Der Teil operations definiert, welche von einem Prozess ausgeführten Operationen den Indikator auslösen. Wenn das Feld leer ist, wird der Indikator ausgelöst, wenn der Prozess ein Ereignis generiert.
Operationen werden mithilfe eines operation-Elements mit einem type-Attribut und einem expression-Element definiert.
<operation type="WriteFile">Expression</operation>
Die folgenden Komponenten werden von allen Operationen unterstützt.
•
DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
BitsJobAddFile
Einem BITS-Auftrag wurde eine Datei hinzugefügt.
Unterstützte Komponenten:
• BitsJobAddFile
Gibt Informationen zu einem BITS-Auftrag zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
FileCount
|
Int
|
Anzahl der Dateien, die dem Auftrag hinzugefügt wurden.
|
1
|
JobTitle
|
String
|
Anzeigename des BITS-Auftrags.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Lokaler Zielpfad für die Datei.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
Quell-URL oder Remote-Pfad der Datei.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Konto, das den Auftrag besitzt oder erstellt hat.
|
|
UserSid
|
String
|
Sicherheitskennung (SID) des Kontos.
|
|
Unterstützte Vorgänge
•BitsJobAddFile |
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
CodeInjection
Ein Prozess war einer Form von Code-Injection ausgesetzt.
Unterstützte Komponenten:
• ClientProcessInfo
ClientProcessInfo ist nur in Kombination mit den Operationen WmiExecution, WmiQuery und CodeInjection verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für den Risikowert erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Die Risikobewertung wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
Unterstützte Vorgänge
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Bei CodeInjection-Ereignissen werden Informationen über die verwendete Code-Injection-Technik gemeldet.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CodeInjectionType
|
Symbol
|
Verwendete Code-Injection-Technik
|
Mögliche Werte sind:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Unterstützte Vorgänge
•CodeInjection |
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• Unternehmen
Liefert eine Statistik über Module im überwachten Netzwerk.
Unterstützte Vorgänge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid ist ein präventives System, das Informationen über Bedrohungen von Benutzern weltweit sammelt. Die ESET LiveGrid-Datenbank enthält Reputationsinformationen zu potenziellen Bedrohungen. Die Reputation ausführbarer Dateien hilft Ihnen beim Filtern von Regelergebnissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, Unbekannt (nicht von ESET LiveGrid erkannt)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
|
|
Bei neuen ausführbaren Dateien können Sie sich nicht auf ESET LiveGrid®-Werte verlassen. Selbst die beliebteste und vertrauenswürdigste ausführbare Datei (z. B. das Installationsprogramm einer neuen Version von Google Chrome) weist nach ihrer Veröffentlichung eine gewisse Zeit lang eine geringe Verbreitung und eine unbekannte Reputation auf.
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Gibt die Informationen zum aktuellen Modul zurück
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Score-Zahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datei über RDP übermittelt
|
Mögliche Werte sind:
0—RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen, die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinfo, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5 Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz allgemeiner Namen (Common Names) aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinfo, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei vertrieben wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist ungültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, der Zertifikatsstatus ist jedoch unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei steht auf der Whitelist von Endpoint
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Gibt Informationen zum aktuellen Prozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einer bestimmten Zeitspanne zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Gibt Informationen zum aktuellen Serviceprozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile, bei denen die Groß-/Kleinschreibung beachtet wird
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint erfasst. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Richtlinie > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
CreateNamedPipe
Eine Named Pipe wurde erstellt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
CreateProcess
Ein Prozess wurde erstellt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• Unternehmen
Liefert eine Statistik über Module im überwachten Netzwerk.
Unterstützte Vorgänge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid ist ein präventives System, das Informationen über Bedrohungen von Benutzern weltweit sammelt. Die ESET LiveGrid-Datenbank enthält Reputationsinformationen zu potenziellen Bedrohungen. Die Reputation ausführbarer Dateien hilft Ihnen beim Filtern von Regelergebnissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, Unbekannt (nicht von ESET LiveGrid erkannt)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
|
|
Bei neuen ausführbaren Dateien können Sie sich nicht auf ESET LiveGrid®-Werte verlassen. Selbst die beliebteste und vertrauenswürdigste ausführbare Datei (z. B. das Installationsprogramm einer neuen Version von Google Chrome) weist nach ihrer Veröffentlichung eine gewisse Zeit lang eine geringe Verbreitung und eine unbekannte Reputation auf.
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Gibt die Informationen zum aktuellen Modul zurück
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Score-Zahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datei über RDP übermittelt
|
Mögliche Werte sind:
0—RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen, die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinfo, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5 Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz allgemeiner Namen (Common Names) aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinfo, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei vertrieben wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist ungültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, der Zertifikatsstatus ist jedoch unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei steht auf der Whitelist von Endpoint
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Gibt Informationen zum aktuellen Prozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einer bestimmten Zeitspanne zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Gibt Informationen zum aktuellen Serviceprozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile, bei denen die Groß-/Kleinschreibung beachtet wird
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint erfasst. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Richtlinie > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
DeleteFile
Eine Datei wurde gelöscht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
DeleteVolumeShadowCopy
Eine Schattenkopie eines Volumes wurde gelöscht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• VolumeShadowCopyInfo
Gibt Informationen zur Erstellung von Schattenkopien und zu vorhandenen Backup-Snapshots zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
OriginalVolumeName
|
String
|
Der Name des Volumes, von dem eine Schattenkopie erstellt wurde
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Der Name des Computers, der das ursprüngliche Volume enthält
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Der Name des Anbieters, der zum Erstellen der Schattenkopie verwendet wurde
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Der Name des Systems, das den Schattenkopie-Dienst bereitstellt (bei lokalen Sicherungen üblicherweise identisch mit dem Ursprungscomputer)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Der Gerätepfad, der den Snapshot des Volumes darstellt. Der Geräteobjektpfad kann als Stammverzeichnis einer Schattenkopie eines Volumes betrachtet werden. Anforderer (Requester) verwenden diesen Gerätenamen, wenn sie auf Dateien auf einem schattenkopierten Volume zugreifen, mit dem sie arbeiten müssen.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Unterstützte Vorgänge
•DeleteVolumeShadowCopy |
DnsRequest
Eine DNS-Anfrage wurde gestellt (in der Regel IP > Domain, Domain > IP).
