Το operations μέρος ορίζει ποιες λειτουργίες που εκτελούνται από μια διεργασία ενεργοποιούν τον δείκτη. Εάν είναι κενό, ο δείκτης ενεργοποιείται όταν η διεργασία δημιουργεί ένα συμβάν.
Οι λειτουργίες ορίζονται χρησιμοποιώντας ένα στοιχείο operation με ένα χαρακτηριστικό type και ένα στοιχείο expression.
<operation type="WriteFile">Expression</operation>
Τα ακόλουθα στοιχεία υποστηρίζονται από όλες τις λειτουργίες.
•
DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
BitsJobAddFile
Ένα αρχείο προστέθηκε σε μια εργασία BITS.
Υποστηριζόμενα στοιχεία:
• BitsJobAddFile
Επιστρέφει πληροφορίες σχετικά με μια εργασία BITS.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
FileCount
|
Int
|
Αριθμός αρχείων που προστέθηκαν στην εργασία.
|
1
|
JobTitle
|
String
|
Εμφανιζόμενο όνομα της εργασίας BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Τοπική διαδρομή προορισμού για το αρχείο.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
Διεύθυνση URL προέλευσης ή απομακρυσμένη διαδρομή του αρχείου.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Λογαριασμός που κατέχει ή δημιούργησε την εργασία.
|
|
UserSid
|
String
|
Αναγνωριστικό ασφαλείας (SID) του λογαριασμού.
|
|
Υποστηριζόμενες λειτουργίες
•BitsJobAddFile |
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
CodeInjection
Μια διεργασία υπέστη κάποια μορφή έγχυσης κώδικα.
Υποστηριζόμενα στοιχεία:
• ClientProcessInfo
ClientProcessInfo είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution, WmiQuery και CodeInjection, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε στην πραγματικότητα μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Για συμβάντα CodeInjection, αναφέρει πληροφορίες σχετικά με την τεχνική έγχυσης κώδικα που χρησιμοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CodeInjectionType
|
Symbol
|
Χρησιμοποιούμενη τεχνική έγχυσης κώδικα
|
Οι πιθανές τιμές είναι:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Υποστηριζόμενες λειτουργίες
•CodeInjection |
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• Εταιρικό
Παρέχει στατιστικά στοιχεία σχετικά με τις μονάδες στο παρακολουθούμενο δίκτυο.
Υποστηριζόμενες λειτουργίες
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
Το ESET LiveGrid είναι ένα προληπτικό σύστημα που συλλέγει πληροφορίες σχετικά με απειλές από χρήστες σε όλο τον κόσμο. Η βάση δεδομένων ESET LiveGrid® περιέχει πληροφορίες φήμης σχετικά με πιθανές απειλές. Η φήμη των εκτελέσιμων αρχείων σάς βοηθά να φιλτράρετε τα αποτελέσματα των κανόνων.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα των 1000 μέχρι να εντοπιστεί.
|
|
|
|
Δεν μπορείτε να βασιστείτε στις τιμές του ESET LiveGrid® για νέα εκτελέσιμα αρχεία. Ακόμη και το πιο δημοφιλές και αξιόπιστο εκτελέσιμο αρχείο (π.χ. το πρόγραμμα εγκατάστασης μιας νέας έκδοσης του Google Chrome) έχει χαμηλή δημοτικότητα και άγνωστη φήμη για κάποιο χρονικό διάστημα μετά την κυκλοφορία του.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Λειτουργική μονάδα
Επιστρέφει τις πληροφορίες σχετικά με την τρέχουσα μονάδα
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής μάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα της εταιρείας που δημιούργησε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι είναι κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε με προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, η περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του sfx Packer
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid–Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία προσθήκη σε λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων του ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Policy > ESET Inspect Connector > Advanced settings. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία της υπηρεσίας.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, το οποίο από προεπιλογή είναι 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
CreateNamedPipe
Δημιουργήθηκε μια επώνυμη διοχέτευση.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
CreateProcess
Δημιουργήθηκε μια διεργασία.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• Εταιρικό
Παρέχει στατιστικά στοιχεία σχετικά με τις μονάδες στο παρακολουθούμενο δίκτυο.
Υποστηριζόμενες λειτουργίες
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
Το ESET LiveGrid είναι ένα προληπτικό σύστημα που συλλέγει πληροφορίες σχετικά με απειλές από χρήστες σε όλο τον κόσμο. Η βάση δεδομένων ESET LiveGrid® περιέχει πληροφορίες φήμης σχετικά με πιθανές απειλές. Η φήμη των εκτελέσιμων αρχείων σάς βοηθά να φιλτράρετε τα αποτελέσματα των κανόνων.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα των 1000 μέχρι να εντοπιστεί.
|
|
|
|
Δεν μπορείτε να βασιστείτε στις τιμές του ESET LiveGrid® για νέα εκτελέσιμα αρχεία. Ακόμη και το πιο δημοφιλές και αξιόπιστο εκτελέσιμο αρχείο (π.χ. το πρόγραμμα εγκατάστασης μιας νέας έκδοσης του Google Chrome) έχει χαμηλή δημοτικότητα και άγνωστη φήμη για κάποιο χρονικό διάστημα μετά την κυκλοφορία του.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Λειτουργική μονάδα
Επιστρέφει τις πληροφορίες σχετικά με την τρέχουσα μονάδα
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής μάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα της εταιρείας που δημιούργησε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι είναι κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε με προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, η περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του sfx Packer
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid–Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία προσθήκη σε λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων του ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Policy > ESET Inspect Connector > Advanced settings. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία της υπηρεσίας.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, το οποίο από προεπιλογή είναι 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
DeleteFile
Ένα αρχείο διαγράφηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
DeleteVolumeShadowCopy
Ένα σκιώδες αντίγραφο ενός τόμου διαγράφηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• VolumeShadowCopyInfo
Επιστρέφει πληροφορίες σχετικά με τη δημιουργία σκιωδών αντιγράφων και τα υπάρχοντα στιγμιότυπα αντιγράφων ασφαλείας.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
OriginalVolumeName
|
String
|
Το όνομα του τόμου για τον οποίο είχε δημιουργηθεί σκιώδες αντίγραφο
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Το όνομα του μηχανήματος που περιέχει τον αρχικό τόμο
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Το όνομα του παρόχου που χρησιμοποιήθηκε για τη δημιουργία του σκιώδους αντιγράφου
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Το όνομα του συστήματος που παρέχει την υπηρεσία σκιωδών αντιγράφων (συνήθως το ίδιο με το μηχάνημα προέλευσης σε τοπικά αντίγραφα ασφαλείας)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Η διαδρομή συσκευής που αντιπροσωπεύει το στιγμιότυπο του τόμου. Η διαδρομή αντικειμένου συσκευής μπορεί να θεωρηθεί ως η ρίζα ενός σκιώδους αντιγράφου ενός τόμου. Οι αιτούντες (requesters) θα χρησιμοποιούν αυτό το όνομα συσκευής κατά την πρόσβαση σε αρχεία σε έναν τόμο με σκιώδη αντίγραφα με τον οποίο χρειάζεται να εργαστεί.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Υποστηριζόμενες λειτουργίες
•DeleteVolumeShadowCopy |
DnsRequest
Έγινε ένα αίτημα DNS (συνήθως IP > domain, domain > IP).
