La parte operations define qué operaciones ejecutadas por un proceso activan el indicador. Si está vacío, el indicador se activa cuando el proceso genera un evento.
Las operaciones se definen mediante un elemento de operación con un atributo de tipo y un elemento de expresión.
<operation type="WriteFile">Expression</operation>
Los siguientes componentes son compatibles con todas las operaciones.
•
DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
BitsJobAddFile
Se añadió un archivo a un trabajo de BITS.
Componentes compatibles:
• BitsJobAddFile
Devuelve información sobre un trabajo de BITS.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
FileCount
|
Int
|
Número de archivos añadidos al trabajo.
|
1
|
JobTitle
|
String
|
Nombre para mostrar del trabajo de BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Ruta de destino local del archivo.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL de origen o ruta remota del archivo.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Cuenta propietaria del trabajo o que lo creó.
|
|
UserSid
|
String
|
Identificador de seguridad (SID) de la cuenta.
|
|
Operaciones compatibles
•BitsJobAddFile |
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
CodeInjection
Un proceso fue objeto de algún tipo de inyección de código.
Componentes compatibles:
• ClientProcessInfo
ClientProcessInfo solo está disponible en combinación con las operaciones WmiExecution, WmiQuery y CodeInjection, que tienen un proceso cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distingue entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta de acceso a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un período de tiempo determinado, de forma predeterminada 6 horas.
|
1000
|
Operaciones compatibles
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Para los eventos CodeInjection, proporciona información sobre la técnica de inyección de código utilizada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CodeInjectionType
|
Symbol
|
Técnica de inyección de código utilizada
|
Los valores posibles son:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Operaciones admitidas
•CodeInjection |
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• Gran empresa
Proporciona una estadística sobre los módulos de la red supervisada.
Operaciones compatibles
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid es un sistema preventivo que recopila información sobre amenazas de usuarios de todo el mundo. La base de datos de ESET LiveGrid® contiene información de reputación sobre posibles amenazas. La reputación de los ejecutables le ayuda a filtrar los resultados de las reglas.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más fiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6—Correcto
•5, 4—Arriesgado
•3—PUA, desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
|
|
No se puede confiar en los valores de ESET LiveGrid® para los nuevos ejecutables. Incluso el ejecutable más popular y de confianza (por ejemplo, el instalador de una nueva versión de Google Chrome) tiene poca popularidad y una reputación desconocida durante algún tiempo después de su lanzamiento.
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Devuelve la información sobre el módulo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que se reconoció el archivo como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1: se emuló
|
FileDescription
|
String
|
De la información de versión, la descripción del archivo que se muestra a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
md5 hash del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de certificados en el archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
De la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida/está dañada/está revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative—El archivo está en la lista blanca del punto de acceso
•2—LiveGrid—El archivo está incluido en la lista blanca de ESET LiveGrid
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores (packers) pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Operaciones admitidas
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Devuelve información sobre el proceso actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un cierto periodo de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Devuelve información sobre el proceso de servicio actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a la ejecución de un acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un determinado período de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
CreateNamedPipe
Se ha creado una canalización con nombre.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
CreateProcess
Se ha creado un proceso.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• Gran empresa
Proporciona una estadística sobre los módulos de la red supervisada.
Operaciones compatibles
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid es un sistema preventivo que recopila información sobre amenazas de usuarios de todo el mundo. La base de datos de ESET LiveGrid® contiene información de reputación sobre posibles amenazas. La reputación de los ejecutables le ayuda a filtrar los resultados de las reglas.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más fiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6—Correcto
•5, 4—Arriesgado
•3—PUA, desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
|
|
No se puede confiar en los valores de ESET LiveGrid® para los nuevos ejecutables. Incluso el ejecutable más popular y de confianza (por ejemplo, el instalador de una nueva versión de Google Chrome) tiene poca popularidad y una reputación desconocida durante algún tiempo después de su lanzamiento.