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DnsInfo
DnsInfo mit den folgenden Eigenschaften:
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DnsQuery
|
String
|
Die DNS-Abfrage
|
www.google.com
|
DnsQueryLength
|
Int
|
Die Länge der DNS Abfrage
|
100
|
DnsResponseIpAddressV4
|
Satz von IPv4-Adressen
|
Die A Datensätze in der DNS Antwort
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Satz von IPv6-Adressen
|
Die AAAA-Datensätze in der DNS-Antwort
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Menge von Zeichenfolgen
|
Die NS-, CNAME-, PTR- oder TXT-Einträge in der DNS-Antwort
|
mobile-google.com
|
DnsResponseType
|
Satz von Symbolen
|
Die Arten von Datensätzen, die in der DNS-Antwort enthalten sind
|
HINFO
|
DnsResponsesLength
|
Int
|
Die Gesamtlänge der DNS-Antwort
|
100
|
Für die Eigenschaft DnsResponseType gibt es einen vordefinierten Wertebereich, der verwendet werden kann (Groß-/Kleinschreibung wird nicht beachtet):
Weitere Informationen zu DnsResponseType-Werten finden Sie unter Resource Record (RR) TYPEs.
Die für Satz-Typen (Satz von IPv4-Adressen, Satz von IPv6-Adressen, Satz von Zeichenfolgen, Satz von Symbolen) unterstützten Bedingungen sind in der Tabelle Eigenschaftstypen & Beziehungen unter Satz von Werten aufgeführt.
Beispiel
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Unterstützte Vorgänge
•DnsRequest |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
HttpRequest
Eine HTTP-Anfrage wurde gestellt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Netzwerk
Informationen zu Netzwerkereignissen zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DestinationIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Der Ziel-Hostname.
Wird nur bei TCP-IP-Ereignissen unterstützt.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Die Verbindung ist eingehend
|
true/false
|
IpAddressV4
|
Ipv4-Adresse
|
Die Ipv4-Adresse, auf die das Ereignis abzielt. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Adresse
|
Die Ipv6-Zieladresse des Ereignisses. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Der Zielport TCP/UDP
|
8080
|
Protocol
|
String
|
Das von der Verbindung verwendete Protokoll
|
HTTP, HTTPS, usw.
|
SourceIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Wenn die Anfrage eine URL betraf (d. h. eine HTTP-Anfrage)
Wird mit HTTP-Anfragen und Erkennungen unterstützt.
|
Die Ziel-URL
|
Beispiel
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
LoadDLL
Eine DLL wurde geladen.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• Unternehmen
Liefert eine Statistik über Module im überwachten Netzwerk.
Unterstützte Vorgänge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid ist ein präventives System, das Informationen über Bedrohungen von Benutzern weltweit sammelt. Die ESET LiveGrid-Datenbank enthält Reputationsinformationen zu potenziellen Bedrohungen. Die Reputation ausführbarer Dateien hilft Ihnen beim Filtern von Regelergebnissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, Unbekannt (nicht von ESET LiveGrid erkannt)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
|
|
Bei neuen ausführbaren Dateien können Sie sich nicht auf ESET LiveGrid®-Werte verlassen. Selbst die beliebteste und vertrauenswürdigste ausführbare Datei (z. B. das Installationsprogramm einer neuen Version von Google Chrome) weist nach ihrer Veröffentlichung eine gewisse Zeit lang eine geringe Verbreitung und eine unbekannte Reputation auf.
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Gibt die Informationen zum aktuellen Modul zurück
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Score-Zahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datei über RDP übermittelt
|
Mögliche Werte sind:
0—RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen, die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinfo, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5 Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz allgemeiner Namen (Common Names) aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinfo, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei vertrieben wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist ungültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, der Zertifikatsstatus ist jedoch unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei steht auf der Whitelist von Endpoint
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Gibt Informationen zum aktuellen Prozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einer bestimmten Zeitspanne zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Gibt Informationen zum aktuellen Serviceprozess zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile, bei denen die Groß-/Kleinschreibung beachtet wird
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint erfasst. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für die Risikobewertung erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Richtlinie > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Der Risk Score wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
SentBytes
|
Int
|
Gesamtzahl der vom Prozess gesendeten Bytes.
|
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
LoadDriver
Ein Treiber oder ein Kernelmodul wurde geladen.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Modul
Gibt die Informationen zum aktuellen Modul zurück
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Score-Zahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datei über RDP übermittelt
|
Mögliche Werte sind:
0—RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen, die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinfo, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5 Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz allgemeiner Namen (Common Names) aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinfo, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei vertrieben wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist ungültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, der Zertifikatsstatus ist jedoch unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei steht auf der Whitelist von Endpoint
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
ModuleDrop
Eine ausführbare Datei wurde abgelegt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• Unternehmen
Liefert eine Statistik über Module im überwachten Netzwerk.
