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor je přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je na seznamu povolených ze systému ESET LiveGrid
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro tuto podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podporované operace
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
MultipleFilesChanged
Proces změnil více souborů.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Procesní chování
Události ProcessBehavior jsou hlášeny v systému Windows. Antivirus sleduje, ke kterým souborům se přistupovalo a jak často. Pokud proces v určitém časovém období přistoupil k více souborům, než je nastaveno v bariéře, je tato událost nahlášena.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
FileOperations
|
String
|
Operace a jejich překážky
|
Možné hodnoty jsou:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Hodnoty FileOperations jsou interní a jsou určeny pouze pro použití s výchozími pravidly.
|
Podporované operace
•MultipleFilesChanged |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
OpenProcess
Byl přidán nový atribut pravidla, který se aktivuje při otevření procesu. Monitoruje se pouze otevřený proces pro lsass.exe.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Byl přidán nový atribut pravidla, který se spustí při otevření procesu.
HIPS odesílá události OpenProcess pouze pro lsass.exe a pouze s přístupem PROCESS_VM_WRITE a/nebo PROCESS_VM_READ k procesu pouze při volání OpenProcess nebo DuplicateHandle (pokud je proces již otevřený se zmíněnými přístupy)
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AccessRight
|
Symbol
|
|
Možné hodnoty jsou:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Příklad
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Podporované operace
•OpenProcess |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
ReadFile
Spouští se při čtení sledovaného souboru. Monitorované soubory jsou ty, které obsahují buď citlivé informace, nebo uložené přihlašovací údaje, například uložená hesla prohlížeče, uložená hesla FTP klientů, databázi AD a podobně.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
RegDeleteKey
Klíč registru byl odstraněn.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka registru
Vrátí informace o událostech registru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Key
|
Path
|
Cesta ke klíči obsahuje hodnotu Value Name daného klíče
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Délka hodnoty klíče
|
16
|
StringValue
|
String
|
Hodnota řetězcového klíče
|
Příkladová_hodnota
|
IntValue
|
Int
|
Hodnota klíče typu int
|
32
|
Příklad
Pro klíč registru: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podporované operace
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
RegDeleteValue
Hodnota registru byla odstraněna.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka registru
Vrátí informace o událostech registru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Key
|
Path
|
Cesta ke klíči obsahuje hodnotu Value Name daného klíče
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Délka hodnoty klíče
|
16
|
StringValue
|
String
|
Hodnota řetězcového klíče
|
Příkladová_hodnota
|
IntValue
|
Int
|
Hodnota klíče typu int
|
32
|
Příklad
Pro klíč registru: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podporované operace
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
RegRenameKey
Klíč registru byl přejmenován.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka registru
Vrátí informace o událostech registru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Key
|
Path
|
Cesta ke klíči obsahuje hodnotu Value Name daného klíče
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Délka hodnoty klíče
|
16
|
StringValue
|
String
|
Hodnota řetězcového klíče
|
Příkladová_hodnota
|
IntValue
|
Int
|
Hodnota klíče typu int
|
32
|
Příklad
Pro klíč registru: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podporované operace
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
RegSetValue
Klíč registru byl změněn.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka registru
Vrátí informace o událostech registru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Key
|
Path
|
Cesta ke klíči obsahuje hodnotu Value Name daného klíče
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Délka hodnoty klíče
|
16
|
StringValue
|
String
|
Hodnota řetězcového klíče
|
Příkladová_hodnota
|
IntValue
|
Int
|
Hodnota klíče typu int
|
32
|
Příklad
Pro klíč registru: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podporované operace
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
RenameFile
Soubor byl přejmenován.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
•
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
ScheduledTaskAdded
Byla přidána naplánovaná úloha.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Naplánovaná úloha
Vrátí informace o naplánované úloze.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Boundary
|
Date
|
Časová omezení pro plán: začátek/konec, časové pásmo a okno/pravidla opakování.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Určuje, zda je naplánovaná úloha aktivní a zda se spustí podle svého plánu.
