La partie operations définit quelles opérations exécutées par un processus déclenchent l'indicateur. Si ce champ est vide, l'indicateur est déclenché lorsque le processus génère un événement.
Les opérations sont définies à l'aide d'un élément operation doté d'un attribut type et d'un élément expression.
<operation type="WriteFile">Expression</operation>
Les composants suivants sont pris en charge par toutes les opérations.
•
DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
BitsJobAddFile
Un fichier a été ajouté à une tâche BITS.
Composants pris en charge :
• BitsJobAddFile
Renvoie des informations sur une tâche BITS.
Propriété
|
Type
|
Description
|
Exemple
|
FileCount
|
Int
|
Nombre de fichiers ajoutés à la tâche.
|
1
|
JobTitle
|
String
|
Nom d'affichage de la tâche BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Chemin de destination local du fichier.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL source ou chemin distant du fichier.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Compte qui possède ou a créé la tâche.
|
|
UserSid
|
String
|
Identifiant de sécurité (SID) du compte.
|
|
Opérations prises en charge
•BitsJobAddFile |
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
CodeInjection
Un processus a fait l'objet d'une forme d'injection de code.
Composants pris en charge :
• ClientProcessInfo
ClientProcessInfo n'est disponible qu'en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Pour les événements CodeInjection, il rapporte des informations concernant la technique d'injection de code utilisée.
Propriété
|
Type
|
Description
|
Exemple
|
CodeInjectionType
|
Symbol
|
Technique d'injection de code utilisée
|
Les valeurs possibles sont les suivantes :
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Opérations prises en charge
•CodeInjection |
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Entreprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation concernant les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6 — OK
•5, 4—Risqué
•3 : Application potentiellement indésirable, inconnue (non vue par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa publication.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Renvoie les informations sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss » (quasi-détection).
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agisse d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1 — A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Détermine si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hachage sha256 de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid– La signature est approuvée par le système d'exploitation
•75—Adhoc–Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None—Pas de liste blanche pour ce fichier
•1—Authoritative – Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate – Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, qui est de 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès vers l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
CreateNamedPipe
Un canal nommé a été créé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
CreateProcess
Un processus a été créé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Entreprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation concernant les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6 — OK
•5, 4—Risqué
•3 : Application potentiellement indésirable, inconnue (non vue par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa publication.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Renvoie les informations sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss » (quasi-détection).
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agisse d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1 — A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Détermine si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hachage sha256 de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid– La signature est approuvée par le système d'exploitation
•75—Adhoc–Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None—Pas de liste blanche pour ce fichier
•1—Authoritative – Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate – Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, qui est de 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès vers l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
DeleteFile
Un fichier a été supprimé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
DeleteVolumeShadowCopy
Un cliché instantané d'un volume a été supprimé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• VolumeShadowCopyInfo
Renvoie des informations sur la création de clichés instantanés et sur les instantanés de sauvegarde existants.
Propriété
|
Type
|
Description
|
Exemple
|
OriginalVolumeName
|
String
|
Nom du volume dont un cliché instantané a été créé
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Nom de la machine contenant le volume d'origine
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Nom du fournisseur utilisé pour créer le cliché instantané
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Nom du système fournissant le service de cliché instantané (généralement identique à celui de la machine d'origine dans les sauvegardes locales)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Chemin d'accès de l'appareil qui représente l'instantané du volume. Le chemin d'accès à l'objet appareil peut être considéré comme la racine d'un cliché instantané d'un volume. Les demandeurs utiliseront ce nom d'appareil lorsqu'ils accéderont à des fichiers sur un volume avec cliché instantané avec lequel ils doivent travailler.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Opérations prises en charge
•DeleteVolumeShadowCopy |
DnsRequest
Une requête DNS a été effectuée (généralement IP > domaine, domaine > IP).