Unterstützte Vorgänge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid ist ein präventives System, das Informationen über Bedrohungen von Benutzern weltweit sammelt. Die ESET LiveGrid-Datenbank enthält Reputationsinformationen zu potenziellen Bedrohungen. Die Reputation ausführbarer Dateien hilft Ihnen beim Filtern von Regelergebnissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, Unbekannt (nicht von ESET LiveGrid erkannt)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
|
|
Bei neuen ausführbaren Dateien können Sie sich nicht auf ESET LiveGrid®-Werte verlassen. Selbst die beliebteste und vertrauenswürdigste ausführbare Datei (z. B. das Installationsprogramm einer neuen Version von Google Chrome) weist nach ihrer Veröffentlichung eine gewisse Zeit lang eine geringe Verbreitung und eine unbekannte Reputation auf.
|
Unterstützte Operationen
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Gibt die Informationen zum aktuellen Modul zurück
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Score-Zahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datei über RDP übermittelt
|
Mögliche Werte sind:
0—RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen, die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinfo, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5 Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz allgemeiner Namen (Common Names) aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinfo, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei vertrieben wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist ungültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, der Zertifikatsstatus ist jedoch unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei steht auf der Whitelist von Endpoint
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Unterstützte Vorgänge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
MultipleFilesChanged
Prozess hat mehrere Dateien geändert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Prozessverhalten
ProcessBehavior-Ereignisse werden unter Windows gemeldet. Der Virenschutz verfolgt, auf welche Dateien wie häufig zugegriffen wurde. Wenn der Prozess in einem bestimmten Zeitraum auf mehr Dateien zugegriffen hat, als in der Barriere festgelegt sind, wird dieses Ereignis gemeldet.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
FileOperations
|
String
|
Operationen und ihre Hindernisse
|
Mögliche Werte sind:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Die Werte von FileOperations sind intern und sind nur für die Verwendung mit Standardregeln vorgesehen.
|
Unterstützte Vorgänge
•MultipleFilesChanged |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
OpenProcess
Neues Regelattribut hinzugefügt, das ausgelöst wird, wenn ein Prozess geöffnet wird. Nur der offene Prozess zu lsass.exe wird überwacht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Neues Regelattribut hinzugefügt, das ausgelöst wird, wenn ein Prozess geöffnet wird.
HIPS sendet OpenProcess-Ereignisse nur für lsass.exe und nur mit PROCESS_VM_WRITE und/oder PROCESS_VM_READ Prozesszugriff, und zwar nur beim Aufruf von OpenProcess oder DuplicateHandle (wenn der bereits geöffnete Prozess mit den genannten Zugriffsrechten)
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AccessRight
|
Symbol
|
|
Mögliche Werte sind:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Beispiel
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Unterstützte Vorgänge
•OpenProcess |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
ReadFile
Wird ausgelöst, wenn eine überwachte Datei gelesen wurde. Überwachte Dateien sind solche, die entweder vertrauliche Informationen oder gespeicherte Anmeldedaten enthalten, zum Beispiel gespeicherte Browser-Passwörter, gespeicherte Passwörter von FTP-Clients, die AD-Datenbank usw.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
RegDeleteKey
Ein Registrierungsschlüssel wurde gelöscht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• RegistryItem
Gibt die Informationen zu Registrierungsereignissen zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Key
|
Path
|
Der Pfad des Schlüssels enthält den Wertnamen des Schlüssels
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Die Länge des Schlüsselwerts
|
16
|
StringValue
|
String
|
Der Wert eines Zeichenfolgenschlüssels
|
Beispielwert
|
IntValue
|
Int
|
Der Wert des int-Schlüssels
|
32
|
Beispiel
Für Registrierungsschlüssel: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Unterstützte Vorgänge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
RegDeleteValue
Der Wert der Registrierung wurde gelöscht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• RegistryItem
Gibt die Informationen zu Registrierungsereignissen zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Key
|
Path
|
Der Pfad des Schlüssels enthält den Wertnamen des Schlüssels
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Die Länge des Schlüsselwerts
|
16
|
StringValue
|
String
|
Der Wert eines Zeichenfolgenschlüssels
|
Beispielwert
|
IntValue
|
Int
|
Der Wert des int-Schlüssels
|
32
|
Beispiel
Für Registrierungsschlüssel: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Unterstützte Vorgänge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
RegRenameKey
Ein Registrierungsschlüssel wurde umbenannt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• RegistryItem
Gibt die Informationen zu Registrierungsereignissen zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Key
|
Path
|
Der Pfad des Schlüssels enthält den Wertnamen des Schlüssels
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Die Länge des Schlüsselwerts
|
16
|
StringValue
|
String
|
Der Wert eines Zeichenfolgenschlüssels
|
Beispielwert
|
IntValue
|
Int
|
Der Wert des int-Schlüssels
|
32
|
Beispiel
Für Registrierungsschlüssel: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Unterstützte Vorgänge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
RegSetValue
Ein Registrierungsschlüssel wurde geändert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• RegistryItem
Gibt die Informationen zu Registrierungsereignissen zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Key
|
Path
|
Der Pfad des Schlüssels enthält den Wertnamen des Schlüssels
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Die Länge des Schlüsselwerts
|
16
|
StringValue
|
String
|
Der Wert eines Zeichenfolgenschlüssels
|
Beispielwert
|
IntValue
|
Int
|
Der Wert des int-Schlüssels
|
32
|
Beispiel
Für Registrierungsschlüssel: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Unterstützte Vorgänge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
RenameFile
Eine Datei wurde umbenannt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
•
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
ScheduledTaskAdded
Eine geplante Aufgabe wurde hinzugefügt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Gibt die Informationen zur geplanten Aufgabe zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Boundary
|
Date
|
Zeitliche Vorgaben für den Zeitplan: Start/Ende, Zeitzone und Wiederholungsfenster/-regeln.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Gibt an, ob die geplante Aufgabe aktiv ist und gemäß ihrem Zeitplan ausgeführt wird.
