La partie operations définit quelles opérations exécutées par un processus déclenchent l'indicateur. S'il est vide, l'indicateur se déclenche lorsque le processus génère un événement.
Les opérations sont définies à l'aide d'un élément operation comportant un attribut type et un élément expression.
<operation type="WriteFile">Expression</operation>
Les composants suivants sont pris en charge par toutes les opérations.
•
DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
BitsJobAddFile
Un fichier a été ajouté à une tâche BITS.
Composants pris en charge :
• BitsJobAddFile
Retourne de l'information sur une tâche BITS.
Propriété
|
Type
|
Description
|
Exemple
|
FileCount
|
Int
|
Nombre de fichiers ajoutés à la tâche.
|
1
|
JobTitle
|
String
|
Nom d'affichage de la tâche BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Chemin de destination local du fichier.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL source ou chemin distant du fichier.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Compte qui possède ou a créé la tâche.
|
|
UserSid
|
String
|
Identificateur de sécurité (SID) du compte.
|
|
Opérations prises en charge
•BitsJobAddFile |
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
CodeInjection
Un processus a fait l'objet d'une forme d'injection de code.
Composants pris en charge :
• ClientProcessInfo
ClientProcessInfo est disponible uniquement en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles sensibles à la casse pour la ligne de commande
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Pour les événements CodeInjection, il signale de l'information concernant la technique d'injection de code utilisée.
Propriété
|
Type
|
Description
|
Exemple
|
CodeInjectionType
|
Symbol
|
Technique d'injection de code utilisée
|
Les valeurs possibles sont :
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Opérations prises en charge
•CodeInjection |
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Enterprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation sur les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Les logiciels malveillants ne dépassent généralement pas une popularité de 1000 avant d'être détectés.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa sortie.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Retourner l'information sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique d'ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss ».
Quasi-incident – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
L'état de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Provenant des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré par RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
Selon les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est autosigné
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer selon un module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None—Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier figure sur la liste blanche du terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier est sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
CreateNamedPipe
Un canal nommé a été créé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
CreateProcess
Un processus a été créé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Enterprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation sur les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Les logiciels malveillants ne dépassent généralement pas une popularité de 1000 avant d'être détectés.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa sortie.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Retourner l'information sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique d'ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss ».
Quasi-incident – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
L'état de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Provenant des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré par RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
Selon les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est autosigné
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer selon un module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None—Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier figure sur la liste blanche du terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier est sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
DeleteFile
Un fichier a été supprimé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
DeleteVolumeShadowCopy
Un cliché instantané d'un volume a été supprimé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• VolumeShadowCopyInfo
Retourne des informations sur la création de copies fantômes et les instantanés de sauvegarde existants.
Propriété
|
Type
|
Description
|
Exemple
|
OriginalVolumeName
|
String
|
Le nom du volume dont le cliché instantané a été créé
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Le nom de la machine contenant le volume d'origine
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Le nom du fournisseur utilisé pour créer le cliché instantané
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Le nom du système fournissant le service de cliché instantané (généralement le même que la machine d'origine dans les sauvegardes locales)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Le chemin d'accès du périphérique qui représente l'instantané du volume. Le chemin d'accès de l'objet de périphérique peut être considéré comme la racine d'un cliché instantané d'un volume. Les demandeurs utiliseront ce nom de périphérique lorsqu'ils accèdent à des fichiers sur un volume avec cliché instantané avec lequel il doit travailler.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Opérations prises en charge
•DeleteVolumeShadowCopy |
DnsRequest
Une requête DNS a été effectuée (généralement IP > domaine, domaine > IP).
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DnsInfo
DnsInfo avec les propriétés suivantes :
Propriété
|
Type
|
Description
|
Exemple
|
DnsQuery
|
String
|
L'interrogation DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
La longueur de la requête DNS
|
100
|
DnsResponseIpAddressV4
|
Ensemble d'adresses IPv4
|
Les enregistrements A dans la réponse DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Ensemble d'adresses IPv6
|
Les enregistrements AAAA dans la réponse DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Ensemble de chaînes de caractères
|
Les enregistrements NS, CNAME, PTR ou TXT dans la réponse DNS
|
mobile-google.com
|
DnsResponseType
|
Ensemble de symboles
|
Les types d'enregistrements présents dans la réponse DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
La longueur totale de la DNS réponse
|
100
|
Pour la propriété DnsResponseType, il existe une portée prédéfinie de valeurs pouvant être utilisées (non sensible à la casse) :
Pour plus d'information sur les valeurs DnsResponseType, consultez les TYPE d'enregistrement de ressources (RR).