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DnsInfo
DnsInfo avec les propriétés suivantes :
Propriété
|
Type
|
Description
|
Exemple
|
DnsQuery
|
String
|
La requête DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
La longueur de la requête DNS
|
100
|
DnsResponseIpAddressV4
|
Ensemble d'adresses IPv4
|
Les enregistrements A dans la réponse DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Ensemble d'adresses IPv6
|
Les enregistrements AAAA dans la réponse DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Ensemble de chaînes
|
Les enregistrements NS, CNAME, PTR ou TXT dans la réponse DNS
|
mobile-google.com
|
DnsResponseType
|
Jeu de symboles
|
Les types d'enregistrements présents dans la réponse DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
La longueur totale de la réponse DNS
|
100
|
Pour la propriété DnsResponseType, il existe un ensemble prédéfini de valeurs pouvant être utilisées (sans distinction de casse) :
Pour plus d'informations sur les valeurs DnsResponseType, consultez les TYPEs d'enregistrement de ressource (RR).
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Exemple
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Opérations prises en charge
•DnsRequest |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
HttpRequest
Une requête HTTP a été effectuée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoie des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
Adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse de destination Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse source Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête impliquait une URL (c.-à-d. une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
LoadDLL
Une DLL a été chargée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Entreprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation concernant les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6 — OK
•5, 4—Risqué
•3 : Application potentiellement indésirable, inconnue (non vue par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa publication.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Renvoie les informations sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss » (quasi-détection).
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agisse d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1 — A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Détermine si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hachage sha256 de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid– La signature est approuvée par le système d'exploitation
•75—Adhoc–Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None—Pas de liste blanche pour ce fichier
•1—Authoritative – Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate – Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Renvoie des informations sur le processus en cours.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, qui est de 6 heures par défaut.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Renvoie des informations sur le processus de service actuel.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès vers l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
SentBytes
|
Int
|
Nombre total d'octets envoyés par le processus.
|
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
LoadDriver
Un pilote ou un module de noyau a été chargé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Module
Renvoie les informations sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss » (quasi-détection).
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agisse d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1 — A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Détermine si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hachage sha256 de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid– La signature est approuvée par le système d'exploitation
•75—Adhoc–Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None—Pas de liste blanche pour ce fichier
•1—Authoritative – Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate – Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
ModuleDrop
Un exécutable a été déposé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• Entreprise
Fournit une statistique sur les modules du réseau surveillé.
Opérations prises en charge
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid est un système préventif qui recueille des informations sur les menaces auprès d'utilisateurs du monde entier. La base de données ESET LiveGrid® contient des informations de réputation concernant les menaces potentielles. La réputation des exécutables vous aide à filtrer les résultats des règles.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus le niveau de confiance est élevé
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6 — OK
•5, 4—Risqué
•3 : Application potentiellement indésirable, inconnue (non vue par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres comme 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
|
|
Vous ne pouvez pas vous fier aux valeurs ESET LiveGrid® pour les nouveaux exécutables. Même l'exécutable le plus populaire et le plus fiable (par exemple, le programme d'installation d'une nouvelle version de Google Chrome) présente une faible popularité et une réputation inconnue pendant un certain temps après sa publication.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Module
Renvoie les informations sur le module actuel
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme « nearmiss » (quasi-détection).
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agisse d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1 — A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0—RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Détermine si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hachage sha256 de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid– La signature est approuvée par le système d'exploitation
•75—Adhoc–Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une étiquette spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None—Pas de liste blanche pour ce fichier
•1—Authoritative – Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate – Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Opérations prises en charge
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
MultipleFilesChanged
Le processus a modifié plusieurs fichiers.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• ProcessBehavior
ProcessBehavior Les événements sont signalés sous Windows. L'Antivirus assure le suivi des fichiers consultés et de la fréquence de ces accès. Si le processus a accédé à plus de fichiers que le nombre défini dans la barrière au cours d'une certaine période, cet événement est signalé.
Propriété
|
Type
|
Description
|
Exemple
|
FileOperations
|
String
|
Les opérations et leurs obstacles
|
Les valeurs possibles sont :
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Les valeurs FileOperations sont internes et sont destinées à être utilisées uniquement avec les règles par défaut.
|
Opérations prises en charge
•MultipleFilesChanged |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
OpenProcess
Ajout d'un nouvel attribut de règle, qui se déclenche lorsqu'un processus est ouvert. Seul le processus ouvert à lsass.exe est surveillé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Ajout d'un nouvel attribut de règle, qui se déclenche lorsqu'un processus est ouvert.
