Recherche dans le contenu de l'aide

Événements exportés au format LEEF

Chemin de navigation

Aide en ligne ESET > ESET PROTECT > Utilisation d'ESET PROTECT > ESET PROTECT Menu principal > Intégrations > Transitaire syslog > Événements exportés au format LEEF

Copier l'URL de l'article actuel Partager par e-mail

Cet article (PDF) Documentation complète (PDF)

Pour filtrer les journaux d'événements envoyés à Syslog, créez une notification de catégorie de journal avec un filtre défini.

Le format LEEF est un format d'événement personnalisé pour IBM® Security QRadar®. Les événements possèdent des attributs standard et personnalisés :

•ESET PROTECT utilise certains des attributs standard décrits dans la documentation officielle d'IBM.

•Les attributs personnalisés sont les mêmes que dans le format JSON. L'attribut deviceGroupName contient le chemin complet vers le groupe statique de l'ordinateur qui génère l'événement. Si le chemin d'accès comporte plus de 255 caractères, deviceGroupName contient uniquement le nom du groupe statique. L'attribut deviceOSName contient des informations sur le système d'exploitation de l'ordinateur, et l'attribut deviceGroupDescription contient la description du groupe statique.

Catégories d'événements :

Détections de l'antivirus

Exemple d'événement de menace

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

threatType=Trojan

threatName=Win32/Filecoder.NLM

scannerID=Real-time file system protection

scanID=ndl32941.dat

objectType=File

objectUri=file:///C:/Users/jnovak/Downloads/invoice_0912.exe

actionTaken=Cleaned by deleting

threatHandled=true

needRestart=false

accountName=CONTOSO\jnovak

processName=C:\Windows\explorer.exe

circumstances=Event occurred on a newly created file.

engineVersion=31842 (20260902)

firstseen=Sep 02 2026 14:23:05 GMT

hash=9F2E1B77C4A0D5E8B31F6C09A4D72E5B18C3A6F0

detectionUuid=6b0f3d21-9c74-4a58-8e13-77af52d0c9b4

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

src=10.42.7.19

sev=3

Pare-feu

Exemple d'événement de pare-feu

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

eventDesc=Communication denied by rule

srcPort=49712

dstPort=445

proto=TCP

accountName=NT AUTHORITY\SYSTEM

processName=C:\Windows\System32\svchost.exe

ruleName=Block incoming SMB from outside

ruleID=User rule

aggregateCount=12

inbound=true

src=198.51.100.77

sourceAddressType=IPv4

dst=10.42.7.19

targetAddressType=IPv4

detectionUuid=2a7c5e91-04b8-4d3f-95ac-61e0f7d28b34

action=Blocked

handled=true

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

sev=3

Sites Web filtrés : protection Web

Exemple d'événement de sites web filtrés

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

eventDesc=An attempt to connect to URL

ruleID=Blocked by internal blacklist

actionTaken=Blocked

objectUri=http://malicious.example.com/payload.bin

processName=C:\Program Files\Google\Chrome\Application\chrome.exe

accountName=CONTOSO\jnovak

hash=B71C0A34F9D2E5871C60A4B8D93F2E017C5A6D48

dst=203.0.113.44

targetAddressType=IPv4

scannerID=HTTP filter

resolved=false

detectionUuid=7e51b8c3-2d94-40a6-b7f2-5c81a0e934dd

handled=true

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

src=10.42.7.19

sev=3

HIPS

Exemple d'événement HIPS

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

application=C:\Users\jnovak\AppData\Local\Temp\setup.exe

operation=Modify startup registry key

target=HKLM\Software\Microsoft\Windows\CurrentVersion\Run

action=Blocked

ruleName=Suspicious autostart modification

ruleID=User rule

aggregateCount=3

detectionUuid=d47a9f10-8c62-4b05-a1e7-3f9b62c05d81

handled=true

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

src=10.42.7.19

sev=3

Audit

Exemple d'événement d'audit

devTime=Sep 02 2026 14:23:07 GMT

domain=Native user

action=Login attempt

result=Success

user=jnovak@contoso.example

detail=Login from 203.0.113.9 using the web console

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

devTimeFormat=MMM dd yyyy HH:mm:ss z

sev=1

ESET Inspect alertes

Exemple d'événement d'alertes ESET Inspect

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

process=C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

user=CONTOSO\jnovak

rule=Suspicious PowerShell download cradle

count=1

eiconsolelink=https://inspect.eset.systems/console/detection/48213

resolved=false

detectionUuid=b93c17e4-5d80-4a62-9f31-c0e785a2d417

hash=E20D74B1C3A96F5807D2B4E1930CA6F85D71B204

sevScore=78

compSevScore=64

triggerEvent=Process started

commandLine=powershell -nop -w hidden -enc SQBFAFgAIAAoAE4AZQB3AC0A

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

src=10.42.7.19

eialarmid=48213

sev=5

Fichiers bloqués

Exemple d'événement de fichiers bloqués

deviceUuid=c1d9e77a-3b52-4f08-9a6e-2d84bb31f5c7

devTime=Sep 02 2026 14:23:07 GMT

objectUri=file:///C:/Users/jnovak/Downloads/portscan_tool.exe

description=Blocked by Application control

cause=Blocked by hash

action=Blocked

processName=C:\Windows\explorer.exe

accountName=CONTOSO\jnovak

hash=4C0E9B21A7F58D3306E14B7CA2905F8D71B3E6A9

firstseen=Sep 01 2026 09:12:44 GMT

resolved=false

detectionUuid=0fb3d572-6a18-4e29-8c74-b25f19e0a3c6

handled=true

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

deviceName=WS-PRG-0421

deviceOSName=Microsoft Windows 11 Pro

deviceGroupName=All/Contoso Retail/Prague/Workstations

deviceGroupDescription=Prague office workstations

devTimeFormat=MMM dd yyyy HH:mm:ss z

src=10.42.7.19

sev=3

Incidents

Événement d'intégration des incidents

incidentUuid=5c2a8f31-77d0-4e16-b9a4-0e63f8127bda

incidentName=Ransomware staging on WS-PRG-0421

devTime=Sep 02 2026 14:23:07 GMT

indicatorCount=7

deviceCount=2

processCount=5

moduleCount=3

url=https://protect.eset.systems/incidents/5c2a8f31-77d0-4e16-b9a4-0e63f8127bda

tenantUuid=8f2b1c40-6d3a-4e91-b7d2-0c5a9e1f4a63

tenantName=Contoso Retail

devTimeFormat=MMM dd yyyy HH:mm:ss z

action=Create

status=New

sev=5

Vous trouverez des informations supplémentaires sur Log Event Extended Format (LEEF) sur le site Web officiel d’IBM.

˄˅