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont énumérées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Exemple
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Opérations prises en charge
•DnsRequest |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
HttpRequest
Une requête HTTP a été effectuée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoyer des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 de destination de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Le protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 source de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête concernait une URL (c'est-à-dire une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
LoadDLL
Une DLL a été chargée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Enterprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation sur les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Les logiciels malveillants ne dépassent généralement pas une popularité de 1000 avant d'être détectés.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa sortie.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Retourner l'information sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique d'ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss ».
Quasi-incident – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
L'état de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Provenant des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré par RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
Selon les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est autosigné
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer selon un module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None—Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier figure sur la liste blanche du terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier est sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui sont sensibles à la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après une certaine période, soit 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
LoadDriver
Un pilote ou un module du noyau a été chargé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Module
Retourner l'information sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique d'ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss ».
Quasi-incident – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
L'état de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Provenant des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré par RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
Selon les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est autosigné
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer selon un module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None—Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier figure sur la liste blanche du terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier est sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
ModuleDrop
Un exécutable a été déposé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Enterprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation sur les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Les logiciels malveillants ne dépassent généralement pas une popularité de 1000 avant d'être détectés.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa sortie.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Retourner l'information sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique d'ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss ».
Quasi-incident – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
L'état de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Provenant des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré par RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
Selon les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est autosigné
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer selon un module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None—Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier figure sur la liste blanche du terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier est sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
MultipleFilesChanged
Le processus a modifié plusieurs fichiers.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• ComportementProcessus
Les événements ProcessBehavior sont signalés sous Windows. Antivirus effectue le suivi des fichiers qui ont été consultés et de la fréquence de ces accès. Si le processus a accédé à un nombre de fichiers supérieur à celui défini dans la barrière pendant une période donnée, cet événement est signalé.
Propriété
|
Type
|
Description
|
Exemple
|
FileOperations
|
String
|
Opérations et leurs barrières
|
Les valeurs possibles sont :
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Les valeurs FileOperations sont internes et sont destinées à être utilisées uniquement avec les règles par défaut.
|
Opérations prises en charge
•MultipleFilesChanged |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
OpenProcess
Ajout d'un nouvel attribut de règle, qui se déclenche lorsqu'un processus est ouvert. Seul le processus ouvert vers lsass.exe est surveillé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Ajout d'un nouvel attribut de règle, qui se déclenche lorsqu'un processus est ouvert.
HIPS envoie des événements OpenProcess uniquement pour lsass.exe et uniquement avec un accès au processus PROCESS_VM_WRITE et/ou PROCESS_VM_READ, uniquement lors de l'appel d'OpenProcess ou de DuplicateHandle (lorsque le processus déjà ouvert avec les accès mentionnés)
Propriété
|
Type
|
Description
|
Exemple
|
AccessRight
|
Symbol
|
|
Les valeurs possibles sont :
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Exemple
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Opérations prises en charge
•OpenProcess |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
ReadFile
Déclenché lorsqu'un fichier surveillé a été lu. Les fichiers surveillés désignent ceux qui contiennent des informations sensibles ou des identifiants stockés, par exemple les mots de passe de navigateur enregistrés, les mots de passe de clients FTP enregistrés, la base de données AD, etc.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
RegDeleteKey
Une clé de registre a été supprimée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Retourne les informations sur les événements de registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de la clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExampleValue »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
RegDeleteValue
La valeur du registre a été supprimée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Retourne les informations sur les événements de registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de la clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExampleValue »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
RegRenameKey
Une clé de registre a été renommée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Retourne les informations sur les événements de registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de la clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExampleValue »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
RegSetValue
Une clé de registre a été modifiée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Retourne les informations sur les événements de registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de la clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExampleValue »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
RenameFile
Un fichier a été renommé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
•
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
ScheduledTaskAdded
Une tâche planifiée a été ajoutée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Retourne les informations sur la tâche planifiée.