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Devuelve la información sobre el módulo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que se reconoció el archivo como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1: se emuló
|
FileDescription
|
String
|
De la información de versión, la descripción del archivo que se muestra a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
md5 hash del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de certificados en el archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
De la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida/está dañada/está revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative—El archivo está en la lista blanca del punto de acceso
•2—LiveGrid—El archivo está incluido en la lista blanca de ESET LiveGrid
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores (packers) pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Operaciones admitidas
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Devuelve información sobre el proceso actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un cierto periodo de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Devuelve información sobre el proceso de servicio actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a la ejecución de un acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un determinado período de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
DeleteFile
Se ha eliminado un archivo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
DeleteVolumeShadowCopy
Se ha eliminado una instantánea de copia de seguridad de un volumen.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• VolumeShadowCopyInfo
Devuelve información sobre la creación de instantáneas de volumen (shadow copies) y las instantáneas de copia de seguridad existentes.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
OriginalVolumeName
|
String
|
El nombre del volumen del que se había realizado una instantánea (shadow copy)
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
El nombre de la máquina que contiene el volumen original
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Nombre del proveedor utilizado para crear la instantánea de copia de seguridad
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
El nombre del sistema que proporciona el servicio de instantáneas de copia de seguridad (normalmente el mismo que el equipo de origen en las copias de seguridad locales)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
La ruta del dispositivo que representa la instantánea del volumen. La ruta del objeto de dispositivo puede considerarse como la raíz de una instantánea de copia de seguridad de un volumen. Los solicitantes utilizarán este nombre de dispositivo al acceder a los archivos de un volumen con instantáneas con el que necesiten trabajar.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Operaciones compatibles
•DeleteVolumeShadowCopy |
DnsRequest
Se ha realizado una solicitud DNS (normalmente IP > dominio, dominio > IP).
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DnsInfo
DnsInfo con las siguientes propiedades:
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DnsQuery
|
String
|
La consulta DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
La longitud de la consulta DNS
|
100
|
DnsResponseIpAddressV4
|
Conjunto de direcciones IPv4
|
Los registros A en la respuesta DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Conjunto de direcciones IPv6
|
Los registros AAAA en la respuesta DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Conjunto de cadenas
|
Los registros NS, CNAME, PTR o TXT de la respuesta DNS
|
mobile-google.com
|
DnsResponseType
|
Conjunto de símbolos
|
Los tipos de registros presentes en la respuesta DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
La longitud total de la respuesta DNS
|
100
|
Para la propiedad DnsResponseType, hay un conjunto predefinido de valores que se pueden utilizar (no distingue entre mayúsculas y minúsculas):
Para obtener más información sobre los valores DnsResponseType, consulte los TIPOS de registro de recursos (RR).
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedad & Relaciones, en conjunto de valores.
Ejemplo
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Operaciones compatibles
•DnsRequest |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
HttpRequest
Se ha realizado una solicitud HTTP.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• Red
Devuelve información sobre eventos de red
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DestinationIpAddressV4
|
Dirección Ipv4
|
La dirección de destino Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Dirección Ipv6
|
La dirección de destino Ipv6 de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
El nombre de host del destino.
Solo se admite con eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La conexión es entrante
|
true/false
|
IpAddressV4
|
Dirección Ipv4
|
La dirección Ipv4 de destino del evento. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
IpAddressV6
|
Dirección Ipv6
|
La dirección Ipv6 de destino del evento. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
El puerto de destino TCP/UDP
|
8080
|
Protocol
|
String
|
El protocolo utilizado por la conexión
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Dirección Ipv4
|
La dirección de origen Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Dirección Ipv6
|
La Ipv6 dirección de origen de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la solicitud implicaba una URL (es decir, una solicitud HTTP)
Es compatible con solicitudes HTTP y detecciones.
|
La URL de destino
|
Ejemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
LoadDLL
Se ha cargado una DLL.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• Gran empresa
Proporciona una estadística sobre los módulos de la red supervisada.
Operaciones compatibles
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid es un sistema preventivo que recopila información sobre amenazas de usuarios de todo el mundo. La base de datos de ESET LiveGrid® contiene información de reputación sobre posibles amenazas. La reputación de los ejecutables le ayuda a filtrar los resultados de las reglas.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más fiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6—Correcto
•5, 4—Arriesgado
•3—PUA, desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
|
|
No se puede confiar en los valores de ESET LiveGrid® para los nuevos ejecutables. Incluso el ejecutable más popular y de confianza (por ejemplo, el instalador de una nueva versión de Google Chrome) tiene poca popularidad y una reputación desconocida durante algún tiempo después de su lanzamiento.
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Devuelve la información sobre el módulo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que se reconoció el archivo como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1: se emuló
|
FileDescription
|
String
|
De la información de versión, la descripción del archivo que se muestra a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
md5 hash del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de certificados en el archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
De la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida/está dañada/está revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative—El archivo está en la lista blanca del punto de acceso
•2—LiveGrid—El archivo está incluido en la lista blanca de ESET LiveGrid
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores (packers) pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Operaciones admitidas
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Devuelve información sobre el proceso actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un cierto periodo de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Devuelve información sobre el proceso de servicio actual.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distinguen entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta a la ejecución de un acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un determinado período de tiempo, de forma predeterminada 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados por el proceso.
|
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
LoadDriver
Se ha cargado un controlador o un módulo del kernel.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Módulo
Devuelve la información sobre el módulo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que se reconoció el archivo como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1: se emuló
|
FileDescription
|
String
|
De la información de versión, la descripción del archivo que se muestra a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
md5 hash del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de certificados en el archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
De la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida/está dañada/está revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative—El archivo está en la lista blanca del punto de acceso
•2—LiveGrid—El archivo está incluido en la lista blanca de ESET LiveGrid
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores (packers) pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Operaciones admitidas
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
ModuleDrop
Se ha depositado un ejecutable.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• Gran empresa
Proporciona una estadística sobre los módulos de la red supervisada.