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DnsInfo
DnsInfo με τις ακόλουθες ιδιότητες:
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DnsQuery
|
String
|
Το DNS ερώτημα
|
www.google.com
|
DnsQueryLength
|
Int
|
Το μήκος του ερωτήματος DNS
|
100
|
DnsResponseIpAddressV4
|
Σύνολο διευθύνσεων IPv4
|
Οι εγγραφές A στην απάντηση DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Σύνολο διευθύνσεων IPv6
|
Οι AAAA εγγραφές στην DNS απάντηση
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Σύνολο συμβολοσειρών
|
Οι εγγραφές NS, CNAME, PTR ή TXT στην απάντηση DNS
|
mobile-google.com
|
DnsResponseType
|
Σύνολο συμβόλων
|
Οι τύποι εγγραφών που υπάρχουν στην DNS απόκριση
|
HINFO
|
DnsResponsesLength
|
Int
|
Το συνολικό μήκος της DNS απάντησης
|
100
|
Για την ιδιότητα DnsResponseType, υπάρχει ένα προκαθορισμένο εύρος τιμών που μπορούν να χρησιμοποιηθούν (χωρίς διάκριση πεζών-κεφαλαίων):
Για περισσότερες πληροφορίες σχετικά με τις τιμές DnsResponseType, ανατρέξτε στην ενότητα ΤΥΠΟΙ Εγγραφών Πόρων (RR).
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις στην ενότητα σύνολο τιμών.
Παράδειγμα
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Υποστηριζόμενες λειτουργίες
•DnsRequest |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
HttpRequest
Υποβλήθηκε ένα αίτημα HTTP.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Δίκτυο
Επιστροφή πληροφοριών σχετικά με συμβάντα δικτύου
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DestinationIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
DestinationIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Το όνομα κεντρικού υπολογιστή προορισμού.
Υποστηρίζεται μόνο με συμβάντα TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Η σύνδεση είναι εισερχόμενη
|
true/false
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Η TCP/UDP θύρα προορισμού
|
8080
|
Protocol
|
String
|
Το πρωτόκολλο που χρησιμοποιείται από τη σύνδεση
|
HTTP, HTTPS, κ.λπ.
|
SourceIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
SourceIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Εάν το αίτημα αφορούσε μια διεύθυνση URL (δηλαδή, αίτημα HTTP)
Υποστηρίζεται με αιτήματα HTTP και Ανιχνεύσεις.
|
Η διεύθυνση URL προορισμού
|
Παράδειγμα
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
LoadDLL
Φορτώθηκε ένα DLL.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• Εταιρικό
Παρέχει στατιστικά στοιχεία σχετικά με τις μονάδες στο παρακολουθούμενο δίκτυο.
Υποστηριζόμενες λειτουργίες
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
Το ESET LiveGrid είναι ένα προληπτικό σύστημα που συλλέγει πληροφορίες σχετικά με απειλές από χρήστες σε όλο τον κόσμο. Η βάση δεδομένων ESET LiveGrid® περιέχει πληροφορίες φήμης σχετικά με πιθανές απειλές. Η φήμη των εκτελέσιμων αρχείων σάς βοηθά να φιλτράρετε τα αποτελέσματα των κανόνων.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα των 1000 μέχρι να εντοπιστεί.
|
|
|
|
Δεν μπορείτε να βασιστείτε στις τιμές του ESET LiveGrid® για νέα εκτελέσιμα αρχεία. Ακόμη και το πιο δημοφιλές και αξιόπιστο εκτελέσιμο αρχείο (π.χ. το πρόγραμμα εγκατάστασης μιας νέας έκδοσης του Google Chrome) έχει χαμηλή δημοτικότητα και άγνωστη φήμη για κάποιο χρονικό διάστημα μετά την κυκλοφορία του.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Λειτουργική μονάδα
Επιστρέφει τις πληροφορίες σχετικά με την τρέχουσα μονάδα
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής μάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα της εταιρείας που δημιούργησε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι είναι κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε με προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, η περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του sfx Packer
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid–Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία προσθήκη σε λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων του ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Policy > ESET Inspect Connector > Advanced settings. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Επιστρέφει πληροφορίες σχετικά με την τρέχουσα διεργασία της υπηρεσίας.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, το οποίο από προεπιλογή είναι 6 ώρες.
|
1000
|
SentBytes
|
Int
|
Συνολικός αριθμός byte που στάλθηκαν από τη διεργασία.
|
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
LoadDriver
Φορτώθηκε ένα πρόγραμμα οδήγησης ή μια μονάδα πυρήνα.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Λειτουργική μονάδα
Επιστρέφει τις πληροφορίες σχετικά με την τρέχουσα μονάδα
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής μάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα της εταιρείας που δημιούργησε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι είναι κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε με προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, η περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του sfx Packer
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid–Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία προσθήκη σε λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων του ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
ModuleDrop
Ένα εκτελέσιμο αρχείο εναποτέθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• Εταιρικό
Παρέχει στατιστικά στοιχεία σχετικά με τις μονάδες στο παρακολουθούμενο δίκτυο.