Propriété
|
Type
|
Description
|
Exemple
|
Boundary
|
Date
|
Contraintes temporelles de l'horaire : début/fin, fuseau horaire et fenêtre/règles de récurrence.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Indique si la tâche planifiée est active et s'exécutera selon son horaire.
|
true/false
|
Location
|
String
|
Chemin dans l'arborescence du Planificateur de tâches Microsoft à partir du nœud « Bibliothèque du Planificateur de tâches »
|
|
Name
|
String
|
Nom de la tâche
|
|
Type
|
Symbol
|
Type d'opération de tâche planifiée
|
Les valeurs possibles sont :
•0—Create
•1—Unknown |
Opérations prises en charge
•ScheduledTaskAdded |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
Scripts
Un script exposé par AMSI a été exécuté.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Scripts
Le composant Scripts vous permet de créer des règles basées sur les propriétés d'un script exécuté exposé par AMSI.
Propriété
|
Type
|
Description
|
Script
|
String
|
Script reçu par ESET PROTECT via l'intégration AMSI
|
ScriptLength
|
Int
|
Longueur du script (nombre de caractères)
|
ScriptSha1
|
Hash
|
Hachage SHA1 du fragment de script
|
ScriptSha256
|
Hash
|
Hachage SHA256 du fragment de script
|
Exemple
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Opérations prises en charge
•Scripts |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
ServiceInstalled
Un service a été installé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Service
Le composant Service vous permet de créer des règles basées sur les propriétés des services Windows et sur les événements de contrôle de service exposés par le Gestionnaire de contrôle des services (SCM).
Propriété
|
Type
|
Description
|
Exemple
|
LoadType
|
Symbol
|
Le type de démarrage du service
|
Les valeurs possibles sont :
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Le nom de service interne enregistré auprès du SCM
|
|
Type
|
Int
|
Indique le type de service qui a été enregistré auprès du SCM
|
Les valeurs possibles sont :
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Opérations prises en charge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
ServiceStarted
Un service a été démarré.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Service
Le composant Service vous permet de créer des règles basées sur les propriétés des services Windows et sur les événements de contrôle de service exposés par le Gestionnaire de contrôle des services (SCM).
Propriété
|
Type
|
Description
|
Exemple
|
LoadType
|
Symbol
|
Le type de démarrage du service
|
Les valeurs possibles sont :
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Le nom de service interne enregistré auprès du SCM
|
|
Type
|
Int
|
Indique le type de service qui a été enregistré auprès du SCM
|
Les valeurs possibles sont :
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Opérations prises en charge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
SetFileAttribute
Un attribut de fichier a été défini.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileAttribute
FileAttribute les événements ne sont actuellement signalés que sous Linux. La règle est déclenchée lorsqu'un attribut est défini, par exemple, par la commande chmod.
Propriété
|
Type
|
Description
|
Exemple
|
Attribute
|
Symbol
|
Attribut d'un fichier
|
Les valeurs possibles sont :
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Opérations prises en charge
•SetFileAttribute |
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
SystemApiCall
Une fonction système a été appelée.
Composants pris en charge :
• ApiCall
Retourne des informations sur les appels API.
Propriété
|
Type
|
Description
|
Exemple
|
ApiName
|
Symbol
|
Nom de l'API appelée par le processus
|
Les valeurs prises en charge sont :
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Linux uniquement
Exemple
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Opérations prises en charge
•SystemApiCall |
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
TcpIpAccept
Une connexion TCP/IP entrante a été acceptée.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoyer des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 de destination de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Le protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 source de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête concernait une URL (c'est-à-dire une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
TcpIpConnect
Une connexion TCP/IP sortante a été établie.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoyer des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 de destination de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Le protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 source de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête concernait une URL (c'est-à-dire une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
TcpIpProtocolIdentified
Au-dessus de la connexion TCP/IP, décrit le protocole utilisé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoyer des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 de destination de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques – 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Le protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques – 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 source de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête concernait une URL (c'est-à-dire une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
TruncateFile
Un fichier a été tronqué.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
UnloadDriver
Un pilote ou un module de noyau a été déchargé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
UserActivate
L'utilisateur a été activé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
L'utilisateur a été ajouté au groupe.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identique à UserLogonData mais avec des propriétés pour les données concernant les groupes.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Un nouvel utilisateur a été créé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
L'utilisateur a été désactivé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
L'utilisateur s'est connecté.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Événements liés aux activités de l'utilisateur (utilisateur créé, connexion, ...), informations sur ces événements.