|
true/false
|
Location
|
String
|
Cesta ve stromu Plánovače úloh systému Microsoft začínající uzlem „Knihovna plánovače úloh“
|
|
Name
|
String
|
Název úlohy
|
|
Type
|
Symbol
|
Typ operace naplánované úlohy
|
Možné hodnoty jsou:
•0—Create
•1—Unknown |
Podporované operace
•ScheduledTaskAdded |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
Scripts
Byl spuštěn skript vystavený nástrojem AMSI.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Skripty
Komponenta Skripty umožňuje vytvářet pravidla na základě vlastností spuštěného skriptu vystaveného rozhraním AMSI.
Vlastnost
|
Typ
|
Popis
|
Script
|
String
|
Skript přijatý pomocí ESET PROTECT prostřednictvím integrace AMSI
|
ScriptLength
|
Int
|
Délka skriptu (počet znaků)
|
ScriptSha1
|
Hash
|
SHA-1 kontrolní součet fragmentu skriptu
|
ScriptSha256
|
Hash
|
SHA-256 kontrolní součet fragmentu skriptu
|
Příklad
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Podporované operace
•Scripts |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
ServiceInstalled
Byla nainstalována služba.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Služba
Komponenta Služba umožňuje vytvářet pravidla na základě vlastností služeb Windows a událostí řízení služeb vystavených Správcem řízení služeb (SCM).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
LoadType
|
Symbol
|
Typ spuštění služby
|
Možné hodnoty jsou:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Interní název služby registrovaný v SCM
|
|
Type
|
Int
|
Označuje typ služby, která byla zaregistrována v SCM
|
Možné hodnoty jsou:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Podporované operace
•ServiceInstalled
•ServiceStarted |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
ServiceStarted
Byla spuštěna služba.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Služba
Komponenta Služba umožňuje vytvářet pravidla na základě vlastností služeb Windows a událostí řízení služeb vystavených Správcem řízení služeb (SCM).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
LoadType
|
Symbol
|
Typ spuštění služby
|
Možné hodnoty jsou:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Interní název služby registrovaný v SCM
|
|
Type
|
Int
|
Označuje typ služby, která byla zaregistrována v SCM
|
Možné hodnoty jsou:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Podporované operace
•ServiceInstalled
•ServiceStarted |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
SetFileAttribute
Byl nastaven atribut souboru.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Atribut_souboru
Události FileAttribute jsou v současné době hlášeny pouze v systému Linux. Pravidlo se spustí, když je atribut nastaven, například příkazem chmod.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Attribute
|
Symbol
|
Atribut souboru
|
Možné hodnoty jsou:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Podporované operace
•SetFileAttribute |
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
SystemApiCall
Byla zavolána systémová funkce.
Podporované komponenty:
• Volání rozhraní API
Vrátí informace o voláních API.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ApiName
|
Symbol
|
Název rozhraní API, které proces volá
|
Podporované hodnoty jsou:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Pouze pro Linux
Příklad
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Podporované operace
•SystemApiCall |
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
TcpIpAccept
Příchozí TCP/IP spojení bylo přijato.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Síť
Vrátit informace o síťových událostech
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DestinationIpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 adresa
|
Cílová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Název cílového hostitele.
Je podporováno pouze u událostí protokolu TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Jedná se o příchozí spojení
|
true/false
|
IpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa události. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
IpAddressV6
|
Ipv6 adresa
|
Cílová adresa Ipv6 události. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Cílový TCP/UDP port
|
8080
|
Protocol
|
String
|
Protokol použitý při připojení
|
HTTP, HTTPS atd.
|
SourceIpAddressV4
|
Ipv4 adresa
|
Zdrojová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 adresa
|
Zdrojová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Pokud požadavek obsahoval URL (tj. HTTP požadavek)
Je podporováno u HTTP požadavků a detekcí.
|
Cílová adresa URL
|
Příklad
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podporované operace
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
TcpIpConnect
Bylo navázáno odchozí TCP/IP připojení.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Síť
Vrátit informace o síťových událostech
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DestinationIpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 adresa
|
Cílová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Název cílového hostitele.