|
true/false
|
Location
|
String
|
Pfad in der Baumstruktur des Microsoft-Taskplaners, beginnend beim Knoten „Taskplanerbibliothek“
|
|
Name
|
String
|
Taskname
|
|
Type
|
Symbol
|
Typ des geplanten Task-Vorgangs
|
Mögliche Werte sind:
•0—Create
•1—Unknown |
Unterstützte Vorgänge
•ScheduledTaskAdded |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
Scripts
Ein von AMSI offengelegtes Skript wurde ausgeführt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Skripts
Die Komponente „Skripte“ ermöglicht Ihnen das Erstellen von Regeln auf Basis der Eigenschaften eines ausgeführten Skripts, die von AMSI bereitgestellt werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Script
|
String
|
Skript von ESET PROTECT über AMSI-Integration empfangen
|
ScriptLength
|
Int
|
Länge des Skripts (Anzahl der Zeichen)
|
ScriptSha1
|
Hash
|
SHA1-Hash des Skriptfragments
|
ScriptSha256
|
Hash
|
SHA256-Hash des Skriptfragments
|
Beispiel
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Unterstützte Vorgänge
•Scripts |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
ServiceInstalled
Ein Dienst wurde installiert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Dienst
Mit der Komponente Dienst können Sie Regeln basierend auf Eigenschaften von Windows-Diensten und Dienststeuerungsereignissen erstellen, die vom Dienststeuerungs-Manager (Service Control Manager, SCM) bereitgestellt werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
LoadType
|
Symbol
|
Der Starttyp des Dienstes
|
Mögliche Werte sind:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Der im SCM registrierte interne Dienstname
|
|
Type
|
Int
|
Gibt den Diensttyp an, der beim SCM registriert wurde
|
Mögliche Werte sind:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Unterstützte Vorgänge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
ServiceStarted
Ein Dienst wurde gestartet.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Dienst
Mit der Komponente Dienst können Sie Regeln basierend auf Eigenschaften von Windows-Diensten und Dienststeuerungsereignissen erstellen, die vom Dienststeuerungs-Manager (Service Control Manager, SCM) bereitgestellt werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
LoadType
|
Symbol
|
Der Starttyp des Dienstes
|
Mögliche Werte sind:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Der im SCM registrierte interne Dienstname
|
|
Type
|
Int
|
Gibt den Diensttyp an, der beim SCM registriert wurde
|
Mögliche Werte sind:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Unterstützte Vorgänge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
SetFileAttribute
Ein Dateiattribut wurde festgelegt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileAttribute
FileAttribute-Ereignisse werden derzeit nur unter Linux gemeldet. Die Regel wird ausgelöst, wenn ein Attribut festgelegt wird, zum Beispiel durch den Befehl chmod.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Attribute
|
Symbol
|
Attribut einer Datei
|
Mögliche Werte sind:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Unterstützte Vorgänge
•SetFileAttribute |
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
SystemApiCall
Eine Systemfunktion wurde aufgerufen.
Unterstützte Komponenten:
• ApiCall
Gibt Informationen zu API-Aufrufen zurück.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ApiName
|
Symbol
|
Name der vom Prozess aufgerufenen API
|
Unterstützte Werte sind:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Nur Linux
Beispiel
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Unterstützte Vorgänge
•SystemApiCall |
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
TcpIpAccept
Eine eingehende TCP/IP-Verbindung wurde akzeptiert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Netzwerk
Informationen zu Netzwerkereignissen zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DestinationIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Der Ziel-Hostname.
Wird nur bei TCP-IP-Ereignissen unterstützt.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Die Verbindung ist eingehend
|
true/false
|
IpAddressV4
|
Ipv4-Adresse
|
Die Ipv4-Adresse, auf die das Ereignis abzielt. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Adresse
|
Die Ipv6-Zieladresse des Ereignisses. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Der Zielport TCP/UDP
|
8080
|
Protocol
|
String
|
Das von der Verbindung verwendete Protokoll
|
HTTP, HTTPS, usw.
|
SourceIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Wenn die Anfrage eine URL betraf (d. h. eine HTTP-Anfrage)
Wird mit HTTP-Anfragen und Erkennungen unterstützt.
|
Die Ziel-URL
|
Beispiel
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
TcpIpConnect
Es wurde eine ausgehende TCP/IP-Verbindung hergestellt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Netzwerk
Informationen zu Netzwerkereignissen zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DestinationIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Der Ziel-Hostname.