Υποστηριζόμενες λειτουργίες
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
Το ESET LiveGrid είναι ένα προληπτικό σύστημα που συλλέγει πληροφορίες σχετικά με απειλές από χρήστες σε όλο τον κόσμο. Η βάση δεδομένων ESET LiveGrid® περιέχει πληροφορίες φήμης σχετικά με πιθανές απειλές. Η φήμη των εκτελέσιμων αρχείων σάς βοηθά να φιλτράρετε τα αποτελέσματα των κανόνων.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα των 1000 μέχρι να εντοπιστεί.
|
|
|
|
Δεν μπορείτε να βασιστείτε στις τιμές του ESET LiveGrid® για νέα εκτελέσιμα αρχεία. Ακόμη και το πιο δημοφιλές και αξιόπιστο εκτελέσιμο αρχείο (π.χ. το πρόγραμμα εγκατάστασης μιας νέας έκδοσης του Google Chrome) έχει χαμηλή δημοτικότητα και άγνωστη φήμη για κάποιο χρονικό διάστημα μετά την κυκλοφορία του.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Λειτουργική μονάδα
Επιστρέφει τις πληροφορίες σχετικά με την τρέχουσα μονάδα
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής μάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα της εταιρείας που δημιούργησε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι είναι κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε με προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, η περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του sfx Packer
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid–Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία προσθήκη σε λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων του ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη Λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Υποστηριζόμενες λειτουργίες
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
MultipleFilesChanged
Η διεργασία τροποποίησε πολλαπλά αρχεία.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Συμπεριφορά διεργασίας
ProcessBehavior Τα συμβάντα αναφέρονται στα Windows. Το Antivirus παρακολουθεί σε ποια αρχεία έγινε πρόσβαση και πόσο συχνά. Εάν η διεργασία απέκτησε πρόσβαση σε περισσότερα αρχεία από όσα έχουν οριστεί στο φράγμα σε μια συγκεκριμένη χρονική περίοδο, αναφέρεται αυτό το συμβάν.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
FileOperations
|
String
|
Οι λειτουργίες και τα φράγματά τους
|
Οι πιθανές τιμές είναι:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Οι τιμές FileOperations είναι εσωτερικές και προορίζονται για χρήση μόνο με προεπιλεγμένους κανόνες.
|
Υποστηριζόμενες λειτουργίες
•MultipleFilesChanged |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
OpenProcess
Προστέθηκε ένα νέο χαρακτηριστικό κανόνα, το οποίο ενεργοποιείται όταν ανοίγει μια διεργασία. Παρακολουθείται μόνο η ανοιχτή διαδικασία προς lsass.exe.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Προστέθηκε ένα νέο χαρακτηριστικό κανόνα, το οποίο ενεργοποιείται όταν ανοίγει μια διεργασία.
HIPS στέλνει συμβάντα OpenProcess μόνο για lsass.exe και μόνο με πρόσβαση διεργασίας PROCESS_VM_WRITE ή/και PROCESS_VM_READ μόνο κατά την κλήση της OpenProcess ή της DuplicateHandle (όταν η ήδη ανοιγμένη διεργασία με τις αναφερόμενες προσβάσεις)
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AccessRight
|
Symbol
|
|
Οι πιθανές τιμές είναι:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Παράδειγμα
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•OpenProcess |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
ReadFile
Ενεργοποιείται όταν γίνεται ανάγνωση ενός αρχείου που παρακολουθείται. Ως παρακολουθούμενα αρχεία νοούνται εκείνα που περιέχουν είτε ευαίσθητες πληροφορίες είτε αποθηκευμένα διαπιστευτήρια, για παράδειγμα, αποθηκευμένοι κωδικοί πρόσβασης προγραμμάτων περιήγησης, αποθηκευμένοι κωδικοί πρόσβασης προγραμμάτων-πελατών FTP, βάση δεδομένων AD και ούτω καθεξής.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
RegDeleteKey
Ένα κλειδί μητρώου διαγράφηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• RegistryItem
Επιστρέφει τις πληροφορίες σχετικά με τα συμβάντα μητρώου.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Key
|
Path
|
Η διαδρομή του κλειδιού, περιέχει το Όνομα Τιμής του κλειδιού
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Το μήκος της τιμής κλειδιού
|
16
|
StringValue
|
String
|
Η τιμή ενός κλειδιού συμβολοσειράς
|
ExampleValue
|
IntValue
|
Int
|
Η τιμή του κλειδιού int
|
32
|
Παράδειγμα
Για το κλειδί μητρώου: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
RegDeleteValue
Η τιμή του μητρώου διαγράφηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• RegistryItem
Επιστρέφει τις πληροφορίες σχετικά με τα συμβάντα μητρώου.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Key
|
Path
|
Η διαδρομή του κλειδιού, περιέχει το Όνομα Τιμής του κλειδιού
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Το μήκος της τιμής κλειδιού
|
16
|
StringValue
|
String
|
Η τιμή ενός κλειδιού συμβολοσειράς
|
ExampleValue
|
IntValue
|
Int
|
Η τιμή του κλειδιού int
|
32
|
Παράδειγμα
Για το κλειδί μητρώου: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
RegRenameKey
Ένα κλειδί μητρώου μετονομάστηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• RegistryItem
Επιστρέφει τις πληροφορίες σχετικά με τα συμβάντα μητρώου.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Key
|
Path
|
Η διαδρομή του κλειδιού, περιέχει το Όνομα Τιμής του κλειδιού
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Το μήκος της τιμής κλειδιού
|
16
|
StringValue
|
String
|
Η τιμή ενός κλειδιού συμβολοσειράς
|
ExampleValue
|
IntValue
|
Int
|
Η τιμή του κλειδιού int
|
32
|
Παράδειγμα
Για το κλειδί μητρώου: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
RegSetValue
Ένα κλειδί μητρώου τροποποιήθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• RegistryItem
Επιστρέφει τις πληροφορίες σχετικά με τα συμβάντα μητρώου.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Key
|
Path
|
Η διαδρομή του κλειδιού, περιέχει το Όνομα Τιμής του κλειδιού
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Το μήκος της τιμής κλειδιού
|
16
|
StringValue
|
String
|
Η τιμή ενός κλειδιού συμβολοσειράς
|
ExampleValue
|
IntValue
|
Int
|
Η τιμή του κλειδιού int
|
32
|
Παράδειγμα
Για το κλειδί μητρώου: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
RenameFile
Ένα αρχείο μετονομάστηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
•
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
ScheduledTaskAdded
Προστέθηκε μια προγραμματισμένη εργασία.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Επιστρέφει τις πληροφορίες σχετικά με την προγραμματισμένη εργασία.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Boundary
|
Date
|
Χρονικοί περιορισμοί για το χρονοδιάγραμμα: έναρξη/λήξη, ζώνη ώρας και παράθυρο/κανόνες επανάληψης.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Υποδεικνύει εάν η προγραμματισμένη εργασία είναι ενεργή και θα εκτελείται σύμφωνα με το χρονοδιάγραμμά της.