Operaciones compatibles
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid es un sistema preventivo que recopila información sobre amenazas de usuarios de todo el mundo. La base de datos de ESET LiveGrid® contiene información de reputación sobre posibles amenazas. La reputación de los ejecutables le ayuda a filtrar los resultados de las reglas.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más fiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6—Correcto
•5, 4—Arriesgado
•3—PUA, desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
|
|
No se puede confiar en los valores de ESET LiveGrid® para los nuevos ejecutables. Incluso el ejecutable más popular y de confianza (por ejemplo, el instalador de una nueva versión de Google Chrome) tiene poca popularidad y una reputación desconocida durante algún tiempo después de su lanzamiento.
|
Operaciones compatibles
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Devuelve la información sobre el módulo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que se reconoció el archivo como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1: se emuló
|
FileDescription
|
String
|
De la información de versión, la descripción del archivo que se muestra a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
md5 hash del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de certificados en el archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
De la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida/está dañada/está revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative—El archivo está en la lista blanca del punto de acceso
•2—LiveGrid—El archivo está incluido en la lista blanca de ESET LiveGrid
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores (packers) pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Operaciones admitidas
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
MultipleFilesChanged
El proceso modificó varios archivos.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• ProcessBehavior
ProcessBehavior los eventos se notifican en Windows. El antivirus registra a qué archivos se accedió y con qué frecuencia. Si el proceso ha accedido a más archivos de los establecidos en la barrera en un periodo de tiempo determinado, se notifica este evento.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
FileOperations
|
String
|
Las operaciones y sus barreras
|
Los valores posibles son:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Los valores FileOperations son internos y están pensados para usarse solo con reglas predeterminadas.
|
Operaciones compatibles
•MultipleFilesChanged |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
OpenProcess
Se ha añadido un nuevo atributo de regla, que se activa cuando se abre un proceso. Solo se supervisa el proceso abierto a lsass.exe.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Se ha añadido un nuevo atributo de regla, que se activa cuando se abre un proceso.
HIPS envía eventos OpenProcess solo para lsass.exe y solo con acceso al proceso PROCESS_VM_WRITE y/o PROCESS_VM_READ únicamente al llamar a OpenProcess o DuplicateHandle (cuando el proceso ya está abierto con los accesos mencionados)
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AccessRight
|
Symbol
|
|
Los valores posibles son:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Ejemplo
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Operaciones compatibles
•OpenProcess |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
ReadFile
Se desencadena cuando se lee un archivo supervisado. Los archivos supervisados son aquellos que contienen información confidencial o credenciales almacenadas, por ejemplo, contraseñas de navegador almacenadas, contraseñas de clientes FTP almacenadas, la base de datos de AD, etc.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
RegDeleteKey
Se ha eliminado una clave del Registro.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• RegistryItem
Devuelve la información sobre los eventos del registro.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Key
|
Path
|
La ruta de acceso de la clave contiene el nombre del valor de la clave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longitud del valor de la clave
|
16
|
StringValue
|
String
|
El valor de una clave de cadena
|
ValorDeEjemplo
|
IntValue
|
Int
|
El valor de la clave int
|
32
|
Ejemplo
Para la clave del registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operaciones compatibles
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
RegDeleteValue
Se ha eliminado el valor del registro.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• RegistryItem
Devuelve la información sobre los eventos del registro.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Key
|
Path
|
La ruta de acceso de la clave contiene el nombre del valor de la clave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longitud del valor de la clave
|
16
|
StringValue
|
String
|
El valor de una clave de cadena
|
ValorDeEjemplo
|
IntValue
|
Int
|
El valor de la clave int
|
32
|
Ejemplo
Para la clave del registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operaciones compatibles
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
RegRenameKey
Se ha cambiado el nombre de una clave del Registro.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• RegistryItem
Devuelve la información sobre los eventos del registro.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Key
|
Path
|
La ruta de acceso de la clave contiene el nombre del valor de la clave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longitud del valor de la clave
|
16
|
StringValue
|
String
|
El valor de una clave de cadena
|
ValorDeEjemplo
|
IntValue
|
Int
|
El valor de la clave int
|
32
|
Ejemplo
Para la clave del registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operaciones compatibles
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
RegSetValue
Se ha modificado una clave del registro.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• RegistryItem
Devuelve la información sobre los eventos del registro.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Key
|
Path
|
La ruta de acceso de la clave contiene el nombre del valor de la clave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longitud del valor de la clave
|
16
|
StringValue
|
String
|
El valor de una clave de cadena
|
ValorDeEjemplo
|
IntValue
|
Int
|
El valor de la clave int
|
32
|
Ejemplo
Para la clave del registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operaciones compatibles
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
RenameFile
El nombre de un archivo ha cambiado.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
•
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
ScheduledTaskAdded
Se ha añadido una tarea programada.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Devuelve la información sobre la tarea programada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Boundary
|
Date
|
Restricciones de tiempo para la programación: inicio/finalización, zona horaria y ventana/reglas de recurrencia.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Indica si la tarea programada está activa y se ejecutará según su programación.