Wird nur bei TCP-IP-Ereignissen unterstützt.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Die Verbindung ist eingehend
|
true/false
|
IpAddressV4
|
Ipv4-Adresse
|
Die Ipv4-Adresse, auf die das Ereignis abzielt. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Adresse
|
Die Ipv6-Zieladresse des Ereignisses. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Der Zielport TCP/UDP
|
8080
|
Protocol
|
String
|
Das von der Verbindung verwendete Protokoll
|
HTTP, HTTPS, usw.
|
SourceIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Wenn die Anfrage eine URL betraf (d. h. eine HTTP-Anfrage)
Wird mit HTTP-Anfragen und Erkennungen unterstützt.
|
Die Ziel-URL
|
Beispiel
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
TcpIpProtocolIdentified
Beschreibt das Protokoll, das zusätzlich zur TCP/IP-Verbindung verwendet wird.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• Netzwerk
Informationen zu Netzwerkereignissen zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DestinationIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Zieladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Der Ziel-Hostname.
Wird nur bei TCP-IP-Ereignissen unterstützt.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Die Verbindung ist eingehend
|
true/false
|
IpAddressV4
|
Ipv4-Adresse
|
Die Ipv4-Adresse, auf die das Ereignis abzielt. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Adresse
|
Die Ipv6-Zieladresse des Ereignisses. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Der Zielport TCP/UDP
|
8080
|
Protocol
|
String
|
Das von der Verbindung verwendete Protokoll
|
HTTP, HTTPS, usw.
|
SourceIpAddressV4
|
Ipv4-Adresse
|
Die Ipv4 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
192.168.0.1, unterstützt Masken - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Adresse
|
Die Ipv6 Quelladresse der Firewall-Erkennung. Unterstützt Masken.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, unterstützt Masken - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Wenn die Anfrage eine URL betraf (d. h. eine HTTP-Anfrage)
Wird mit HTTP-Anfragen und Erkennungen unterstützt.
|
Die Ziel-URL
|
Beispiel
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
TruncateFile
Eine Datei wurde abgeschnitten.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
UnloadDriver
Ein Treiber oder ein Kernelmodul wurde entladen.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
UserActivate
Der Benutzer wurde aktiviert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Der Benutzer wurde der Gruppe hinzugefügt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identisch mit UserLogonData, aber mit Eigenschaften für Daten zu Gruppen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Ein neuer Benutzer wurde erstellt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Der Benutzer wurde deaktiviert.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Der Benutzer hat sich angemeldet.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Ereignisse im Zusammenhang mit den Benutzeraktivitäten (Benutzer erstellt, angemeldet, ...), Informationen zu diesen Ereignissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Hostname
|
String
|
Computername, von dem aus ein Anmeldeversuch durchgeführt wurde
|
|
IpAddressV4
|
Ipv4-Adresse
|
IPv4-Adresse des Computers, von dem aus der Anmeldeversuch durchgeführt wurde
|
|
IpAddressV6
|
Ipv6-Adresse
|
IPv6-Adresse des Computers, von dem aus der Anmeldeversuch durchgeführt wurde
|
|
LogonType
|
Symbol
|
Art der Anmeldung
|
Mögliche Werte sind:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Der Quellport, der für den Anmeldeversuch vom Remotecomputer verwendet wurde
|
|
Unterstützte Vorgänge
•UserLogin
•UserLogout |
UserLogout
Der Benutzer hat sich abgemeldet.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Ereignisse im Zusammenhang mit den Benutzeraktivitäten (Benutzer erstellt, angemeldet, ...), Informationen zu diesen Ereignissen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Hostname
|
String
|
Computername, von dem aus ein Anmeldeversuch durchgeführt wurde
|
|
IpAddressV4
|
Ipv4-Adresse
|
IPv4-Adresse des Computers, von dem aus der Anmeldeversuch durchgeführt wurde
|
|
IpAddressV6
|
Ipv6-Adresse
|
IPv6-Adresse des Computers, von dem aus der Anmeldeversuch durchgeführt wurde
|
|
LogonType
|
Symbol
|
Art der Anmeldung
|
Mögliche Werte sind:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Der Quellport, der für den Anmeldeversuch vom Remotecomputer verwendet wurde
|
|
Unterstützte Vorgänge
•UserLogin
•UserLogout |
UserRemove
Der Benutzer wurde gelöscht.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Der Benutzer wurde aus der Gruppe entfernt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• DoneByUser
Der Benutzer, der das Ziel war.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (ihr SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• TargetUser
Der Benutzer, auf den abgezielt wurde.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steht hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identisch mit UserLogonData, aber mit Eigenschaften für Daten zu Gruppen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Sid
|
String
|
Welcher Benutzer (Konto-SID) steckt hinter dem angegebenen Ereignis
|
|
SidNameUse
|
Symbol
|
Welche Gruppe (deren SID-Typ) hinter dem angegebenen Ereignis steckt
|
Gruppen sind:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Welcher Benutzer (Kontoname) steckt hinter dem angegebenen Ereignis
|
|
Unterstützte Vorgänge
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Ein Ereignis von VirtualDiskMount wurde ausgeführt.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
WmiExecution
Windows-Verwaltungsinstrumentation-Ausführungsereignis wurde ausgelöst.