|
true/false
|
Location
|
String
|
Διαδρομή στο δέντρο του Προγραμματισμού εργασιών της Microsoft ξεκινώντας από τον κόμβο «Task Scheduler Library»
|
|
Name
|
String
|
Όνομα εργασίας
|
|
Type
|
Symbol
|
Τύπος λειτουργίας προγραμματισμένης εργασίας
|
Οι πιθανές τιμές είναι:
•0—Create
•1—Unknown |
Υποστηριζόμενες λειτουργίες
•ScheduledTaskAdded |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
Scripts
Εκτελέστηκε ένα σενάριο που εκτέθηκε από το AMSI.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Δέσμες ενεργειών
Το στοιχείο «Σενάρια» σάς επιτρέπει να δημιουργείτε κανόνες με βάση τις ιδιότητες του εκτελούμενου σεναρίου που εκτίθενται από το AMSI.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Script
|
String
|
Το σενάριο ελήφθη από το ESET PROTECT μέσω ενσωμάτωσης AMSI
|
ScriptLength
|
Int
|
Μήκος της δέσμης ενεργειών (αριθμός χαρακτήρων)
|
ScriptSha1
|
Hash
|
Κατακερματισμός SHA1 του τμήματος σεναρίου
|
ScriptSha256
|
Hash
|
Κατακερματισμός SHA256 του τμήματος σεναρίου
|
Παράδειγμα
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Υποστηριζόμενες λειτουργίες
•Scripts |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
ServiceInstalled
Εγκαταστάθηκε μια υπηρεσία.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Υπηρεσία
Το στοιχείο Υπηρεσία σάς επιτρέπει να δημιουργείτε κανόνες με βάση τις ιδιότητες των υπηρεσιών των Windows και τα συμβάντα ελέγχου υπηρεσιών που εκθέτει η Διαχείριση ελέγχου υπηρεσιών (SCM).
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
LoadType
|
Symbol
|
Ο τύπος εκκίνησης της υπηρεσίας
|
Οι πιθανές τιμές είναι:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Το εσωτερικό όνομα υπηρεσίας που έχει καταχωριστεί στον SCM
|
|
Type
|
Int
|
Υποδεικνύει τον τύπο της υπηρεσίας που καταχωρήθηκε στο SCM
|
Οι πιθανές τιμές είναι:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Υποστηριζόμενες λειτουργίες
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
ServiceStarted
Μια υπηρεσία ξεκίνησε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Υπηρεσία
Το στοιχείο Υπηρεσία σάς επιτρέπει να δημιουργείτε κανόνες με βάση τις ιδιότητες των υπηρεσιών των Windows και τα συμβάντα ελέγχου υπηρεσιών που εκθέτει η Διαχείριση ελέγχου υπηρεσιών (SCM).
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
LoadType
|
Symbol
|
Ο τύπος εκκίνησης της υπηρεσίας
|
Οι πιθανές τιμές είναι:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Το εσωτερικό όνομα υπηρεσίας που έχει καταχωριστεί στον SCM
|
|
Type
|
Int
|
Υποδεικνύει τον τύπο της υπηρεσίας που καταχωρήθηκε στο SCM
|
Οι πιθανές τιμές είναι:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Υποστηριζόμενες λειτουργίες
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
SetFileAttribute
Ορίστηκε ένα χαρακτηριστικό αρχείου.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Χαρακτηριστικό αρχείου
Τα συμβάντα FileAttribute αναφέρονται προς το παρόν μόνο σε Linux. Ο κανόνας ενεργοποιείται όταν ορίζεται ένα χαρακτηριστικό, για παράδειγμα, από την εντολή chmod.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Attribute
|
Symbol
|
Χαρακτηριστικό ενός αρχείου
|
Οι πιθανές τιμές είναι:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Υποστηριζόμενες λειτουργίες
•SetFileAttribute |
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
SystemApiCall
Κλήθηκε μια λειτουργία συστήματος.
Υποστηριζόμενα στοιχεία:
• ApiCall
Επιστρέφει πληροφορίες σχετικά με τις κλήσεις API.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ApiName
|
Symbol
|
Όνομα του API που καλείται από τη διεργασία
|
Οι υποστηριζόμενες τιμές είναι:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Μόνο Linux
Παράδειγμα
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Υποστηριζόμενες λειτουργίες
•SystemApiCall |
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
TcpIpAccept
Έγινε αποδοχή μιας εισερχόμενης σύνδεσης TCP/IP.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Δίκτυο
Επιστροφή πληροφοριών σχετικά με συμβάντα δικτύου
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DestinationIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
DestinationIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Το όνομα κεντρικού υπολογιστή προορισμού.
Υποστηρίζεται μόνο με συμβάντα TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Η σύνδεση είναι εισερχόμενη
|
true/false
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Η TCP/UDP θύρα προορισμού
|
8080
|
Protocol
|
String
|
Το πρωτόκολλο που χρησιμοποιείται από τη σύνδεση
|
HTTP, HTTPS, κ.λπ.
|
SourceIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
SourceIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Εάν το αίτημα αφορούσε μια διεύθυνση URL (δηλαδή, αίτημα HTTP)
Υποστηρίζεται με αιτήματα HTTP και Ανιχνεύσεις.
|
Η διεύθυνση URL προορισμού
|
Παράδειγμα
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
TcpIpConnect
Πραγματοποιήθηκε μια εξερχόμενη σύνδεση TCP/IP.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Δίκτυο
Επιστροφή πληροφοριών σχετικά με συμβάντα δικτύου
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DestinationIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
DestinationIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Το όνομα κεντρικού υπολογιστή προορισμού.