|
true/false
|
Location
|
String
|
Ruta en el árbol del Planificador de tareas de Microsoft que comienza desde el nodo "Biblioteca del Planificador de tareas"
|
|
Name
|
String
|
Nombre de la tarea
|
|
Type
|
Symbol
|
Tipo de operación de tarea programada
|
Los valores posibles son:
•0—Create
•1—Unknown |
Operaciones compatibles
•ScheduledTaskAdded |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
Scripts
Se ha ejecutado un script expuesto por AMSI.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• Scripts
El componente Scripts le permite crear reglas basadas en las propiedades del script ejecutado que expone AMSI.
Propiedad
|
Tipo
|
Descripción
|
Script
|
String
|
Script recibido por ESET PROTECT a través de la integración de AMSI
|
ScriptLength
|
Int
|
Longitud del script (número de caracteres)
|
ScriptSha1
|
Hash
|
Hash SHA1 del fragmento de script
|
ScriptSha256
|
Hash
|
Hash SHA256 del fragmento de script
|
Ejemplo
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Operaciones compatibles
•Scripts |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
ServiceInstalled
Se ha instalado un servicio.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servicio
El componente Service permite crear reglas basadas en las propiedades de los servicios de Windows y en los eventos de control de servicios expuestos por el Administrador de control de servicios (SCM).
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
LoadType
|
Symbol
|
El tipo de inicio del servicio
|
Los valores posibles son:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
El nombre de servicio interno registrado en el SCM
|
|
Type
|
Int
|
Indica el tipo de servicio que se registró en el SCM
|
Los valores posibles son:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operaciones compatibles
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
ServiceStarted
Se ha iniciado un servicio.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servicio
El componente Service permite crear reglas basadas en las propiedades de los servicios de Windows y en los eventos de control de servicios expuestos por el Administrador de control de servicios (SCM).
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
LoadType
|
Symbol
|
El tipo de inicio del servicio
|
Los valores posibles son:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
El nombre de servicio interno registrado en el SCM
|
|
Type
|
Int
|
Indica el tipo de servicio que se registró en el SCM
|
Los valores posibles son:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operaciones compatibles
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
SetFileAttribute
Se ha establecido un atributo de archivo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileAttribute
Los eventos FileAttribute solo se notifican actualmente en Linux. La regla se activa cuando se establece un atributo, por ejemplo, mediante el comando chmod.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Attribute
|
Symbol
|
Atributo de un archivo
|
Los valores posibles son:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Operaciones compatibles
•SetFileAttribute |
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
SystemApiCall
Se ha llamado a una función del sistema.
Componentes compatibles:
• ApiCall
Devuelve información sobre las llamadas a la API.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ApiName
|
Symbol
|
Nombre de la API a la que llama el proceso
|
Los valores admitidos son:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Solo Linux
Ejemplo
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Operaciones compatibles
•SystemApiCall |
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
TcpIpAccept
Se aceptó una conexión TCP/IP entrante.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• Red
Devuelve información sobre eventos de red
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DestinationIpAddressV4
|
Dirección Ipv4
|
La dirección de destino Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Dirección Ipv6
|
La dirección de destino Ipv6 de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
El nombre de host del destino.
Solo se admite con eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La conexión es entrante
|
true/false
|
IpAddressV4
|
Dirección Ipv4
|
La dirección Ipv4 de destino del evento. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
IpAddressV6
|
Dirección Ipv6
|
La dirección Ipv6 de destino del evento. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
El puerto de destino TCP/UDP
|
8080
|
Protocol
|
String
|
El protocolo utilizado por la conexión
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Dirección Ipv4
|
La dirección de origen Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Dirección Ipv6
|
La Ipv6 dirección de origen de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la solicitud implicaba una URL (es decir, una solicitud HTTP)
Es compatible con solicitudes HTTP y detecciones.
|
La URL de destino
|
Ejemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
TcpIpConnect
Se ha establecido una conexión TCP/IP saliente.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• Red
Devuelve información sobre eventos de red
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DestinationIpAddressV4
|
Dirección Ipv4
|
La dirección de destino Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Dirección Ipv6
|
La dirección de destino Ipv6 de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
El nombre de host del destino.