HIPS envoie des événements OpenProcess uniquement pour lsass.exe et uniquement avec un accès au processus PROCESS_VM_WRITE et/ou PROCESS_VM_READ, uniquement lors de l'appel d'OpenProcess ou de DuplicateHandle (lorsque le processus est déjà ouvert avec les accès mentionnés)
Propriété
|
Type
|
Description
|
Exemple
|
AccessRight
|
Symbol
|
|
Les valeurs possibles sont les suivantes :
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Exemple
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Opérations prises en charge
•OpenProcess |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
ReadFile
Déclenché lorsqu'un fichier surveillé a été lu. Les fichiers surveillés désignent ceux qui contiennent des informations sensibles ou des identifiants stockés, par exemple les mots de passe enregistrés dans les navigateurs, les mots de passe stockés des clients FTP, la base de données AD, etc.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
RegDeleteKey
Une clé de registre a été supprimée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Renvoie les informations sur les événements du registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExempleValeur »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
RegDeleteValue
La valeur du registre a été supprimée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Renvoie les informations sur les événements du registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExempleValeur »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
RegRenameKey
Une clé de registre a été renommée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Renvoie les informations sur les événements du registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExempleValeur »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
RegSetValue
Une clé de registre a été modifiée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• RegistryItem
Renvoie les informations sur les événements du registre.
Propriété
|
Type
|
Description
|
Exemple
|
Key
|
Path
|
Le chemin de la clé, contient le nom de la valeur de la clé
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La longueur de la valeur de clé
|
16
|
StringValue
|
String
|
La valeur d'une clé de chaîne
|
« ExempleValeur »
|
IntValue
|
Int
|
La valeur de la clé int
|
32
|
Exemple
Pour la clé de registre : "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Opérations prises en charge
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
RenameFile
Un fichier a été renommé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
•
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
ScheduledTaskAdded
Une tâche planifiée a été ajoutée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Renvoie les informations sur la tâche planifiée.
Propriété
|
Type
|
Description
|
Exemple
|
Boundary
|
Date
|
Contraintes temporelles de la planification : début/fin, fuseau horaire et fenêtre/règles de récurrence.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Indique si la tâche planifiée est active et s'exécutera selon sa planification.
|
true/false
|
Location
|
String
|
Chemin d'accès dans l'arborescence du Planificateur de tâches Microsoft à partir du nœud « Bibliothèque du Planificateur de tâches »
|
|
Name
|
String
|
Nom de la tâche
|
|
Type
|
Symbol
|
Type d'opération de tâche planifiée
|
Les valeurs possibles sont les suivantes :
•0—Create
•1—Unknown |
Opérations prises en charge
•ScheduledTaskAdded |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
Scripts
Un script exposé par AMSI a été exécuté.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Scripts
Le composant Scripts permet de créer des règles basées sur les propriétés du script exécuté exposées par AMSI.
Propriété
|
Type
|
Description
|
Script
|
String
|
Script reçu par ESET PROTECT via l'intégration AMSI
|
ScriptLength
|
Int
|
Longueur du script (nombre de caractères)
|
ScriptSha1
|
Hash
|
Hachage SHA1 du fragment de script
|
ScriptSha256
|
Hash
|
Hachage SHA256 du fragment de script
|
Exemple
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Opérations prises en charge
•Scripts |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
ServiceInstalled
Un service a été installé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Service
Le composant Service vous permet de créer des règles basées sur les propriétés des services Windows et des événements de contrôle de service exposés par le Gestionnaire de contrôle des services (SCM).
Propriété
|
Type
|
Description
|
Exemple
|
LoadType
|
Symbol
|
Type de démarrage du service
|
Les valeurs possibles sont les suivantes :
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Nom du service interne enregistré auprès du SCM
|
|
Type
|
Int
|
Indique le type de service qui a été enregistré auprès du SCM
|
Les valeurs possibles sont les suivantes :
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Opérations prises en charge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
ServiceStarted
Un service a été démarré.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Service
Le composant Service vous permet de créer des règles basées sur les propriétés des services Windows et des événements de contrôle de service exposés par le Gestionnaire de contrôle des services (SCM).