Υποστηρίζεται μόνο με συμβάντα TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Η σύνδεση είναι εισερχόμενη
|
true/false
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Η TCP/UDP θύρα προορισμού
|
8080
|
Protocol
|
String
|
Το πρωτόκολλο που χρησιμοποιείται από τη σύνδεση
|
HTTP, HTTPS, κ.λπ.
|
SourceIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
SourceIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Εάν το αίτημα αφορούσε μια διεύθυνση URL (δηλαδή, αίτημα HTTP)
Υποστηρίζεται με αιτήματα HTTP και Ανιχνεύσεις.
|
Η διεύθυνση URL προορισμού
|
Παράδειγμα
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
TcpIpProtocolIdentified
Πάνω από τη σύνδεση TCP/IP, περιγράφει το πρωτόκολλο που χρησιμοποιείται.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• Δίκτυο
Επιστροφή πληροφοριών σχετικά με συμβάντα δικτύου
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DestinationIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
DestinationIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προορισμού της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Το όνομα κεντρικού υπολογιστή προορισμού.
Υποστηρίζεται μόνο με συμβάντα TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Η σύνδεση είναι εισερχόμενη
|
true/false
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση-στόχος του συμβάντος. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Η TCP/UDP θύρα προορισμού
|
8080
|
Protocol
|
String
|
Το πρωτόκολλο που χρησιμοποιείται από τη σύνδεση
|
HTTP, HTTPS, κ.λπ.
|
SourceIpAddressV4
|
Διεύθυνση Ipv4
|
Η Ipv4 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
192.168.0.1, υποστηρίζει μάσκες - 192.168.0.0/16
|
SourceIpAddressV6
|
Διεύθυνση Ipv6
|
Η Ipv6 διεύθυνση προέλευσης της ανίχνευσης τείχους προστασίας. Υποστηρίζει μάσκες.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, υποστηρίζει μάσκες - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Εάν το αίτημα αφορούσε μια διεύθυνση URL (δηλαδή, αίτημα HTTP)
Υποστηρίζεται με αιτήματα HTTP και Ανιχνεύσεις.
|
Η διεύθυνση URL προορισμού
|
Παράδειγμα
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
TruncateFile
Ένα αρχείο περικόπηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
UnloadDriver
Έγινε κατάργηση φόρτωσης ενός προγράμματος οδήγησης ή μιας λειτουργικής μονάδας πυρήνα.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
UserActivate
Ο χρήστης ενεργοποιήθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Ο χρήστης προστέθηκε στην ομάδα.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Το ίδιο με το UserLogonData, αλλά με ιδιότητες για δεδομένα σχετικά με ομάδες.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Δημιουργήθηκε νέος χρήστης.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Ο χρήστης απενεργοποιήθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Ο χρήστης συνδέθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Συμβάντα που σχετίζονται με τις δραστηριότητες του χρήστη (δημιουργία χρήστη, σύνδεση, ...), πληροφορίες σχετικά με αυτά τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Hostname
|
String
|
Όνομα υπολογιστή από τον οποίο πραγματοποιήθηκε προσπάθεια σύνδεσης
|
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Διεύθυνση IPv4 του υπολογιστή από τον οποίο πραγματοποιήθηκε η προσπάθεια σύνδεσης
|
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Διεύθυνση IPv6 του υπολογιστή από τον οποίο πραγματοποιήθηκε η προσπάθεια σύνδεσης
|
|
LogonType
|
Symbol
|
Τύπος σύνδεσης
|
Οι πιθανές τιμές είναι:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Η θύρα προέλευσης που χρησιμοποιήθηκε για την προσπάθεια σύνδεσης από απομακρυσμένο μηχάνημα
|
|
Υποστηριζόμενες λειτουργίες
•UserLogin
•UserLogout |
UserLogout
Ο χρήστης αποσυνδέθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Συμβάντα που σχετίζονται με τις δραστηριότητες του χρήστη (δημιουργία χρήστη, σύνδεση, ...), πληροφορίες σχετικά με αυτά τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Hostname
|
String
|
Όνομα υπολογιστή από τον οποίο πραγματοποιήθηκε προσπάθεια σύνδεσης
|
|
IpAddressV4
|
Διεύθυνση Ipv4
|
Διεύθυνση IPv4 του υπολογιστή από τον οποίο πραγματοποιήθηκε η προσπάθεια σύνδεσης
|
|
IpAddressV6
|
Διεύθυνση Ipv6
|
Διεύθυνση IPv6 του υπολογιστή από τον οποίο πραγματοποιήθηκε η προσπάθεια σύνδεσης
|
|
LogonType
|
Symbol
|
Τύπος σύνδεσης
|
Οι πιθανές τιμές είναι:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Η θύρα προέλευσης που χρησιμοποιήθηκε για την προσπάθεια σύνδεσης από απομακρυσμένο μηχάνημα
|
|
Υποστηριζόμενες λειτουργίες
•UserLogin
•UserLogout |
UserRemove
Ο χρήστης καταργήθηκε.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Ο χρήστης αφαιρέθηκε από την ομάδα.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• DoneByUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• TargetUser
Ο χρήστης που στοχοποιήθηκε.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Το ίδιο με το UserLogonData, αλλά με ιδιότητες για δεδομένα σχετικά με ομάδες.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Sid
|
String
|
Ποιος χρήστης (SID λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
SidNameUse
|
Symbol
|
Ποια ομάδα (ο τύπος SID της) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
Οι ομάδες είναι:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Ποιος χρήστης (όνομα λογαριασμού) βρίσκεται πίσω από το συγκεκριμένο συμβάν
|
|
Υποστηριζόμενες λειτουργίες
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Εκτελέστηκε ένα συμβάν από το VirtualDiskMount.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
WmiExecution
Ενεργοποιήθηκε το συμβάν εκτέλεσης Οργάνου διαχείρισης των Windows.
Υποστηριζόμενα στοιχεία:
• ClientEnterprise
Η ClientEnterprise είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientFileItem
Η ClientFileItem είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό που διαγράφει τον εαυτό του)
|
true/false
|
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientLiveGrid
Η ClientLiveGrid είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες διαθέτουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα του 1000 μέχρι να εντοπιστεί.
|
|
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientModule
Η ClientModule είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία-πελάτης είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής εκμάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, όνομα της εταιρείας που παρήγαγε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι πρόκειται για κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε από προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του Packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid—Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων από το ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις κάτω από το σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution, WmiQuery και CodeInjection, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε στην πραγματικότητα μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• WmiExecutionInfo
Το συμβάν εκτέλεσης Οργάνου διαχείρισης των Windows προκύπτει μόνο όταν καλείται η μέθοδος Οργάνου διαχείρισης των Windows, Win32_process.create().