Je podporováno pouze u událostí protokolu TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Jedná se o příchozí spojení
|
true/false
|
IpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa události. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
IpAddressV6
|
Ipv6 adresa
|
Cílová adresa Ipv6 události. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Cílový TCP/UDP port
|
8080
|
Protocol
|
String
|
Protokol použitý při připojení
|
HTTP, HTTPS atd.
|
SourceIpAddressV4
|
Ipv4 adresa
|
Zdrojová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 adresa
|
Zdrojová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Pokud požadavek obsahoval URL (tj. HTTP požadavek)
Je podporováno u HTTP požadavků a detekcí.
|
Cílová adresa URL
|
Příklad
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podporované operace
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
TcpIpProtocolIdentified
Kromě připojení TCP/IP popisuje použitý protokol.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Síť
Vrátit informace o síťových událostech
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DestinationIpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 adresa
|
Cílová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Název cílového hostitele.
Je podporováno pouze u událostí protokolu TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Jedná se o příchozí spojení
|
true/false
|
IpAddressV4
|
Ipv4 adresa
|
Cílová Ipv4 adresa události. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
IpAddressV6
|
Ipv6 adresa
|
Cílová adresa Ipv6 události. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Cílový TCP/UDP port
|
8080
|
Protocol
|
String
|
Protokol použitý při připojení
|
HTTP, HTTPS atd.
|
SourceIpAddressV4
|
Ipv4 adresa
|
Zdrojová Ipv4 adresa detekce firewallem. Podporuje masky.
|
192.168.0.1, podporuje masky – 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 adresa
|
Zdrojová Ipv6 adresa detekce firewallem. Podporuje masky.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podporuje masky – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Pokud požadavek obsahoval URL (tj. HTTP požadavek)
Je podporováno u HTTP požadavků a detekcí.
|
Cílová adresa URL
|
Příklad
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podporované operace
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
TruncateFile
Soubor byl oříznut.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
UnloadDriver
Ovladač nebo modul jádra byl odebrán.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
UserActivate
Uživatel byl aktivován.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Uživatel byl přidán do skupiny.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Stejné jako UserLogonData, ale s vlastnostmi vztahujícími se k datům o skupinách.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (její typ SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Byl vytvořen nový uživatel.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Uživatel byl deaktivován.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Uživatel se přihlásil.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Události související s aktivitami uživatele (vytvoření uživatele, přihlášení, …), informace o těchto událostech.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Hostname
|
String
|
Název počítače, ze kterého byl proveden pokus o přihlášení
|
|
IpAddressV4
|
Ipv4 adresa
|
IPv4 adresa počítače, ze kterého byl proveden pokus o přihlášení
|
|
IpAddressV6
|
Ipv6 adresa
|
IPv6 adresa zařízení, ze kterého byl proveden pokus o přihlášení
|
|
LogonType
|
Symbol
|
Typ přihlášení
|
Možné hodnoty jsou:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Zdrojový port, který byl použit pro pokus o přihlášení ze vzdáleného počítače
|
|
Podporované operace
•UserLogin
•UserLogout |
UserLogout
Uživatel se odhlásil.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Události související s aktivitami uživatele (vytvoření uživatele, přihlášení, …), informace o těchto událostech.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Hostname
|
String
|
Název počítače, ze kterého byl proveden pokus o přihlášení
|
|
IpAddressV4
|
Ipv4 adresa
|
IPv4 adresa počítače, ze kterého byl proveden pokus o přihlášení
|
|
IpAddressV6
|
Ipv6 adresa
|
IPv6 adresa zařízení, ze kterého byl proveden pokus o přihlášení
|
|
LogonType
|
Symbol
|
Typ přihlášení
|
Možné hodnoty jsou:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Zdrojový port, který byl použit pro pokus o přihlášení ze vzdáleného počítače
|
|
Podporované operace
•UserLogin
•UserLogout |
UserRemove
Uživatel byl odstraněn.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Uživatel byl ze skupiny odstraněn.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• DoneByUser
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• Cílový uživatel
Uživatel, který byl cílem útoku.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (podle typu jejího SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Stejné jako UserLogonData, ale s vlastnostmi vztahujícími se k datům o skupinách.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Sid
|
String
|
Který uživatel (SID účtu) stojí za danou událostí
|
|
SidNameUse
|
Symbol
|
Která skupina (její typ SID) stojí za danou událostí
|
Skupiny jsou:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Který uživatel (název účtu) stojí za danou událostí
|
|
Podporované operace
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Byla provedena událost z VirtualDiskMount.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
WmiExecution
Byla aktivována událost spuštění WMI (Windows Management Instrumentation).