Unterstützte Komponenten:
• ClientEnterprise
ClientEnterprise ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (üblich bei Malware, die sich selbst löscht)
|
true/false
|
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, unbekannt (nicht von ESET LiveGrid® gesehen)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Punktzahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – Die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Über RDP übermittelte Datei
|
Mögliche Werte sind:
0 – RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinformationen, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5-Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz von Common Names aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinformationen, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei ausgeliefert wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx-Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist nicht gültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, aber der Zertifikatsstatus ist unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei wurde von Endpoint auf die Whitelist gesetzt
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo ist nur in Kombination mit den Operationen WmiExecution, WmiQuery und CodeInjection verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für den Risikowert erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Die Risikobewertung wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
Unterstützte Vorgänge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• WmiExecutionInfo
Das Windows-Verwaltungsinstrumentation-Ausführungsereignis tritt nur auf, wenn die Windows-Verwaltungsinstrumentation-Methode Win32_process.create() aufgerufen wird.
Eigenschaft
|
Typ
|
Beschreibung
|
ClassName
|
String
|
Eine Klasse, die eine ausgelöste Methode enthält
|
ClientMachineFQDN
|
String
|
Vollqualifizierter Domänenname des Clientcomputers
|
CommandLine
|
String
|
Eine Befehlszeile, die als Liste von Argumenten an eine Methode gesendet wird
|
IsLocal
|
Bool
|
Bestimmt, ob eine Methode lokal oder remote aufgerufen wurde
|
MethodName
|
String
|
Eine Methode, die ausgelöst wurde
|
Beispiel
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Unterstützte Vorgänge
•WmiExecution |
WmiPersistence
Das Ereignis wird generiert, wenn sich ein Consumer an einen Filter bindet.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• WmiPersistenceInfo
Das Ereignis wird generiert, wenn ein Consumer an einen Filter gebunden wird.
Eigenschaft
|
Typ
|
Beschreibung
|
EventConsumerName
|
String
|
Der Name eines Consumers, der beim Eintreffen eines bestimmten Ereignisses eine Aktion auslöst
|
EventFilterName
|
String
|
Name des verwendeten EventFilters
|
Handler
|
String
|
Von einem Ereigniskonsumenten ausgeführte Befehlszeile
|
Query
|
String
|
Eine Abfrage in einem Ereignisfilter, die Ereignisse erfasst, die eine Aktion auslösen sollen
|
TriggeringUserName
|
String
|
Name eines Benutzers, der ein Ereignis ausgelöst hat, das von einem Filter erfasst wurde
|
TriggeringUserSid
|
String
|
Auslösen der Sicherheits-ID des Benutzers
|
TriggeringUserSidNameUse
|
Int
|
SID-Typ des auslösenden Benutzers
|
Beispiel
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Unterstützte Vorgänge
•WmiPersistence |
WmiQuery
Eine Windows-Verwaltungsinstrumentation-Abfrage wurde auf einem Computer ausgeführt.
Unterstützte Komponenten:
• ClientEnterprise
ClientEnterprise ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (üblich bei Malware, die sich selbst löscht)
|
true/false
|
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
Age
|
Int
|
Die Anzahl der Tage, seitdem die ausführbare Datei erstmals in ESET LiveGrid® beobachtet wurde. Diese Zahl wird auf das Äquivalent von Woche, Monat, halbes Jahr, Jahr usw. gerundet.
|
|
Reputation
|
Int
|
Die Zahl auf der Reputationsskala. Je höher, desto vertrauenswürdiger
|
Mögliche Werte sind:
•9, 8 – Vertrauenswürdig
•7, 6 – OK
•5, 4 – Riskant
•3 – PUA, unbekannt (nicht von ESET LiveGrid® gesehen)
•2, 1 – Malware |
Popularity
|
Int
|
Die Anzahl der Computer, auf denen ESET LiveGrid® eine ausführbare Datei erkannt hat. Es wird auf Zahlen wie 10, 100, 1000, 10000 usw. gerundet. Malware überschreitet in der Regel nicht die Popularität von 1000, bevor sie erkannt wird.
|
|
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule ist nur in Kombination mit den Operationen WmiExecution und WmiQuery verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
AugurScore
|
Int
|
Die Punktzahl der ESET Engine für maschinelles Lernen. Mögliche Werte sind 0 bis 99
|
67
|
CompanyName
|
String
|
Aus den Versionsinformationen: Name des Unternehmens, das die Datei erstellt hat
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Anzahl der Tage, seit die Datei als Nearmiss erkannt wurde.