Solo se admite con eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La conexión es entrante
|
true/false
|
IpAddressV4
|
Dirección Ipv4
|
La dirección Ipv4 de destino del evento. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
IpAddressV6
|
Dirección Ipv6
|
La dirección Ipv6 de destino del evento. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
El puerto de destino TCP/UDP
|
8080
|
Protocol
|
String
|
El protocolo utilizado por la conexión
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Dirección Ipv4
|
La dirección de origen Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Dirección Ipv6
|
La Ipv6 dirección de origen de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la solicitud implicaba una URL (es decir, una solicitud HTTP)
Es compatible con solicitudes HTTP y detecciones.
|
La URL de destino
|
Ejemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
TcpIpProtocolIdentified
Sobre la conexión TCP/IP, describe el protocolo utilizado.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• Red
Devuelve información sobre eventos de red
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DestinationIpAddressV4
|
Dirección Ipv4
|
La dirección de destino Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Dirección Ipv6
|
La dirección de destino Ipv6 de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
El nombre de host del destino.
Solo se admite con eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La conexión es entrante
|
true/false
|
IpAddressV4
|
Dirección Ipv4
|
La dirección Ipv4 de destino del evento. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
IpAddressV6
|
Dirección Ipv6
|
La dirección Ipv6 de destino del evento. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
El puerto de destino TCP/UDP
|
8080
|
Protocol
|
String
|
El protocolo utilizado por la conexión
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Dirección Ipv4
|
La dirección de origen Ipv4 de la detección del cortafuegos. Admite máscaras.
|
192.168.0.1, admite máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Dirección Ipv6
|
La Ipv6 dirección de origen de la detección del cortafuegos. Admite máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, admite máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la solicitud implicaba una URL (es decir, una solicitud HTTP)
Es compatible con solicitudes HTTP y detecciones.
|
La URL de destino
|
Ejemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
TruncateFile
Se truncó un archivo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
UnloadDriver
Se ha descargado un controlador o un módulo del kernel.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
UserActivate
Se activó el usuario.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
El usuario se agregó al grupo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Igual que UserLogonData pero con propiedades para datos sobre grupos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Se ha creado un usuario nuevo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
El usuario fue deshabilitado.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
El usuario ha iniciado sesión.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventos relacionados con las actividades del usuario (usuario creado, sesión iniciada, ...), información sobre dichos eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Hostname
|
String
|
Nombre del equipo desde el que se realizó un intento de inicio de sesión
|
|
IpAddressV4
|
Dirección Ipv4
|
Dirección IPv4 del equipo desde el que se realizó el intento de inicio de sesión
|
|
IpAddressV6
|
Dirección Ipv6
|
Dirección IPv6 del equipo desde el que se intentó iniciar sesión
|
|
LogonType
|
Symbol
|
Tipo de inicio de sesión
|
Los valores posibles son:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
El puerto de origen que se utilizó para el intento de inicio de sesión desde la máquina remota
|
|
Operaciones compatibles
•UserLogin
•UserLogout |
UserLogout
El usuario ha cerrado sesión.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventos relacionados con las actividades del usuario (usuario creado, sesión iniciada, ...), información sobre dichos eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Hostname
|
String
|
Nombre del equipo desde el que se realizó un intento de inicio de sesión
|
|
IpAddressV4
|
Dirección Ipv4
|
Dirección IPv4 del equipo desde el que se realizó el intento de inicio de sesión
|
|
IpAddressV6
|
Dirección Ipv6
|
Dirección IPv6 del equipo desde el que se intentó iniciar sesión
|
|
LogonType
|
Symbol
|
Tipo de inicio de sesión
|
Los valores posibles son:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
El puerto de origen que se utilizó para el intento de inicio de sesión desde la máquina remota
|
|
Operaciones compatibles
•UserLogin
•UserLogout |
UserRemove
Se ha eliminado el usuario.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
El usuario se quitó del grupo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• DoneByUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• TargetUser
El usuario que fue el objetivo.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Igual que UserLogonData pero con propiedades para datos sobre grupos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Sid
|
String
|
Qué usuario (SID de la cuenta) está detrás del evento indicado
|
|
SidNameUse
|
Symbol
|
Qué grupo (su tipo de SID) está detrás del evento indicado
|
Los grupos son:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qué usuario (nombre de cuenta) está detrás del evento indicado
|
|
Operaciones compatibles
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Se ejecutó un evento de VirtualDiskMount.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
WmiExecution
Se activó el evento de ejecución de Instrumental de administración de Windows.