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
ClassName
|
String
|
Μια κλάση που περιέχει μια ενεργοποιημένη μέθοδο
|
ClientMachineFQDN
|
String
|
Πλήρως προσδιορισμένο όνομα τομέα του μηχανήματος-πελάτη
|
CommandLine
|
String
|
Μια γραμμή εντολών που αποστέλλεται σε μια μέθοδο ως λίστα ορισμάτων
|
IsLocal
|
Bool
|
Καθορίζει εάν μια μέθοδος κλήθηκε τοπικά ή απομακρυσμένα
|
MethodName
|
String
|
Μια μέθοδος που ενεργοποιήθηκε
|
Παράδειγμα
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Υποστηριζόμενες λειτουργίες
•WmiExecution |
WmiPersistence
Το συμβάν δημιουργείται όταν ο καταναλωτής συνδέεται σε ένα φίλτρο.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• WmiPersistenceInfo
Το συμβάν δημιουργείται όταν ο καταναλωτής συνδέεται σε ένα φίλτρο.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
EventConsumerName
|
String
|
Το όνομα ενός καταναλωτή που ενεργοποιεί μια ενέργεια όταν φτάνει ένα συγκεκριμένο συμβάν
|
EventFilterName
|
String
|
Όνομα του χρησιμοποιούμενου EventFilter
|
Handler
|
String
|
Γραμμή εντολών που εκτελείται από έναν καταναλωτή συμβάντων
|
Query
|
String
|
Ένα ερώτημα σε ένα φίλτρο συμβάντων που συλλαμβάνει συμβάντα τα οποία θα πρέπει να εκτελέσουν μια ενέργεια
|
TriggeringUserName
|
String
|
Το όνομα ενός χρήστη που ενεργοποίησε ένα συμβάν το οποίο αντιστοιχίστηκε από ένα φίλτρο
|
TriggeringUserSid
|
String
|
Ενεργοποίηση του αναγνωριστικού ασφαλείας του χρήστη
|
TriggeringUserSidNameUse
|
Int
|
Ενεργοποίηση του τύπου SID του χρήστη
|
Παράδειγμα
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Υποστηριζόμενες λειτουργίες
•WmiPersistence |
WmiQuery
Εκτελέστηκε ερώτημα Οργάνου διαχείρισης των Windows σε υπολογιστή.
Υποστηριζόμενα στοιχεία:
• ClientEnterprise
Η ClientEnterprise είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientFileItem
Η ClientFileItem είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό που διαγράφει τον εαυτό του)
|
true/false
|
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientLiveGrid
Η ClientLiveGrid είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες διαθέτουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
Age
|
Int
|
Ο αριθμός των ημερών από τότε που εμφανίστηκε για πρώτη φορά το εκτελέσιμο αρχείο στο ESET LiveGrid®. Ο αριθμός στρογγυλοποιείται στο ισοδύναμο της εβδομάδας, του μήνα, του μισού έτους, του έτους κ.λπ.
|
|
Reputation
|
Int
|
Ο αριθμός στην κλίμακα φήμης. Όσο υψηλότερο, τόσο πιο αξιόπιστο
|
Οι πιθανές τιμές είναι:
•9, 8—Αξιόπιστο
•7, 6—OK
•5, 4—Επικίνδυνο
•3—PUA, Άγνωστο (δεν έχει εντοπιστεί από το ESET LiveGrid®)
•2, 1—Κακόβουλο λογισμικό |
Popularity
|
Int
|
Ο αριθμός των υπολογιστών στους οποίους το ESET LiveGrid® έχει εντοπίσει ένα εκτελέσιμο αρχείο. Στρογγυλοποιείται σε αριθμούς όπως 10, 100, 1000, 10000 κ.λπ. Το κακόβουλο λογισμικό συνήθως δεν ξεπερνά τη δημοτικότητα του 1000 μέχρι να εντοπιστεί.
|
|
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientModule
Η ClientModule είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution και WmiQuery, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία-πελάτης είναι μια διεργασία που εκτέλεσε πραγματικά μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
AugurScore
|
Int
|
Ο αριθμός βαθμολογίας από τη μηχανή μηχανικής εκμάθησης της ESET. Οι πιθανές τιμές είναι 0 έως 99
|
67
|
CompanyName
|
String
|
Από τις πληροφορίες έκδοσης, όνομα της εταιρείας που παρήγαγε το αρχείο
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Αριθμός ημερών από τότε που το αρχείο αναγνωρίστηκε ως nearmiss.
Nearmiss – η ανίχνευση ενεργοποιείται λόγω κακόβουλου λογισμικού, αλλά ενδέχεται να πρόκειται για ψευδώς θετικό αποτέλεσμα (δεν μπορούμε να εγγυηθούμε ότι πρόκειται για κακόβουλο λογισμικό)
|
|
EmulationStatus
|
Int
|
Η κατάσταση της εξομοίωσης του αρχείου (εάν το αρχείο εξομοιώθηκε από προηγμένη ευρετική τεχνολογία)
|
0—Δεν εξομοιώθηκε
1—Εξομοιώθηκε
|
FileDescription
|
String
|
Από τις πληροφορίες έκδοσης, περιγραφή αρχείου που εμφανίζεται στους χρήστες
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Αρχείο που παραδόθηκε μέσω RDP
|
Οι πιθανές τιμές είναι:
0—RDP
|
FileSize
|
Int
|
Μέγεθος αρχείου σε byte
|
41984
|
FileVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του αρχείου
|
"10.0.14393.0"
|
InternalName
|
String
|
Από τις πληροφορίες έκδοσης, το εσωτερικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Το αρχείο είναι ένα PE DLL
|
true/false
|
IsElf
|
Bool
|
Το αρχείο είναι αρχείο ELF
|
true/false
|
IsExe
|
Bool
|
Το αρχείο είναι εκτελέσιμο
|
true/false
|
IsMacho
|
Bool
|
Καθορίζει εάν ένα αρχείο είναι αρχείο Mach-O (macOS) ή όχι
|
true/false
|
IsNative
|
Bool
|
Το αρχείο είναι ένα εγγενές εκτελέσιμο αρχείο PE
|
true/false
|
isPe
|
Bool
|
Το αρχείο είναι ένα εκτελέσιμο αρχείο των Windows
|
true/false
|
MD5
|
Hash
|
md5 κατακερματισμός του εκτελέσιμου αρχείου
|
|
MachoIsProtected