Podporované komponenty:
• ClientEnterprise
ClientEnterprise je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Podporované operace
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část ADS cesty
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Podporované operace
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezachycena v ESET LiveGrid)
•2, 1 – Malware |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není odhalen.
|
|
Podporované operace
•WmiExecution
•WmiQuery |
• Modul klienta
ClientModule je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre získané modulem strojového učení ESET. Možné hodnoty jsou 0 až 99
|
67
|
CompanyName
|
String
|
Z informace o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že jde o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Popis souboru z informací o verzi zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0 – RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informací o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi, interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je knihovna PE DLL
|
true/false
|
IsElf
|
Bool
|
Soubor je souborem ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda soubor je, nebo není souborem Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informace o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informace o verzi číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted – podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je důvěryhodný pro operační systém
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present– podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených spustitelného souboru
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor byl přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je v seznamu povolených ze systému ESET LiveGrid®
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro danou podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podmínky podporované pro typy sad (Sada IPv4 adres, Sada IPv6 adres, Sada řetězců, Sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod sadou hodnot.
Podporované operace
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo je k dispozici pouze v kombinaci s operacemi WmiExecution, WmiQuery a CodeInjection, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Při dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
Podporované operace
•Codeinjection
•WmiExecution
•WmiQuery |
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• WmiExecutionInfo
Událost spuštění WMI (Windows Management Instrumentation) nastane pouze při volání metody WMI Win32_process.create().
Vlastnost
|
Typ
|
Popis
|
ClassName
|
String
|
Třída obsahující spouštěnou metodu
|
ClientMachineFQDN
|
String
|
Plně kvalifikovaný název domény (FQDN) klientského počítače
|
CommandLine
|
String
|
Příkazový řádek odeslaný metodě jako seznam argumentů
|
IsLocal
|
Bool
|
Určuje, zda byla metoda volána místně nebo vzdáleně
|
MethodName
|
String
|
Metoda, která byla spuštěna
|
Příklad
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Podporované operace
•WmiExecution |
WmiPersistence
Tato událost je generována, když se příjemce naváže na filtr.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• WmiPersistenceInfo
Tato událost je generována, když se příjemce naváže na filtr.
Vlastnost
|
Typ
|
Popis
|
EventConsumerName
|
String
|
Název příjemce, který spustí akci při doručení určité události
|
EventFilterName
|
String
|
Název použitého EventFilter
|
Handler
|
String
|
Příkazový řádek spuštěný příjemcem události
|
Query
|
String
|
Dotaz ve filtru událostí, který zachycuje události, jež by měly provést akci
|
TriggeringUserName
|
String
|
Jméno uživatele, který spustil událost odpovídající filtru
|
TriggeringUserSid
|
String
|
Aktivace bezpečnostního ID uživatele
|
TriggeringUserSidNameUse
|
Int
|
Spuštění typu SID uživatele
|
Příklad
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Podporované operace
•WmiPersistence |
WmiQuery
Na počítači byl proveden dotaz WMI (Windows Management Instrumentation).