Propriété
|
Type
|
Description
|
Exemple
|
Hostname
|
String
|
Nom de la machine à partir de laquelle une tentative d'ouverture de session a été effectuée
|
|
IpAddressV4
|
Adresse Ipv4
|
Adresse IPv4 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
IpAddressV6
|
Adresse Ipv6
|
Adresse IPv6 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
LogonType
|
Symbol
|
Type de connexion
|
Les valeurs possibles sont :
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Le port source qui a été utilisé pour la tentative d'ouverture de session depuis une machine distante
|
|
Opérations prises en charge
•UserLogin
•UserLogout |
UserLogout
L'utilisateur s'est déconnecté.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Événements liés aux activités de l'utilisateur (utilisateur créé, connexion, ...), informations sur ces événements.
Propriété
|
Type
|
Description
|
Exemple
|
Hostname
|
String
|
Nom de la machine à partir de laquelle une tentative d'ouverture de session a été effectuée
|
|
IpAddressV4
|
Adresse Ipv4
|
Adresse IPv4 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
IpAddressV6
|
Adresse Ipv6
|
Adresse IPv6 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
LogonType
|
Symbol
|
Type de connexion
|
Les valeurs possibles sont :
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Le port source qui a été utilisé pour la tentative d'ouverture de session depuis une machine distante
|
|
Opérations prises en charge
•UserLogin
•UserLogout |
UserRemove
L'utilisateur a été supprimé.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
L'utilisateur a été retiré du groupe.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identique à UserLogonData mais avec des propriétés pour les données concernant les groupes.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom de compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Un événement provenant de VirtualDiskMount a été exécuté.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
WmiExecution
L'événement d'exécution Windows Management Instrumentation a été déclenché.
Composants pris en charge :
• ClientEnterprise
ClientEnterprise n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme nearmiss.
Nearmiss (quasi-détection) – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
Le statut de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Tirée des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré via RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
Hachage sha1 du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est auto-signé
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par un module auquel une étiquette spécifiée est attachée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None–Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier est mis sur la liste blanche par le terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier figure sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Les conditions prises en charge pour les types d'ensembles (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont énumérées dans le tableau Types de propriétés & Relations, sous ensemble de valeurs.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo est disponible uniquement en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles sensibles à la casse pour la ligne de commande
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• WmiExecutionInfo
L'événement d'exécution Windows Management Instrumentation ne se produit que lorsque la méthode Windows Management Instrumentation Win32_process.create() est appelée.
Propriété
|
Type
|
Description
|
ClassName
|
String
|
Une classe contenant une méthode déclenchée
|
ClientMachineFQDN
|
String
|
Nom de domaine complet de la machine cliente
|
CommandLine
|
String
|
Une ligne de commande envoyée à une méthode sous forme de liste d'arguments
|
IsLocal
|
Bool
|
Détermine si une méthode a été appelée localement ou à distance
|
MethodName
|
String
|
Une méthode qui a été déclenchée
|
Exemple
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Opérations prises en charge
•WmiExecution |
WmiPersistence
L'événement est généré lorsque le consommateur se lie à un filtre.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• WmiPersistenceInfo
L'événement est généré lorsque le consommateur se lie à un filtre.
Propriété
|
Type
|
Description
|
EventConsumerName
|
String
|
Nom d'un consommateur qui déclenche une action lorsqu'un événement spécifique se produit
|
EventFilterName
|
String
|
Nom de l'EventFilter utilisé
|
Handler
|
String
|
Ligne de commande exécutée par un consommateur d'événements
|
Query
|
String
|
Une requête dans un filtre d'événements qui capture les événements qui devraient déclencher une action
|
TriggeringUserName
|
String
|
Nom d'un utilisateur ayant déclenché un événement correspondant à un filtre
|
TriggeringUserSid
|
String
|
Déclenchement de l'ID de sécurité de l'utilisateur
|
TriggeringUserSidNameUse
|
Int
|
Déclenchement du type de SID de l'utilisateur
|
Exemple
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Opérations prises en charge
•WmiPersistence |
WmiQuery
Une requête Windows Management Instrumentation a été exécutée sur un ordinateur.
Composants pris en charge :
• ClientEnterprise
ClientEnterprise n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Le nombre de jours écoulés depuis que le fichier exécutable a été vu pour la première fois dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le chiffre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont :
•9, 8 — Fiable
•7, 6—OK
•5, 4 — Risqué
•3—PUA, Inconnu (non vu par ESET LiveGrid)
•2, 1—Maliciel |
Popularity
|
Int
|
Le nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Le score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont de 0 à 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de l'entreprise qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme nearmiss.