Componentes compatibles:
• ClientEnterprise
ClientEnterprise solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Operaciones compatibles
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre del archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si el archivo realiza la operación sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Operaciones admitidas
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más confiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6: correcto
•5, 4—Arriesgado
•3—PUA, Desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
Operaciones compatibles
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que el archivo se reconoció como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1—Se emuló
|
FileDescription
|
String
|
De la información de versión, descripción del archivo mostrada a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
Hash md5 del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de los certificados del archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
Según la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida, está dañada o revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative: el equipo ha incluido el archivo en la lista blanca
•2—LiveGrid—El archivo está en la lista blanca de ESET LiveGrid®
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones admitidas
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo solo está disponible en combinación con las operaciones WmiExecution, WmiQuery y CodeInjection, que tienen un proceso cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distingue entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta de acceso a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un período de tiempo determinado, de forma predeterminada 6 horas.
|
1000
|
Operaciones compatibles
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• WmiExecutionInfo
El evento de ejecución del Instrumental de administración de Windows solo se produce cuando se llama al método del Instrumental de administración de Windows Win32_process.create().
Propiedad
|
Tipo
|
Descripción
|
ClassName
|
String
|
Clase que contiene un método desencadenado
|
ClientMachineFQDN
|
String
|
Nombre de dominio completamente cualificado del equipo cliente
|
CommandLine
|
String
|
Una línea de comandos enviada a un método como una lista de argumentos
|
IsLocal
|
Bool
|
Determina si se llamó a un método de forma local o remota
|
MethodName
|
String
|
Un método que se activó
|
Ejemplo
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Operaciones admitidas
•WmiExecution |
WmiPersistence
El evento se genera cuando un consumidor se vincula a un filtro.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• WmiPersistenceInfo
El evento se genera cuando un consumidor se vincula a un filtro.
Propiedad
|
Tipo
|
Descripción
|
EventConsumerName
|
String
|
Nombre de un consumidor que desencadena una acción cuando llega un evento específico
|
EventFilterName
|
String
|
Nombre del EventFilter utilizado
|
Handler
|
String
|
Línea de comandos ejecutada por un consumidor de eventos
|
Query
|
String
|
Una consulta en un filtro de eventos que captura los eventos que deben ejecutar una acción
|
TriggeringUserName
|
String
|
Nombre de un usuario que desencadenó un evento que coincide con un filtro
|
TriggeringUserSid
|
String
|
Activar el ID de seguridad del usuario
|
TriggeringUserSidNameUse
|
Int
|
Activar el tipo de SID del usuario
|
Ejemplo
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Operaciones compatibles
•WmiPersistence |
WmiQuery
Se ejecutó una consulta de Instrumental de administración de Windows en un equipo.
Componentes compatibles:
• ClientEnterprise
ClientEnterprise solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Operaciones compatibles
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre del archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si el archivo realiza la operación sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Operaciones admitidas
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
Age
|
Int
|
El número de días transcurridos desde que el ejecutable se vio por primera vez en LiveGrid. El número se redondea al equivalente a la semana, el mes, medio año, el año, etc.
|
|
Reputation
|
Int
|
El número en la escala de reputación. Cuanto más alto, más confiable
|
Los valores posibles son:
•9, 8—De confianza
•7, 6: correcto
•5, 4—Arriesgado
•3—PUA, Desconocido (no visto por ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
El número de ordenadores en los que ESET LiveGrid® ha detectado un ejecutable. Se redondea a números como 10, 100, 1000, 10000, etc. Por lo general, el malware no supera la popularidad de 1000 hasta que se detecta.
|
|
Operaciones compatibles
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule solo está disponible en combinación con las operaciones WmiExecution y WmiQuery, que tienen un proceso de cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
AugurScore
|
Int
|
El número de puntuación del motor de aprendizaje automático de ESET. Los valores posibles son de 0 a 99
|
67
|
CompanyName
|
String
|
De la información de versión, nombre de la empresa que produjo el archivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de días transcurridos desde que el archivo se reconoció como nearmiss.