Propriété
|
Type
|
Description
|
Exemple
|
LoadType
|
Symbol
|
Type de démarrage du service
|
Les valeurs possibles sont les suivantes :
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Nom du service interne enregistré auprès du SCM
|
|
Type
|
Int
|
Indique le type de service qui a été enregistré auprès du SCM
|
Les valeurs possibles sont les suivantes :
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Opérations prises en charge
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
SetFileAttribute
Un attribut de fichier a été défini.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileAttribute
Les événements FileAttribute ne sont actuellement signalés que sous Linux. La règle est déclenchée lorsqu'un attribut est défini, par exemple, par la commande chmod.
Propriété
|
Type
|
Description
|
Exemple
|
Attribute
|
Symbol
|
Attribut d'un fichier
|
Les valeurs possibles sont les suivantes :
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Opérations prises en charge
•SetFileAttribute |
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
SystemApiCall
Une fonction système a été appelée.
Composants pris en charge :
• ApiCall
Renvoie des informations sur les appels d'API.
Propriété
|
Type
|
Description
|
Exemple
|
ApiName
|
Symbol
|
Nom de l'API appelée par le processus
|
Les valeurs prises en charge sont les suivantes :
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Linux uniquement
Exemple
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Opérations prises en charge
•SystemApiCall |
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
TcpIpAccept
Une connexion TCP/IP entrante a été acceptée.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoie des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
Adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse de destination Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse source Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête impliquait une URL (c.-à-d. une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
TcpIpConnect
Une connexion TCP/IP sortante a été établie.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoie des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
Adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse de destination Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse source Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête impliquait une URL (c.-à-d. une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
TcpIpProtocolIdentified
Au-dessus de la connexion TCP/IP, décrit le protocole utilisé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• Réseau
Renvoie des informations sur les événements réseau
Propriété
|
Type
|
Description
|
Exemple
|
DestinationIpAddressV4
|
Adresse Ipv4
|
Adresse Ipv4 de destination de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresse Ipv6
|
L'adresse de destination Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Le nom d'hôte cible.
Est pris en charge uniquement avec les événements TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connexion est entrante
|
true/false
|
IpAddressV4
|
Adresse Ipv4
|
L'adresse Ipv4 cible de l'événement. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
IpAddressV6
|
Adresse Ipv6
|
L'adresse Ipv6 cible de l'événement. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Le port cible TCP/UDP
|
8080
|
Protocol
|
String
|
Protocole utilisé par la connexion
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Adresse Ipv4
|
L'adresse source Ipv4 de la détection du pare-feu. Prend en charge les masques.
|
192.168.0.1, prend en charge les masques - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresse Ipv6
|
L'adresse source Ipv6 de la détection du pare-feu. Prend en charge les masques.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, prend en charge les masques - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Si la requête impliquait une URL (c.-à-d. une requête HTTP)
Est pris en charge avec les requêtes HTTP et les détections.
|
L'URL cible
|
Exemple
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
TruncateFile
Un fichier a été tronqué.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
UnloadDriver
Un pilote ou un module de noyau a été déchargé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
UserActivate
L'utilisateur a été activé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
L'utilisateur a été ajouté au groupe.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identique à UserLogonData mais avec des propriétés pour les données relatives aux groupes.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Un nouvel utilisateur a été créé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
L'utilisateur a été désactivé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
L'utilisateur s'est connecté.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Événements liés aux activités de l'utilisateur (utilisateur créé, connexion, ...), informations sur ces événements.
Propriété
|
Type
|
Description
|
Exemple
|
Hostname
|
String
|
Nom de la machine à partir de laquelle une tentative d'ouverture de session a été effectuée
|
|
IpAddressV4
|
Adresse Ipv4
|
Adresse IPv4 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
IpAddressV6
|
Adresse Ipv6
|
Adresse IPv6 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
LogonType
|
Symbol
|
Type de connexion
|
Les valeurs possibles sont les suivantes :
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Port source utilisé pour la tentative d'ouverture de session à partir de l'ordinateur distant
|
|
Opérations prises en charge
•UserLogin
•UserLogout |
UserLogout
L'utilisateur s'est déconnecté.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Événements liés aux activités de l'utilisateur (utilisateur créé, connexion, ...), informations sur ces événements.