Podporované komponenty:
• KlientPodnik
ClientEnterprise je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Podporované operace
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část ADS cesty
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Podporované operace
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
Age
|
Int
|
Počet dní od prvního zobrazení spustitelného souboru v ESET LiveGrid®. Číslo se zaokrouhluje na ekvivalent týdne, měsíce, poloviny roku, roku atd.
|
|
Reputation
|
Int
|
Číslo na stupnici reputace. Čím vyšší, tím důvěryhodnější
|
Možné hodnoty jsou:
•9, 8 – Důvěryhodné
•7, 6 – OK
•5, 4 – Rizikové
•3 – PUA, neznámá (nezachycena v ESET LiveGrid)
•2, 1 – Malware |
Popularity
|
Int
|
Počet počítačů, na kterých byl v ESET LiveGrid zaznamenán spustitelný soubor. Zaokrouhluje se na čísla jako 10, 100, 1000, 10000 atd. Malware obvykle nepřekročí popularitu 1000, dokud není odhalen.
|
|
Podporované operace
•WmiExecution
•WmiQuery |
• Modul klienta
ClientModule je k dispozici pouze v kombinaci s operacemi WmiExecution a WmiQuery, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
AugurScore
|
Int
|
Číslo skóre získané modulem strojového učení ESET. Možné hodnoty jsou 0 až 99
|
67
|
CompanyName
|
String
|
Z informace o verzi název společnosti, která soubor vytvořila
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Počet dní od chvíle, kdy byl soubor rozpoznán jako skoroúspěšný.
Nearmiss – detekce je spuštěna kvůli malwaru, ale může se jednat o falešnou detekci (nemůžeme zaručit, že jde o malware)
|
|
EmulationStatus
|
Int
|
Stav emulace souboru (pokud byl soubor emulován rozšířenou heuristikou)
|
0 – nebyl emulován
1 – byl emulován
|
FileDescription
|
String
|
Popis souboru z informací o verzi zobrazený uživatelům
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Soubor doručený prostřednictvím RDP
|
Možné hodnoty jsou:
0 – RDP
|
FileSize
|
Int
|
Velikost souboru v bajtech
|
41984
|
FileVersion
|
String
|
Z informací o verzi číslo verze souboru
|
"10.0.14393.0"
|
InternalName
|
String
|
Z informace o verzi, interní název souboru
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Soubor je knihovna PE DLL
|
true/false
|
IsElf
|
Bool
|
Soubor je souborem ELF
|
true/false
|
IsExe
|
Bool
|
Soubor je spustitelný
|
true/false
|
IsMacho
|
Bool
|
Určuje, zda soubor je, nebo není souborem Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Soubor je nativní spustitelný soubor PE
|
true/false
|
isPe
|
Bool
|
Soubor je spustitelný soubor Windows
|
true/false
|
MD5
|
Hash
|
md5 hash spustitelného souboru
|
|
MachoIsProtected
|
Bool
|
Modul je chráněný spustitelný soubor Mach-O
|
|
MachoSignatureId
|
String
|
Identifikátor souboru Mach-O obsaženého v podpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Sada řetězců
|
Sada běžných jmen z certifikátů v souboru Mach-O
|
|
MachoUserId
|
String
|
Unikátní ID vývojáře přidělené společností Apple
|
|
OriginalFileName
|
String
|
Z informace o verzi, původní název souboru
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Název packeru
|
"UPX"
|
ProductName
|
String
|
Z informace o verzi název produktu, se kterým je soubor distribuován
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Z informace o verzi číslo verze produktu, se kterým je soubor distribuován
|
"10.0.14393"
|
SFXName
|
String
|
Název packeru sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash spustitelného souboru
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash spustitelného souboru
|
|
SignatureType
|
Symbol
|
Typ podpisu spustitelného souboru
|
Možné hodnoty jsou:
•90—Trusted – podpis je důvěryhodný pro koncové zařízení
•80—Valid – podpis je důvěryhodný pro operační systém
•75—Adhoc – certifikát je podepsán sám sebou
•70—None – v souboru není žádný podpis
•60—Invalid – podpis není platný/je poškozený/odvolaný
•50—Present– podpis existuje, ale stav certifikátu není znám
•50—Unknown – nepodařilo se ověřit certifikát |
SignerName
|
String
|
Jméno vystavitele, pokud existuje
|
"Microsoft Windows"
|
Tags
|
String
|
Umožňuje uživateli filtrovat podle modulu, ke kterému je připojen zadaný štítek
|
|
Whitelist
|
Symbol
|
Typ seznamu povolených spustitelného souboru
|
Možné hodnoty jsou:
•0—None – tento soubor nebude přidán na seznam povolených
•1—Authoritative – soubor byl přidán na seznam povolených koncovým zařízením
•2—LiveGrid – soubor je v seznamu povolených ze systému ESET LiveGrid®
•3—Certificate – certifikát souboru je na seznamu povolených |
|
|
1Názvy packerů se mohou v budoucnu změnit. Proto pro danou podmínku doporučujeme použít hodnotu isnotempty nebo isempty.