Nearmiss – Die Erkennung wird durch Malware ausgelöst, es kann sich jedoch um eine Fehlerkennung handeln (wir können nicht garantieren, dass es sich um Malware handelt)
|
|
EmulationStatus
|
Int
|
Der Status der Dateiemulation (falls die Datei durch erweiterte Heuristik emuliert wurde)
|
0 – Wurde nicht emuliert
1 – Wurde emuliert
|
FileDescription
|
String
|
Aus den Versionsinformationen, den Benutzern angezeigte Dateibeschreibung
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Über RDP übermittelte Datei
|
Mögliche Werte sind:
0 – RDP
|
FileSize
|
Int
|
Dateigröße in Byte
|
41984
|
FileVersion
|
String
|
Aus den Versionsinformationen die Versionsnummer der Datei
|
"10.0.14393.0"
|
InternalName
|
String
|
Aus Versionsinformationen, interner Name der Datei
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Die Datei ist eine PE-DLL
|
true/false
|
IsElf
|
Bool
|
Die Datei ist eine ELF-Datei
|
true/false
|
IsExe
|
Bool
|
Die Datei ist eine ausführbare Datei
|
true/false
|
IsMacho
|
Bool
|
Legt fest, ob eine Datei eine Mach-O-Datei (macOS) ist oder nicht
|
true/false
|
IsNative
|
Bool
|
Die Datei ist eine native ausführbare PE-Datei
|
true/false
|
isPe
|
Bool
|
Die Datei ist eine ausführbare Windows-Datei
|
true/false
|
MD5
|
Hash
|
md5-Hash der ausführbaren Datei
|
|
MachoIsProtected
|
Bool
|
Das Modul ist eine geschützte ausführbare Mach-O-Datei
|
|
MachoSignatureId
|
String
|
Bezeichner einer in der Signatur vorhandenen Mach-O-Datei
|
"com.apple.ls"
|
MachoSignerCns
|
Menge von Zeichenfolgen
|
Satz von Common Names aus Zertifikaten in der Mach-O-Datei
|
|
MachoUserId
|
String
|
Eindeutige, von Apple zugewiesene Entwickler-ID
|
|
OriginalFileName
|
String
|
Aus Versionsinformationen, ursprünglicher Name der Datei
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Name des Packprogramms
|
"UPX"
|
ProductName
|
String
|
Aus den Versionsinformationen, Name des Produkts, mit dem die Datei ausgeliefert wird
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Aus den Versionsinformationen: die Versionsnummer des Produkts, mit dem die Datei vertrieben wird
|
"10.0.14393"
|
SFXName
|
String
|
Name des sfx-Packprogramms
|
"Zip"
|
Sha1
|
Hash
|
sha1 Hash der ausführbaren Datei
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256-Hash der ausführbaren Datei
|
|
SignatureType
|
Symbol
|
Signaturtyp der ausführbaren Datei
|
Mögliche Werte sind:
•90—Trusted – Die Signatur wird von Endpoint als vertrauenswürdig eingestuft
•80—Valid – Die Signatur wird vom Betriebssystem als vertrauenswürdig eingestuft
•75—Adhoc – Das Zertifikat ist selbstsigniert
•70—None – Die Datei enthält keine Signatur
•60—Invalid – Die Signatur ist nicht gültig/beschädigt/widerrufen
•50—Present – Die Signatur ist vorhanden, aber der Zertifikatsstatus ist unbekannt
•50—Unknown – Zertifikat konnte nicht verifiziert werden |
SignerName
|
String
|
Name des Unterzeichners, sofern vorhanden
|
"Microsoft Windows"
|
Tags
|
String
|
Ermöglicht es einem Benutzer, nach einem Modul zu filtern, dem ein bestimmtes Tag zugewiesen ist
|
|
Whitelist
|
Symbol
|
Whitelist-Typ der ausführbaren Datei
|
Mögliche Werte sind:
•0—None – Kein Whitelisting für diese Datei
•1—Authoritative – Die Datei wurde von Endpoint auf die Whitelist gesetzt
•2—LiveGrid – Die Datei steht auf der Whitelist von ESET LiveGrid®
•3—Certificate – Das Dateizertifikat steht auf der Whitelist |
|
|
1Die Namen der Packprogramme können sich in Zukunft ändern. Daher empfehlen wir, für die Bedingung den Wert isnotempty oder isempty zu verwenden.
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo ist nur in Kombination mit den Operationen WmiExecution, WmiQuery und CodeInjection verfügbar, die über einen Clientprozess verfügen. Ein Clientprozess ist ein Prozess, der tatsächlich eine Windows-Verwaltungsinstrumentation-Methode ausgeführt hat.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
CaseSensitiveCommandLine
|
String
|
Ermöglicht das Erstellen von Regeln für die Befehlszeile unter Beachtung der Groß-/Kleinschreibung
|
|
CommandLine
|
String
|
Befehlszeile des Prozesses
|
file.txt
|
CommandLineLength
|
Int
|
Länge der Befehlszeile
|
123
|
Compromised
|
Bool
|
Der Prozess wurde durch eine Regel mit der Aktion „MarkAsCompromised“ als kompromittiert markiert
|
true/false oder 1/0
|
IntegrityLevel
|
Symbol
|
Integritätsstufe des Prozesses.
|
Mögliche Werte sind:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Enthält einen Pfad zu einer Verknüpfungsausführung
|
|
ProcessDistance
|
Int
|
Der Abstand des Prozesses zum aktuellen Prozess
|
123
|
ProcessLevel
|
Int
|
Tiefe des Prozesses in der Prozesshierarchie
|
123
|
ProcessOwner
|
String
|
Der Benutzer, der den Prozess erstellt hat
|
|
RiskScore
|
Int
|
Die Punktzahl wird für jeden Prozess auf dem Endpoint nachverfolgt. Sie können die Aktionen IncreaseParentRiskScore oder IncreaseRiskScore verwenden, um den Wert um einen festgelegten Betrag zu erhöhen. Wenn der Schwellenwert für den Risikowert erreicht wird, wird die Aktion KillParentProcess oder KillProcess ausgelöst. Sie können den Schwellenwert für die Risikobewertung über Policy > ESET Inspect Connector > Erweiterte Einstellungen festlegen. Die Risikobewertung wird nach einem bestimmten Zeitraum zurückgesetzt, standardmäßig nach 6 Stunden.
|
1000
|
Unterstützte Vorgänge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
• WmiQueryInfo
Ereignisse bei Abfragen der Windows-Verwaltungsinstrumentation treten auf, wenn ein Benutzer oder ein Dienst eine Abfrage auf einem System auslöst.