Propriété
|
Type
|
Description
|
Exemple
|
Hostname
|
String
|
Nom de la machine à partir de laquelle une tentative d'ouverture de session a été effectuée
|
|
IpAddressV4
|
Adresse Ipv4
|
Adresse IPv4 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
IpAddressV6
|
Adresse Ipv6
|
Adresse IPv6 de la machine à partir de laquelle la tentative d'ouverture de session a été effectuée
|
|
LogonType
|
Symbol
|
Type de connexion
|
Les valeurs possibles sont les suivantes :
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Port source utilisé pour la tentative d'ouverture de session à partir de l'ordinateur distant
|
|
Opérations prises en charge
•UserLogin
•UserLogout |
UserRemove
L'utilisateur a été supprimé.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
L'utilisateur a été supprimé du groupe.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• DoneByUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID du compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• TargetUser
L'utilisateur qui a été ciblé.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Identique à UserLogonData mais avec des propriétés pour les données relatives aux groupes.
Propriété
|
Type
|
Description
|
Exemple
|
Sid
|
String
|
Quel utilisateur (SID de compte) est à l'origine de l'événement donné
|
|
SidNameUse
|
Symbol
|
Quel groupe (son type de SID) est à l'origine de l'événement donné
|
Les groupes sont les suivants :
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quel utilisateur (nom du compte) est à l'origine de l'événement donné
|
|
Opérations prises en charge
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Un événement de VirtualDiskMount a été exécuté.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
WmiExecution
L'événement d'exécution Windows Management Instrumentation a été déclenché.
Composants pris en charge :
• ClientEnterprise
ClientEnterprise n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas courant des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui ont un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6—OK
•5, 4—Risqué
•3 : PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres tels que 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme nearmiss.
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0 — RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hachage de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid – La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une balise spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None – Aucune liste blanche pour ce fichier
•1—Authoritative—Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & Relations, sous ensemble de valeurs.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo n'est disponible qu'en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• WmiExecutionInfo
L'événement d'exécution Windows Management Instrumentation se produit uniquement lorsque la méthode Windows Management Instrumentation, Win32_process.create() est appelée.
Propriété
|
Type
|
Description
|
ClassName
|
String
|
Une classe contenant une méthode déclenchée
|
ClientMachineFQDN
|
String
|
Nom de domaine complet de la machine cliente
|
CommandLine
|
String
|
Ligne de commande envoyée à une méthode sous la forme d'une liste d'arguments
|
IsLocal
|
Bool
|
Détermine si une méthode a été appelée localement ou à distance
|
MethodName
|
String
|
Une méthode qui a été déclenchée
|
Exemple
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Opérations prises en charge
•WmiExecution |
WmiPersistence
L'événement est généré lorsqu'un consommateur se lie à un filtre.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• WmiPersistenceInfo
L'événement est généré lorsque le consommateur se lie à un filtre.
Propriété
|
Type
|
Description
|
EventConsumerName
|
String
|
Nom d'un consommateur qui déclenche une action lorsqu'un événement spécifique survient
|
EventFilterName
|
String
|
Nom de l'EventFilter utilisé
|
Handler
|
String
|
Ligne de commande exécutée par un consommateur d'événements
|
Query
|
String
|
Requête dans un filtre d'événements qui capture les événements devant déclencher une action
|
TriggeringUserName
|
String
|
Nom d'un utilisateur ayant déclenché un événement correspondant à un filtre
|
TriggeringUserSid
|
String
|
Déclenchement de l'ID de sécurité de l'utilisateur
|
TriggeringUserSidNameUse
|
Int
|
Déclenchement du type de SID de l'utilisateur
|
Exemple
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Opérations prises en charge
•WmiPersistence |
WmiQuery
Une requête Windows Management Instrumentation a été exécutée sur un ordinateur.