|
Podmínky podporované pro typy sad (Sada IPv4 adres, Sada IPv6 adres, Sada řetězců, Sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod sadou hodnot.
Podporované operace
•WmiExecution
•WmiQuery |
• Informace o klientském procesu
ClientProcessInfo je k dispozici pouze v kombinaci s operacemi WmiExecution, WmiQuery a CodeInjection, které mají klientský proces. Klientský proces je proces, který skutečně provedl metodu WMI (Windows Management Instrumentation).
Vlastnost
|
Typ
|
Popis
|
Příklad
|
CaseSensitiveCommandLine
|
String
|
Umožňuje vytváření pravidel pro příkazový řádek, který rozlišuje velká a malá písmena
|
|
CommandLine
|
String
|
Příkazový řádek procesu
|
file.txt
|
CommandLineLength
|
Int
|
Délka příkazového řádku
|
123
|
Compromised
|
Bool
|
Proces byl označen jako kompromitovaný pravidlem s akcí „MarkAsCompromised“
|
true/false nebo 1/0
|
IntegrityLevel
|
Symbol
|
Úroveň integrity procesu
|
Možné hodnoty jsou:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Obsahuje cestu ke spuštění zástupce
|
|
ProcessDistance
|
Int
|
Vzdálenost procesu od aktuálního procesu
|
123
|
ProcessLevel
|
Int
|
Hloubka procesu v hierarchii procesů
|
123
|
ProcessOwner
|
String
|
Uživatel, který proces vytvořil
|
|
RiskScore
|
Int
|
Skóre se sleduje pro každý proces na koncovém zařízení. Pomocí akcí IncreaseParentRiskScore nebo IncreaseRiskScore můžete zvýšit hodnotu o nastavenou částku. Při dosažení prahové hodnoty rizikového skóre se aktivuje akce KillParentProcess nebo KillProcess. Mezní hodnotu rizikového skóre můžete zadat v části Politika > ESET Inspect Connector > Rozšířená nastavení. Rizikové skóre se po určité době vynuluje, ve výchozím nastavení po 6 hodinách.
|
1000
|
Podporované operace
•Codeinjection
•WmiExecution
•WmiQuery |
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
• WmiQueryInfo
K událostem dotazu WMI (Windows Management Instrumentation) dochází, když uživatel nebo služba spustí dotaz v systému.
Vlastnost
|
Typ
|
Popis
|
ClientMachineFQDN
|
String
|
Plně kvalifikovaný název domény klientského zařízení
|
IsLocal
|
Bool
|
Pokud je hodnota false, dotaz byl volán ze vzdáleného počítače (například pomocí nástroje WbemTest)
|
Query
|
String
|
V systému byl spuštěn dotaz
|
Příklad
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Podporované operace
•WmiQuery |
WriteFile
Do souboru bylo zapsáno.
Podporované komponenty:
• Datum a čas
Umožňuje psát pravidla, která se spouští pouze ve stanovený čas.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
DayOfWeek
|
Int
|
Pravidlo aktivovat pouze v určité dny v týdnu
|
Možné hodnoty jsou:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Pravidlo se uplatní pouze v určitých částech dne. Možné hodnoty jsou 0 až 23
|
12
|
Minute
|
Int
|
Aktivujte pravidlo pouze v určitých částech dne.