Nearmiss: la detección se activa debido a malware, pero puede tratarse de un falso positivo (no podemos garantizar que sea malware)
|
|
EmulationStatus
|
Int
|
El estado de la emulación del archivo (si el archivo se emuló mediante heurística avanzada)
|
0: no se emuló
1—Se emuló
|
FileDescription
|
String
|
De la información de versión, descripción del archivo mostrada a los usuarios
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Archivo entregado a través de RDP
|
Los valores posibles son:
0—RDP
|
FileSize
|
Int
|
Tamaño del archivo en bytes
|
41984
|
FileVersion
|
String
|
De la información de versión, el número de versión del archivo
|
"10.0.14393.0"
|
InternalName
|
String
|
De la información de versión, nombre interno del archivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
El archivo es una DLL de PE
|
true/false
|
IsElf
|
Bool
|
El archivo es un archivo ELF
|
true/false
|
IsExe
|
Bool
|
El archivo es un ejecutable
|
true/false
|
IsMacho
|
Bool
|
Define si un archivo es un archivo Mach-O (macOS) o no
|
true/false
|
IsNative
|
Bool
|
El archivo es un ejecutable PE nativo
|
true/false
|
isPe
|
Bool
|
El archivo es un ejecutable de Windows
|
true/false
|
MD5
|
Hash
|
Hash md5 del ejecutable
|
|
MachoIsProtected
|
Bool
|
El módulo es un ejecutable Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de un archivo Mach-O presente en la firma
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de cadenas
|
Conjunto de nombres comunes de los certificados del archivo Mach-O
|
|
MachoUserId
|
String
|
ID de desarrollador único asignado por Apple
|
|
OriginalFileName
|
String
|
Según la información de versión, nombre original del archivo
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nombre del empaquetador
|
"UPX"
|
ProductName
|
String
|
De la información de versión, nombre del producto con el que se distribuye el archivo
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
De la información de versión, el número de versión del producto con el que se distribuye el archivo
|
"10.0.14393"
|
SFXName
|
String
|
Nombre del empaquetador sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash del ejecutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash del ejecutable
|
|
SignatureType
|
Symbol
|
Tipo de firma del ejecutable
|
Los valores posibles son:
•90—Trusted—El equipo confía en la firma
•80—Valid—El sistema operativo confía en la firma
•75—Adhoc—El certificado está autofirmado
•70—None—No hay firma en el archivo
•60—Invalid—La firma no es válida, está dañada o revocada
•50—Present: la firma está presente, pero se desconoce el estado del certificado
•50—Unknown—No se pudo verificar el certificado |
SignerName
|
String
|
Nombre del firmante, si lo hubiera
|
"Microsoft Windows"
|
Tags
|
String
|
Permite a un usuario filtrar por un módulo que tiene una etiqueta especificada adjunta
|
|
Whitelist
|
Symbol
|
Tipo de lista blanca del ejecutable
|
Los valores posibles son:
•0—None—Sin lista blanca para este archivo
•1—Authoritative: el equipo ha incluido el archivo en la lista blanca
•2—LiveGrid—El archivo está en la lista blanca de ESET LiveGrid®
•3—Certificate—El certificado del archivo está en la lista blanca |
|
|
1Los nombres de los empaquetadores pueden cambiar en el futuro. Por lo tanto, recomendamos usar el valor isnotempty o isempty para la condición.
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones admitidas
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo solo está disponible en combinación con las operaciones WmiExecution, WmiQuery y CodeInjection, que tienen un proceso cliente. Un proceso cliente es un proceso que ejecutó realmente un método de Instrumental de administración de Windows.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
CaseSensitiveCommandLine
|
String
|
Permite crear reglas para la línea de comandos que distingue entre mayúsculas y minúsculas
|
|
CommandLine
|
String
|
Línea de comandos del proceso
|
file.txt
|
CommandLineLength
|
Int
|
Longitud de la línea de comandos
|
123
|
Compromised
|
Bool
|
Una regla marcó el proceso como comprometido con la acción MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Nivel de integridad del proceso.
|
Los valores posibles son:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene una ruta de acceso a una ejecución de acceso directo
|
|
ProcessDistance
|
Int
|
La distancia del proceso respecto al proceso actual
|
123
|
ProcessLevel
|
Int
|
Profundidad del proceso en la jerarquía de procesos
|
123
|
ProcessOwner
|
String
|
El usuario que creó el proceso
|
|
RiskScore
|
Int
|
Se realiza un seguimiento de la puntuación de cada proceso en el equipo. Puede utilizar las acciones IncreaseParentRiskScore o IncreaseRiskScore para aumentar el valor en una cantidad determinada. Cuando se alcanza el umbral de puntuación de riesgo, se desencadena la acción KillParentProcess o KillProcess. Puede especificar el umbral de puntuación de riesgo en Política > ESET Inspect Connector > Configuración avanzada. La puntuación de riesgo se restablece transcurrido un período de tiempo determinado, de forma predeterminada 6 horas.
|
1000
|
Operaciones compatibles
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
• WmiQueryInfo
Los eventos de consulta de Instrumental de administración de Windows se producen cuando un usuario o un servicio desencadena una consulta en un sistema.