Composants pris en charge :
• ClientEnterprise
ClientEnterprise n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom du fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas courant des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui ont un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
Age
|
Int
|
Nombre de jours écoulés depuis la première apparition de l'exécutable dans ESET LiveGrid®. Le nombre est arrondi à l'équivalent de la semaine, du mois, du semestre, de l'année, etc.
|
|
Reputation
|
Int
|
Le nombre sur l'échelle de réputation. Plus la valeur est élevée, plus la confiance est grande
|
Les valeurs possibles sont les suivantes :
•9, 8 — Approuvé
•7, 6—OK
•5, 4—Risqué
•3 : PUA, Inconnu (non vu par ESET LiveGrid®)
•2, 1—Logiciel malveillant |
Popularity
|
Int
|
Nombre d'ordinateurs sur lesquels ESET LiveGrid® a détecté un exécutable. Il est arrondi à des nombres tels que 10, 100, 1000, 10000, etc. Un logiciel malveillant ne dépasse généralement pas une popularité de 1000 avant d'être détecté.
|
|
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule n'est disponible qu'en combinaison avec les opérations WmiExecution et WmiQuery, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
AugurScore
|
Int
|
Score attribué par le moteur d'apprentissage automatique ESET. Les valeurs possibles sont comprises entre 0 et 99
|
67
|
CompanyName
|
String
|
D'après les informations de version, nom de la société qui a produit le fichier
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Nombre de jours depuis que le fichier a été reconnu comme nearmiss.
Nearmiss – la détection est déclenchée en raison d'un logiciel malveillant, mais il peut s'agir d'un faux positif (nous ne pouvons pas garantir qu'il s'agit d'un logiciel malveillant)
|
|
EmulationStatus
|
Int
|
État de l'émulation du fichier (si le fichier a été émulé par l'heuristique avancée)
|
0 — N'a pas été émulé
1—A été émulé
|
FileDescription
|
String
|
Issue des informations de version, description du fichier affichée aux utilisateurs
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Fichier transmis via RDP
|
Les valeurs possibles sont les suivantes :
0 — RDP
|
FileSize
|
Int
|
Taille du fichier en octets
|
41984
|
FileVersion
|
String
|
D'après les informations de version, le numéro de version du fichier
|
"10.0.14393.0"
|
InternalName
|
String
|
D'après les informations de version, nom interne du fichier
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Le fichier est une DLL PE
|
true/false
|
IsElf
|
Bool
|
Le fichier est un fichier ELF
|
true/false
|
IsExe
|
Bool
|
Le fichier est un exécutable
|
true/false
|
IsMacho
|
Bool
|
Définit si un fichier est un fichier Mach-O (macOS) ou non
|
true/false
|
IsNative
|
Bool
|
Le fichier est un exécutable PE natif
|
true/false
|
isPe
|
Bool
|
Le fichier est un exécutable Windows
|
true/false
|
MD5
|
Hash
|
md5 hachage de l'exécutable
|
|
MachoIsProtected
|
Bool
|
Le module est un exécutable Mach-O protégé
|
|
MachoSignatureId
|
String
|
Identifiant d'un fichier Mach-O présent dans la signature
|
"com.apple.ls"
|
MachoSignerCns
|
Ensemble de chaînes
|
Ensemble de noms communs issus des certificats du fichier Mach-O
|
|
MachoUserId
|
String
|
ID de développeur unique attribué par Apple
|
|
OriginalFileName
|
String
|
D'après les informations de version, nom d'origine du fichier
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nom de l'installeur
|
"UPX"
|
ProductName
|
String
|
D'après les informations de version, nom du produit avec lequel le fichier est distribué
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
D'après les informations de version, numéro de version du produit avec lequel le fichier est distribué
|
"10.0.14393"
|
SFXName
|
String
|
Nom de l'installeur sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hachage de l'exécutable
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hachage de l'exécutable
|
|
SignatureType
|
Symbol
|
Type de signature de l'exécutable
|
Les valeurs possibles sont les suivantes :
•90—Trusted – La signature est approuvée par Endpoint
•80—Valid – La signature est approuvée par le système d'exploitation
•75—Adhoc—Le certificat est auto-signé
•70—None—Le fichier ne contient aucune signature
•60—Invalid—La signature n'est pas valide/est corrompue/est révoquée
•50—Present – La signature est présente, mais l'état du certificat est inconnu
•50—Unknown – Échec de la vérification du certificat |
SignerName
|
String
|
Nom du signataire, le cas échéant
|
"Microsoft Windows"
|
Tags
|
String
|
Permet à un utilisateur de filtrer par module auquel une balise spécifiée est associée
|
|
Whitelist
|
Symbol
|
Type de liste blanche de l'exécutable
|
Les valeurs possibles sont les suivantes :
•0—None – Aucune liste blanche pour ce fichier
•1—Authoritative—Le fichier est mis en liste blanche par Endpoint
•2—LiveGrid—Le fichier figure sur la liste blanche de ESET LiveGrid®
•3—Certificate—Le certificat du fichier figure dans la liste blanche |
|
|
1Les noms des installeurs peuvent changer à l'avenir. Par conséquent, nous recommandons d'utiliser la valeur isnotempty ou isempty pour la condition.