Možné hodnoty jsou 0 až 59
|
30
|
Příklad
Toto pravidlo se spustí pokaždé, když je Poznámkový blok otevřen od pondělí do pátku mezi 9:00 a 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podporované operace
Komponenta DateTime je podporována všemi operacemi.
|
• EnterpriseInspector
Poskytuje informace o konektoru.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
VersionString
|
String
|
Řetězec verze konektoru.
|
1.9.2385
|
VersionMajor
|
Int
|
Hlavní verze konektoru.
|
1
|
VersionMinor
|
Int
|
Vedlejší verze konektoru.
|
9
|
BuildNumber
|
Int
|
Číslo sestavení konektoru.
|
2385
|
Podporované operace
EnterpriseInspector komponenta je podporována všemi operacemi.
|
• Položka souboru
Vrátit informace o aktuálním souboru
Vlastnost
|
Typ
|
Popis
|
Příklad
|
ADS
|
String
|
Část cesty ADS
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Přípona souboru
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Název souboru včetně přípony souboru
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Název souboru bez přípony souboru
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Cesta k souboru včetně názvu souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Délka názvu
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Cesta k souboru
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Spustí se, pokud operaci provede soubor sám na sobě (běžné u škodlivého kódu, který maže sám sebe)
|
true/false
|
Canary File
Vlastnosti cesty mají speciální proměnnou pro canary files. Hodnota pro určení cesty k canary file je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podporované operace
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Systémové informace
Informace o systému, ze kterého události přicházejí.
Vlastnost
|
Typ
|
Popis
|
Příklad
|
isServer
|
Bool
|
Indikuje, zda je systém serverem
|
False – nejedná se o server
True – server
|
SystemArchitecture
|
Symbol
|
Typ architektury systému
|
Chcete-li nastavit shodu s 32bitovou architekturou, použijte jeden z následujících postupů:
•32
•32bit
•x86
•0
Chcete-li použít 64bitovou architekturu, postupujte jedním z následujících způsobů:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Jaký typ operačního systému událost spustil
|
Chcete-li přizpůsobit systém Windows, použijte jeden z následujících postupů:
•Windows
•Win
•0
Chcete-li se přizpůsobit systému MacOS, použijte jeden z následujících postupů:
•macOs
•macOsx
•Osx
•1
Pro shodu se systémem Linux použijte následující:
•2 |
SystemVersion
|
String
|
Celá verze systému s hlavními a vedlejšími čísly
|
|
Tags
|
Sada řetězců
|
Štítky přiřazené danému konkrétnímu systému
|
|
Podmínky podporované pro typy množin (sada IPv4 adres, sada IPv6 adres, sada řetězců, sada symbolů) jsou uvedeny v tabulce Typy vlastností a vztahy pod položkou sada hodnot.
Podporované operace
Komponenta SystemInfo je podporována všemi operacemi.
|
|
|
Starší verze systému Windows nevytvářejí události WMI (Windows Management Instrumentation). Tato funkce je k dispozici od verze 1803 systému Windows 10.
Některé z těchto událostí poskytují pouze částečné informace:
•Události zápisu do souboru – zaznamenává se pouze první změna souboru (toto platí pro každý proces. Pokud dva procesy změní stejný soubor, zaznamenají se obě změny)
•Události související s registrem – zaznamená se pouze první změna klíče registru (poprvé daným procesem)
•DLLLoad – zaznamenávají se pouze knihovny DLL, které nejsou na seznamu povolených antivirového programu
•Události TcpIp – zaznamená se pouze první spojení (poprvé daným procesem)
•Události HTTP – zaznamená se pouze první požadavek (poprvé procesem)
•ModuleDrop (také znám jako PEDrop) – hlásí se pouze pro první výskyt daného modulu (poprvé na počítači)
•AmsiTriggerEvent – zaznamenává se pouze první provedení (poprvé na daném počítači) |