Eigenschaft
|
Typ
|
Beschreibung
|
ClientMachineFQDN
|
String
|
Vollqualifizierter Domänenname des Clientcomputers
|
IsLocal
|
Bool
|
Wenn false, wurde eine Abfrage von einem Remotecomputer aufgerufen (z. B. mit WbemTest)
|
Query
|
String
|
Eine Abfrage wurde in einem System ausgelöst
|
Beispiel
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Unterstützte Vorgänge
•WmiQuery |
WriteFile
In eine Datei wurde geschrieben.
Unterstützte Komponenten:
• DateTime
Ermöglicht das Schreiben von Regeln, die nur zu einem bestimmten Zeitpunkt ausgelöst werden.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
DayOfWeek
|
Int
|
Die Regel nur an bestimmten Wochentagen auslösen
|
Mögliche Werte sind:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Regel nur zu bestimmten Tageszeiten auslösen. Mögliche Werte sind 0 bis 23
|
12
|
Minute
|
Int
|
Die Regel nur zu bestimmten Tageszeiten auslösen.
Mögliche Werte sind 0 bis 59
|
30
|
Beispiel
Diese Regel wird jedes Mal ausgelöst, wenn der Editor von Montag bis Freitag zwischen 9 und 17 Uhr geöffnet wird.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Unterstützte Vorgänge
Die Komponente DateTime wird von allen Operationen unterstützt.
|
• EnterpriseInspector
Enthält Informationen zum Connector.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
VersionString
|
String
|
Versionszeichenfolge des Connectors.
|
1.9.2385
|
VersionMajor
|
Int
|
Hauptversion des Connectors.
|
1
|
VersionMinor
|
Int
|
Nebenversion von Connector.
|
9
|
BuildNumber
|
Int
|
Buildnummer des Connectors.
|
2385
|
Unterstützte Vorgänge
Die Komponente EnterpriseInspector wird von allen Operationen unterstützt.
|
• FileItem
Informationen zur aktuellen Datei zurückgeben
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
ADS
|
String
|
Der ADS-Teil des Pfads
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Die Dateierweiterung
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Der Dateiname mit der Dateiendung
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Dateiname ohne Dateierweiterung
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Der Dateipfad einschließlich Dateiname
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Die Länge des Namens
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Der Dateipfad
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Wird ausgelöst, wenn der Vorgang von der Datei an sich selbst ausgeführt wird (häufig bei Malware, die sich selbst löscht)
|
true/false
|
Lockvogel-Datei
Pfadeigenschaften verfügen über eine spezielle Variable für Lockvogel-Dateien. Der Wert zur Angabe des Pfads zur Lockvogel-Datei ist %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Unterstützte Vorgänge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informationen über das System, von dem die Ereignisse stammen.
Eigenschaft
|
Typ
|
Beschreibung
|
Beispiel
|
isServer
|
Bool
|
Gibt an, ob es sich bei dem System um einen Server handelt
|
False – Kein Server
True – Server
|
SystemArchitecture
|
Symbol
|
Die Art der Systemarchitektur
|
Um die 32-Bit-Architektur abzugleichen, verwenden Sie eine der folgenden Optionen:
•32
•32bit
•x86
•0
Verwenden Sie eine der folgenden Optionen, um die 64-Bit-Architektur abzugleichen:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Welche Art von Betriebssystem das Ereignis ausgelöst hat
|
Um ein Windows-System abzugleichen, verwenden Sie eine der folgenden Methoden:
•Windows
•Win
•0
Um ein MacOS-System abzugleichen, verwenden Sie eine der folgenden Optionen:
•macOs
•macOsx
•Osx
•1
Um dem Linux-System zu entsprechen, verwenden Sie Folgendes:
•2 |
SystemVersion
|
String
|
Die vollständige Systemversion mit Haupt- und Nebenversionsnummern
|
|
Tags
|
Satz von Zeichenfolgen
|
Tags, die diesem bestimmten System zugewiesen sind
|
|
Bedingungen, die für Mengentypen (Menge von IPv4-Adressen, Menge von IPv6-Adressen, Menge von Zeichenfolgen, Menge von Symbolen) unterstützt werden, sind in der Tabelle Eigenschaftstypen & Beziehungen unter Menge von Werten aufgeführt.
Unterstützte Vorgänge
Die Komponente SystemInfo wird von allen Vorgängen unterstützt.
|
|
|
Frühere Versionen von Windows erzeugen keine Windows-Verwaltungsinstrumentation-Ereignisse. Diese Funktionalität steht seit Windows 10 Version 1803 zur Verfügung.
Einige der Ereignisse enthalten nur unvollständige Informationen:
•Dateischreibereignisse – nur die erste Dateiänderung wird aufgezeichnet (Dies gilt pro Prozess. Wenn zwei Prozesse dieselbe Datei ändern, werden beide Änderungen aufgezeichnet)
•Registrierungsbezogene Ereignisse – nur die erste Änderung eines Registrierungsschlüssels wird aufgezeichnet (das erste Mal durch einen Prozess)
•DLLLoad – Es werden nur DLLs aufgezeichnet, die nicht vom AV auf die Whitelist gesetzt wurden
•TcpIp-Ereignisse – nur die erste Verbindung wird aufgezeichnet (erstmalig durch einen Prozess)
•HTTP-Ereignisse – nur die erste Anfrage wird aufgezeichnet (erstmalig durch einen Prozess)
•ModuleDrop (auch bekannt als PEDrop) – Wird nur für den ersten Drop eines bestimmten Moduls (erstmalig auf einem Computer) gemeldet
•AmsiTriggerEvent – nur die erste Ausführung wird aufgezeichnet (erstes Mal auf einem Computer) |