Nearmiss (quasi-détection) – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
Le statut de l'émulation du fichier (si le fichier a été émulé par des heuristiques avancées)
|
0—N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Tirée des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier livré via RDP
|
Les valeurs possibles sont :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
Hachage md5 du fichier exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes de caractères
|
Ensemble des noms communs issus des certificats dans le fichier Mach-O
|
|
MachoUserId
|
String
|
Identifiant de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom original du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom du compresseur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, le numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom du compresseur sfx
|
"Zip"
|
Sha1
|
Hash
|
Hachage sha1 du fichier exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Hachage sha256 du fichier exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont :
•90—Trusted—La signature est approuvée par le terminal
•80—Valid—La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est auto-signé
•70—None—Il n'y a pas de signature dans le fichier
•60—Invalid—La signature est non valide/corrompue/révoquée
•50—Present—La signature est présente, mais l'état du certificat est inconnu
•50—Unknown—Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, s'il y a lieu
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par un module auquel une étiquette spécifiée est attachée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont :
•0—None–Aucune mise en liste blanche pour ce fichier
•1—Authoritative—Le fichier est mis sur la liste blanche par le terminal
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier figure sur la liste blanche |
|
|
1Les noms des compresseurs peuvent changer à l'avenir. C'est pourquoi nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Les conditions prises en charge pour les types d'ensembles (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont énumérées dans le tableau Types de propriétés & Relations, sous ensemble de valeurs.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo est disponible uniquement en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui comportent un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles sensibles à la casse pour la ligne de commande
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec l'action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus
|
Les valeurs possibles sont :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin vers une exécution de raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur le point de terminaison. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil de score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque dans Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque se réinitialise après une certaine période, soit 6 heures par défaut.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
• WmiQueryInfo
Les événements de requête Windows Management Instrumentation surviennent lorsqu'un utilisateur ou un service déclenche une requête sur un système.
Propriété
|
Type
|
Description
|
ClientMachineFQDN
|
String
|
Nom de domaine complet de la machine cliente
|
IsLocal
|
Bool
|
Si faux, une requête a été appelée à partir d'une machine distante (par exemple, à l'aide de WbemTest)
|
Query
|
String
|
Une requête a été déclenchée dans un système
|
Exemple
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Opérations prises en charge
•WmiQuery |
WriteFile
Un fichier a fait l'objet d'une écriture.
Composants pris en charge :
• DateTime
Vous permet d'écrire des règles qui ne sont déclenchées qu'à une heure précise.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Déclencher la règle uniquement à certains moments de la journée. Les valeurs possibles sont de 0 à 23
|
12
|
Minute
|
Int
|
Déclencher la règle seulement à certains moments de la journée.
Les valeurs possibles sont de 0 à 59
|
30
|
Exemple
Cette règle est déclenchée chaque fois que le Bloc-notes est ouvert, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur Connector.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du Connector.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de version du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Retourne les informations concernant le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension de fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom de fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès du fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (il est courant qu'un logiciel malveillant se supprime lui-même)
|
true/false
|
Fichier canary
Les propriétés de chemin comportent une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux – Pas un serveur
Vrai—Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'un des éléments suivants :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Quel type de système d'exploitation a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour faire correspondre le système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros majeur et mineur
|
|
Tags
|
Ensemble de chaînes de caractères
|
Étiquettes attribuées à ce système en particulier
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations sous ensemble de valeurs.
Opérations prises en charge
SystemInfo Le composant est pris en charge par toutes les opérations.
|
|
|
Les versions antérieures de Windows ne produisent pas d'événements Windows Management Instrumentation. Cette fonctionnalité est disponible depuis la version 1803 de Windows 10.
Certains événements ne fournissent que des informations partielles :
•Événements d'écriture de fichier – seul le premier changement de fichier est enregistré (Ceci s'applique par processus. Si deux processus modifient le même fichier, les deux modifications sont enregistrées)
•Événements liés au registre — seule la première modification de clé de registre est enregistrée (première fois par un processus)
•DLLLoad – seules les DLL qui ne figurent pas dans la liste blanche de l'antivirus sont enregistrées
•Événements TcpIp – seule la première connexion est enregistrée (première fois par un processus)
•Événements HTTP – seule la première requête est enregistrée (première fois par un processus)
•ModuleDrop (aussi appelé PEDrop) – il n'est signalé que pour le premier dépôt d'un module donné (la première fois sur un ordinateur)
•AmsiTriggerEvent – seule la première exécution est enregistrée (première fois sur un ordinateur) |