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & Relations, sous ensemble de valeurs.
Opérations prises en charge
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo n'est disponible qu'en combinaison avec les opérations WmiExecution, WmiQuery et CodeInjection, qui disposent d'un processus client. Un processus client est un processus qui a réellement exécuté une méthode Windows Management Instrumentation.
Propriété
|
Type
|
Description
|
Exemple
|
CaseSensitiveCommandLine
|
String
|
Permet de créer des règles pour la ligne de commande qui respectent la casse
|
|
CommandLine
|
String
|
Ligne de commande du processus
|
file.txt
|
CommandLineLength
|
Int
|
Longueur de la ligne de commande
|
123
|
Compromised
|
Bool
|
Le processus a été marqué comme compromis par une règle avec une action MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Niveau d'intégrité du processus.
|
Les valeurs possibles sont les suivantes :
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contient un chemin d'accès à l'exécution d'un raccourci
|
|
ProcessDistance
|
Int
|
La distance du processus par rapport au processus actuel
|
123
|
ProcessLevel
|
Int
|
Profondeur du processus dans la hiérarchie des processus
|
123
|
ProcessOwner
|
String
|
L'utilisateur qui a créé le processus
|
|
RiskScore
|
Int
|
Le score est suivi pour chaque processus sur l'endpoint. Vous pouvez utiliser les actions IncreaseParentRiskScore ou IncreaseRiskScore pour augmenter la valeur d'un montant défini. Lorsque le seuil du score de risque est atteint, l'action KillParentProcess ou KillProcess est déclenchée. Vous pouvez spécifier le seuil du score de risque via Politique > ESET Inspect Connector > Paramètres avancés. Le score de risque est réinitialisé après un certain laps de temps, par défaut 6 heures.
|
1000
|
Opérations prises en charge
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
• WmiQueryInfo
Les événements de requête Windows Management Instrumentation se produisent lorsqu'un utilisateur ou un service déclenche une requête sur un système.
Propriété
|
Type
|
Description
|
ClientMachineFQDN
|
String
|
Nom de domaine complet de la machine cliente
|
IsLocal
|
Bool
|
Si la valeur est false, une requête a été appelée à partir d'une machine distante (par exemple, à l'aide de WbemTest)
|
Query
|
String
|
Une requête a été déclenchée dans un système
|
Exemple
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Opérations prises en charge
•WmiQuery |
WriteFile
Un fichier a fait l'objet d'une écriture.
Composants pris en charge :
• DateTime
Permet d'écrire des règles qui ne se déclenchent qu'à une heure spécifiée.
Propriété
|
Type
|
Description
|
Exemple
|
DayOfWeek
|
Int
|
Déclencher la règle uniquement certains jours de la semaine
|
Les valeurs possibles sont les suivantes :
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Ne déclenchez la règle qu'à certains moments de la journée. Les valeurs possibles sont comprises entre 0 et 23
|
12
|
Minute
|
Int
|
Ne déclencher la règle qu'à certains moments de la journée.