Propiedad
|
Tipo
|
Descripción
|
ClientMachineFQDN
|
String
|
Nombre de dominio completamente cualificado del equipo cliente
|
IsLocal
|
Bool
|
Si es false, se ha llamado a una consulta desde un equipo remoto (por ejemplo, mediante WbemTest)
|
Query
|
String
|
Se activó una consulta en un sistema
|
Ejemplo
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Operaciones compatibles
•WmiQuery |
WriteFile
Se ha escrito en un archivo.
Componentes compatibles:
• DateTime
Permite escribir reglas que solo se activan a una hora especificada.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
DayOfWeek
|
Int
|
Activar la regla solo en determinados días de la semana
|
Los valores posibles son:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Active la regla solo en determinados momentos del día. Los valores posibles son de 0 a 23
|
12
|
Minute
|
Int
|
Active la regla solo en determinados momentos del día.
Los valores posibles son de 0 a 59
|
30
|
Ejemplo
Esta regla se activa cada vez que se abre el Bloc de notas, de lunes a viernes, entre las 9:00 y las 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operaciones compatibles
El componente DateTime es compatible con todas las operaciones.
|
• EnterpriseInspector
Proporciona información sobre Connector.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
VersionString
|
String
|
Cadena de versión del conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versión principal del conector.
|
1
|
VersionMinor
|
Int
|
Versión secundaria de Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilación del conector.
|
2385
|
Operaciones admitidas
EnterpriseInspector El componente es compatible con todas las operaciones.
|
• FileItem
Devuelve la información sobre el archivo actual
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
ADS
|
String
|
La parte ADS de la ruta
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
La extensión del archivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
El nombre de archivo con la extensión de archivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nombre del archivo sin la extensión
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
La ruta del archivo, incluido el nombre del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longitud del nombre
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
La ruta del archivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se activa si la operación la realiza el archivo sobre sí mismo (es habitual que el malware se elimine a sí mismo)
|
true/false
|
Archivo canary
Las propiedades de ruta tienen una variable especial para los archivos Canary. El valor para especificar la ruta al archivo Canary es %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operaciones compatibles
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Información sobre el sistema del que proceden los eventos.
Propiedad
|
Tipo
|
Descripción
|
Ejemplo
|
isServer
|
Bool
|
Indica si el sistema es un servidor
|
Falso: no es un servidor
Verdadero—Servidor
|
SystemArchitecture
|
Symbol
|
El tipo de arquitectura del sistema
|
Para que coincida con la arquitectura de 32 bits, utilice una de las siguientes opciones:
•32
•32bit
•x86
•0
Para que coincida con la arquitectura de 64 bits, utilice una de las siguientes opciones:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Qué tipo de sistema operativo desencadenó el evento
|
Para hacer coincidir el sistema Windows, utilice una de las siguientes opciones:
•Windows
•Win
•0
Para que coincida con un sistema MacOS, utilice una de las siguientes opciones:
•macOs
•macOsx
•Osx
•1
Para buscar coincidencias con el sistema Linux, utilice lo siguiente:
•2 |
SystemVersion
|
String
|
La versión completa del sistema con números mayor y menor
|
|
Tags
|
Conjunto de cadenas
|
Etiquetas asignadas a ese sistema específico
|
|
Las condiciones admitidas para los tipos de conjunto (Conjunto de direcciones IPv4, Conjunto de direcciones IPv6, Conjunto de cadenas, Conjunto de símbolos) se enumeran en la tabla Tipos de propiedades & Relaciones, en conjunto de valores.
Operaciones compatibles
El componente SystemInfo es compatible con todas las operaciones.
|
|
|
Las versiones anteriores de Windows no generan eventos de Instrumental de administración de Windows. Esta funcionalidad está disponible desde la versión 1803 de Windows 10.
Algunos de los eventos proporcionan solo información parcial:
•Eventos de escritura de archivos: solo se registra el primer cambio de archivo (esto es por proceso. Si dos procesos modifican el mismo archivo, se registran ambos cambios)
•Eventos relacionados con el registro: solo se registra el primer cambio de clave del registro (la primera vez por parte de un proceso)
•DLLLoad: solo se registran las DLL que no están incluidas en la lista blanca del antivirus
•Eventos TcpIp: solo se registra la primera conexión (la primera vez por parte de un proceso)
•Eventos HTTP: solo se registra la primera solicitud (la primera vez por proceso)
•ModuleDrop (también conocido como PEDrop): solo se informa para el primer depósito (drop) de un módulo determinado (la primera vez en un equipo)
•AmsiTriggerEvent: solo se registra la primera ejecución (la primera vez en un equipo) |