|
Bool
|
Η μονάδα είναι ένα προστατευμένο εκτελέσιμο αρχείο Mach-O
|
|
MachoSignatureId
|
String
|
Αναγνωριστικό αρχείου Mach-O που υπάρχει στην υπογραφή
|
"com.apple.ls"
|
MachoSignerCns
|
Σύνολο συμβολοσειρών
|
Σύνολο κοινών ονομάτων από πιστοποιητικά στο αρχείο Mach-O
|
|
MachoUserId
|
String
|
Μοναδικό αναγνωριστικό προγραμματιστή που εκχωρείται από την Apple
|
|
OriginalFileName
|
String
|
Από τις πληροφορίες έκδοσης, το αρχικό όνομα του αρχείου
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Όνομα του packer
|
"UPX"
|
ProductName
|
String
|
Από τις πληροφορίες έκδοσης, το όνομα του προϊόντος με το οποίο διανέμεται το αρχείο
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Από τις πληροφορίες έκδοσης, ο αριθμός έκδοσης του προϊόντος με το οποίο διανέμεται το αρχείο
|
"10.0.14393"
|
SFXName
|
String
|
Όνομα του Packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 κατακερματισμός του εκτελέσιμου αρχείου
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 κατακερματισμός του εκτελέσιμου αρχείου
|
|
SignatureType
|
Symbol
|
Τύπος υπογραφής του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•90—Trusted—Η υπογραφή θεωρείται αξιόπιστη από το τερματικό
•80—Valid—Η υπογραφή είναι αξιόπιστη για το λειτουργικό σύστημα
•75—Adhoc—Το πιστοποιητικό είναι αυτο-υπογεγραμμένο
•70—None—Δεν υπάρχει υπογραφή στο αρχείο
•60—Invalid—Η υπογραφή δεν είναι έγκυρη/είναι κατεστραμμένη/έχει ανακληθεί
•50—Present—Η υπογραφή υπάρχει, αλλά η κατάσταση του πιστοποιητικού είναι άγνωστη
•50—Unknown—Αποτυχία επαλήθευσης πιστοποιητικού |
SignerName
|
String
|
Όνομα του υπογράφοντος, εάν υπάρχει
|
"Microsoft Windows"
|
Tags
|
String
|
Επιτρέπει σε έναν χρήστη να φιλτράρει με βάση μια λειτουργική μονάδα στην οποία έχει επισυναφθεί μια καθορισμένη ετικέτα
|
|
Whitelist
|
Symbol
|
Τύπος λίστας μη αποκλεισμένων διευθύνσεων του εκτελέσιμου αρχείου
|
Οι πιθανές τιμές είναι:
•0—None—Καμία λίστα μη αποκλεισμένων διευθύνσεων για αυτό το αρχείο
•1—Authoritative—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων από το τερματικό
•2—LiveGrid—Το αρχείο περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων από το ESET LiveGrid
•3—Certificate—Το πιστοποιητικό του αρχείου περιλαμβάνεται στη λίστα μη αποκλεισμένων διευθύνσεων |
|
|
1Τα ονόματα των packers ενδέχεται να αλλάξουν στο μέλλον. Επομένως, συνιστούμε τη χρήση της τιμής isnotempty ή isempty για τη συνθήκη.
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις κάτω από το σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo είναι διαθέσιμη μόνο σε συνδυασμό με τις λειτουργίες WmiExecution, WmiQuery και CodeInjection, οι οποίες έχουν διεργασία πελάτη. Μια διεργασία πελάτη είναι μια διεργασία που εκτέλεσε στην πραγματικότητα μια μέθοδο Οργάνου διαχείρισης των Windows.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
CaseSensitiveCommandLine
|
String
|
Επιτρέπει τη δημιουργία κανόνων για γραμμή εντολών με διάκριση πεζών-κεφαλαίων
|
|
CommandLine
|
String
|
Γραμμή εντολών διεργασίας
|
file.txt
|
CommandLineLength
|
Int
|
Μήκος της γραμμής εντολών
|
123
|
Compromised
|
Bool
|
Η διεργασία επισημάνθηκε ως παραβιασμένη από έναν κανόνα με ενέργεια MarkAsCompromised
|
true/false ή 1/0
|
IntegrityLevel
|
Symbol
|
Επίπεδο ακεραιότητας της διεργασίας.
|
Οι πιθανές τιμές είναι:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Περιέχει μια διαδρομή προς την εκτέλεση μιας συντόμευσης
|
|
ProcessDistance
|
Int
|
Η απόσταση της διεργασίας από την τρέχουσα διεργασία
|
123
|
ProcessLevel
|
Int
|
Βάθος της διεργασίας στην ιεραρχία διεργασιών
|
123
|
ProcessOwner
|
String
|
Ο χρήστης που δημιούργησε τη διεργασία
|
|
RiskScore
|
Int
|
Η βαθμολογία παρακολουθείται για κάθε διεργασία στο τερματικό. Μπορείτε να χρησιμοποιήσετε τις ενέργειες IncreaseParentRiskScore ή IncreaseRiskScore για να αυξήσετε την τιμή κατά καθορισμένο ποσό. Όταν επιτευχθεί το όριο βαθμολογίας κινδύνου, ενεργοποιείται η ενέργεια KillParentProcess ή KillProcess. Μπορείτε να καθορίσετε το όριο βαθμολογίας κινδύνου μέσω των επιλογών Πολιτική > ESET Inspect Connector > Σύνθετες ρυθμίσεις. Η βαθμολογία κινδύνου μηδενίζεται μετά από ορισμένο χρονικό διάστημα, από προεπιλογή 6 ώρες.
|
1000
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
• WmiQueryInfo
Τα συμβάντα ερωτήματος Οργάνου διαχείρισης των Windows προκύπτουν όταν ένας χρήστης ή μια υπηρεσία ενεργοποιεί ένα ερώτημα σε ένα σύστημα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
ClientMachineFQDN
|
String
|
Πλήρως προσδιορισμένο όνομα τομέα του υπολογιστή-πελάτη
|
IsLocal
|
Bool
|
Εάν είναι ψευδές, ένα ερώτημα κλήθηκε από απομακρυσμένο υπολογιστή (για παράδειγμα, με χρήση του WbemTest)
|
Query
|
String
|
Ενεργοποιήθηκε ένα ερώτημα σε ένα σύστημα
|
Παράδειγμα
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Υποστηριζόμενες λειτουργίες
•WmiQuery |
WriteFile
Έγινε εγγραφή σε ένα αρχείο.