Les valeurs possibles sont comprises entre 0 et 59
|
30
|
Exemple
Cette règle est déclenchée à chaque ouverture du Bloc-notes, du lundi au vendredi, entre 9 h et 17 h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Opérations prises en charge
Le composant DateTime est pris en charge par toutes les opérations.
|
• EnterpriseInspector
Fournit des informations sur le connecteur.
Propriété
|
Type
|
Description
|
Exemple
|
VersionString
|
String
|
Chaîne de version du connecteur.
|
1.9.2385
|
VersionMajor
|
Int
|
Version majeure du connecteur.
|
1
|
VersionMinor
|
Int
|
Version mineure du connecteur.
|
9
|
BuildNumber
|
Int
|
Numéro de build du connecteur.
|
2385
|
Opérations prises en charge
Le composant EnterpriseInspector est pris en charge par toutes les opérations.
|
• FileItem
Renvoie les informations sur le fichier actuel
Propriété
|
Type
|
Description
|
Exemple
|
ADS
|
String
|
La partie ADS du chemin
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'extension du fichier
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Le nom du fichier avec l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nom de fichier sans l'extension de fichier
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Le chemin d'accès au fichier, y compris le nom de fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La longueur du nom
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Le chemin d'accès au fichier
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Se déclenche si l'opération est effectuée par le fichier sur lui-même (cas fréquent des logiciels malveillants qui se suppriment eux-mêmes)
|
true/false
|
Fichier canary
Les propriétés de chemin disposent d'une variable spéciale pour les fichiers Canary. La valeur permettant de spécifier le chemin d'accès au fichier Canary est %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Opérations prises en charge
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informations sur le système d'où proviennent les événements.
Propriété
|
Type
|
Description
|
Exemple
|
isServer
|
Bool
|
Indique si le système est un serveur
|
Faux — Pas un serveur
Vrai — Serveur
|
SystemArchitecture
|
Symbol
|
Le type d'architecture système
|
Pour correspondre à l'architecture 32 bits, utilisez l'une des options suivantes :
•32
•32bit
•x86
•0
Pour correspondre à l'architecture 64 bits, utilisez l'une des options suivantes :
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Le type de système d'exploitation qui a déclenché l'événement
|
Pour correspondre au système Windows, utilisez l'une des options suivantes :
•Windows
•Win
•0
Pour correspondre au système MacOS, utilisez l'une des options suivantes :
•macOs
•macOsx
•Osx
•1
Pour établir une correspondance avec un système Linux, utilisez ce qui suit :
•2 |
SystemVersion
|
String
|
La version complète du système avec les numéros de version majeure et mineure
|
|
Tags
|
Ensemble de chaînes
|
Balises attribuées à ce système spécifique
|
|
Les conditions prises en charge pour les types d'ensemble (Ensemble d'adresses IPv4, Ensemble d'adresses IPv6, Ensemble de chaînes, Ensemble de symboles) sont répertoriées dans le tableau Types de propriétés & relations, sous ensemble de valeurs.
Opérations prises en charge
Le composant SystemInfo est pris en charge par toutes les opérations.
|
|
|
Les versions antérieures de Windows ne produisent pas d'événements Windows Management Instrumentation. Cette fonctionnalité est disponible depuis Windows 10 version 1803.
Certains événements ne fournissent que des informations partielles :
•Événements d'écriture de fichier – seule la première modification de fichier est enregistrée (ceci s'applique par processus. Si deux processus modifient le même fichier, les deux modifications sont enregistrées)
•Événements liés au registre – seule la première modification de clé de registre est enregistrée (la première fois par un processus)
•DLLLoad – seules les DLL qui ne figurent pas dans la liste blanche de l'antivirus sont enregistrées
•Événements TcpIp – seule la première connexion est enregistrée (la première fois par un processus)
•Événements HTTP – seule la première requête est enregistrée (première fois par un processus)
•ModuleDrop (alias PEDrop) – il n'est signalé que pour le premier dépôt d'un module donné (première fois sur un ordinateur)
•AmsiTriggerEvent – seule la première exécution est enregistrée (la première fois sur un ordinateur) |