Υποστηριζόμενα στοιχεία:
• DateTime
Σας επιτρέπει να γράφετε κανόνες που ενεργοποιούνται μόνο σε καθορισμένη χρονική στιγμή.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
DayOfWeek
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ημέρες της εβδομάδας
|
Οι πιθανές τιμές είναι:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας. Οι πιθανές τιμές είναι από 0 έως 23
|
12
|
Minute
|
Int
|
Ενεργοποίηση του κανόνα μόνο σε συγκεκριμένες ώρες της ημέρας.
Οι πιθανές τιμές είναι από 0 έως 59
|
30
|
Παράδειγμα
Αυτός ο κανόνας ενεργοποιείται κάθε φορά που ανοίγει το Σημειωματάριο από Δευτέρα έως Παρασκευή μεταξύ 9 π.μ. και 5 μ.μ.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο DateTime υποστηρίζεται από όλες τις λειτουργίες.
|
• EnterpriseInspector
Παρέχει πληροφορίες σχετικά με το Connector.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
VersionString
|
String
|
Συμβολοσειρά έκδοσης του Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Κύρια έκδοση του Connector.
|
1
|
VersionMinor
|
Int
|
Δευτερεύουσα έκδοση του Connector.
|
9
|
BuildNumber
|
Int
|
Αριθμός build του Connector.
|
2385
|
Υποστηριζόμενες λειτουργίες
Το στοιχείο EnterpriseInspector υποστηρίζεται από όλες τις λειτουργίες.
|
• FileItem
Επιστρέψτε τις πληροφορίες σχετικά με το τρέχον αρχείο
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
ADS
|
String
|
Το τμήμα ADS της διαδρομής
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Η επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Το όνομα αρχείου με την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Όνομα αρχείου χωρίς την επέκταση αρχείου
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Η διαδρομή αρχείου συμπεριλαμβανομένου του ονόματος αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Το μήκος του ονόματος
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Η διαδρομή αρχείου
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Ενεργοποιείται εάν η λειτουργία εκτελείται από το αρχείο πάνω στον εαυτό του (σύνηθες για κακόβουλο λογισμικό να διαγράφει τον εαυτό του)
|
true/false
|
Αρχείο ελέγχου
Οι ιδιότητες διαδρομής διαθέτουν μια ειδική μεταβλητή για τα αρχεία ελέγχου. Η τιμή για τον καθορισμό της διαδρομής προς το αρχείο ελέγχου είναι %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Υποστηριζόμενες λειτουργίες
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Πληροφορίες σχετικά με το σύστημα από το οποίο προέρχονται τα συμβάντα.
Ιδιότητα
|
Τύπος
|
Περιγραφή
|
Παράδειγμα
|
isServer
|
Bool
|
Υποδεικνύει εάν το σύστημα είναι διακομιστής
|
Ψευδές – Δεν είναι διακομιστής
True—Διακομιστής
|
SystemArchitecture
|
Symbol
|
Ο τύπος της αρχιτεκτονικής του συστήματος
|
Για να ταιριάξετε την αρχιτεκτονική 32-bit, χρησιμοποιήστε ένα από τα εξής:
•32
•32bit
•x86
•0
Για αντιστοίχιση με αρχιτεκτονική 64-bit, χρησιμοποιήστε ένα από τα ακόλουθα:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Ποιος τύπος λειτουργικού συστήματος ενεργοποίησε το συμβάν
|
Για να ταιριάξετε το σύστημα Windows, χρησιμοποιήστε ένα από τα ακόλουθα:
•Windows
•Win
•0
Για αντιστοίχιση με σύστημα MacOS, χρησιμοποιήστε ένα από τα ακόλουθα:
•macOs
•macOsx
•Osx
•1
Για αντιστοίχιση με σύστημα Linux χρησιμοποιήστε τα εξής:
•2 |
SystemVersion
|
String
|
Η πλήρης έκδοση του συστήματος με κύριους και δευτερεύοντες αριθμούς
|
|
Tags
|
Σύνολο συμβολοσειρών
|
Ετικέτες που έχουν εκχωρηθεί στο συγκεκριμένο σύστημα
|
|
Οι συνθήκες που υποστηρίζονται για τύπους συνόλων (Σύνολο διευθύνσεων IPv4, Σύνολο διευθύνσεων IPv6, Σύνολο συμβολοσειρών, Σύνολο συμβόλων) παρατίθενται στον πίνακα Τύποι ιδιοτήτων & Σχέσεις, στην ενότητα σύνολο τιμών.
Υποστηριζόμενες λειτουργίες
Το στοιχείο SystemInfo υποστηρίζεται από όλες τις λειτουργίες.
|
|
|
Οι παλαιότερες εκδόσεις των Windows δεν παράγουν συμβάντα Οργάνου διαχείρισης των Windows. Αυτή η λειτουργία είναι διαθέσιμη από τα Windows 10 έκδοση 1803.
Ορισμένα από τα συμβάντα παρέχουν μόνο μερική πληροφόρηση:
•Συμβάντα εγγραφής αρχείων – καταγράφεται μόνο η πρώτη αλλαγή αρχείου (Αυτό ισχύει ανά διεργασία. Εάν δύο διεργασίες αλλάξουν το ίδιο αρχείο, καταγράφονται και οι δύο αλλαγές)
•Συμβάντα που σχετίζονται με το μητρώο—καταγράφεται μόνο η πρώτη αλλαγή κλειδιού μητρώου (πρώτη φορά από μια διεργασία)
•DLLLoad—καταγράφονται μόνο τα DLL που δεν περιλαμβάνονται στη λίστα μη αποκλεισμένων διευθύνσεων του AV
•Συμβάντα TcpIp – καταγράφεται μόνο η πρώτη σύνδεση (την πρώτη φορά από μια διεργασία)
•Συμβάντα Http – καταγράφεται μόνο το πρώτο αίτημα (πρώτη φορά από μια διεργασία)
•ModuleDrop (γνωστό και ως PEDrop) – αναφέρεται μόνο για την πρώτη εναπόθεση (drop) μιας δεδομένης μονάδας (πρώτη φορά σε έναν υπολογιστή)
•AmsiTriggerEvent—καταγράφεται μόνο η πρώτη εκτέλεση (πρώτη φορά σε υπολογιστή) |
