Dio operations definira koje operacije koje izvršava proces podižu indikator. Ako je prazno, indikator se aktivira kada proces generira događaj.
Operacije se definiraju pomoću elementa operation s atributom type i elementom expression.
<operation type="WriteFile">Expression</operation>
Sljedeće komponente podržane su u svim operacijama.
•
DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
BitsJobAddFile
Datoteka je dodana u BITS posao.
Podržane komponente:
• BitsJobAddFile
Vraća informacije o poslu BITS.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
FileCount
|
Int
|
Broj datoteka dodanih u zadatak.
|
1
|
JobTitle
|
String
|
Prikazni naziv posla BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Lokalna odredišna putanja za datoteku.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
Izvorni URL ili udaljena putanja datoteke.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Račun koji je vlasnik posla ili ga je kreirao.
|
|
UserSid
|
String
|
Sigurnosni identifikator (SID) računa.
|
|
Podržane operacije
•BitsJobAddFile |
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
CodeInjection
Proces je bio izložen nekom obliku ubrizgavanja koda.
Podržane komponente:
• ClientProcessInfo
ClientProcessInfo dostupno je samo u kombinaciji s operacijama WmiExecution, WmiQuery i CodeInjection, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje kreiranje pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Procjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
Podržane operacije
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Za CodeInjection događaje prijavljuje informacije o korištenoj tehnici ubrizgavanja koda.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CodeInjectionType
|
Symbol
|
Korištena tehnika ubrizgavanja koda
|
Moguće vrijednosti su:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Podržane operacije
•CodeInjection |
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• Poduzeće
Pruža statistiku o modulima u nadziranoj mreži.
Podržane operacije
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid preventivni je sustav koji prikuplja informacije o prijetnjama od korisnika diljem svijeta. Baza podataka LiveGrid sadrži informacije o reputaciji potencijalnih prijetnji. Reputacija izvršnih datoteka pomaže vam filtrirati rezultate pravila.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne prelazi popularnost od 1000 prije nego što bude otkriven.
|
|
|
|
Ne možete se oslanjati na LiveGrid vrijednosti za nove izvršne datoteke. Čak i najpopularnija i najpouzdanija izvršna datoteka (na primjer, instalacijski program nove verzije preglednika Google Chrome) neko vrijeme nakon objave ima nisku popularnost i nepoznatu reputaciju.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vraća informacije o trenutnom modulu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Broj bodova koji je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti lažno pozitivan rezultat (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0—RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna
|
true/false
|
IsMacho
|
Bool
|
Definira je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva (common name) iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted – Krajnja točka smatra potpis pouzdanim
•80—Valid – Operacijski sustav smatra potpis pouzdanim
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid – Potpis nije valjan/oštećen je/opozvan je
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojemu je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema popisa pouzdanih za ovu datoteku
•1—Authoritative – Datoteku je krajnja točka uvrstila na popis pouzdanih
•2—LiveGrid–Datoteka se nalazi na popisu pouzdanih sustava ESET LiveGrid
•3—Certificate–Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga preporučujemo korištenje vrijednosti isnotempty ili isempty za uvjet.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Vraća informacije o trenutnom procesu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje izradu pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete upotrijebiti akcije IncreaseParentRiskScore ili IncreaseRiskScore za povećanje vrijednosti za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Ocjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je proces poslao.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vraća informacije o trenutnom procesu usluge.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje stvaranje pravila za naredbeni redak koja su osjetljiva na velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Policy > ESET Inspect Connector > Advanced settings. Ocjena rizika poništava se nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je poslao proces.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
CreateNamedPipe
Stvorena je imenovana cijev.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
CreateProcess
Stvoren je proces.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• Poduzeće
Pruža statistiku o modulima u nadziranoj mreži.
Podržane operacije
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid preventivni je sustav koji prikuplja informacije o prijetnjama od korisnika diljem svijeta. Baza podataka LiveGrid sadrži informacije o reputaciji potencijalnih prijetnji. Reputacija izvršnih datoteka pomaže vam filtrirati rezultate pravila.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne prelazi popularnost od 1000 prije nego što bude otkriven.
|
|
|
|
Ne možete se oslanjati na LiveGrid vrijednosti za nove izvršne datoteke. Čak i najpopularnija i najpouzdanija izvršna datoteka (na primjer, instalacijski program nove verzije preglednika Google Chrome) neko vrijeme nakon objave ima nisku popularnost i nepoznatu reputaciju.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vraća informacije o trenutnom modulu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Broj bodova koji je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti lažno pozitivan rezultat (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0—RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna
|
true/false
|
IsMacho
|
Bool
|
Definira je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva (common name) iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted – Krajnja točka smatra potpis pouzdanim
•80—Valid – Operacijski sustav smatra potpis pouzdanim
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid – Potpis nije valjan/oštećen je/opozvan je
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojemu je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema popisa pouzdanih za ovu datoteku
•1—Authoritative – Datoteku je krajnja točka uvrstila na popis pouzdanih
•2—LiveGrid–Datoteka se nalazi na popisu pouzdanih sustava ESET LiveGrid
•3—Certificate–Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga preporučujemo korištenje vrijednosti isnotempty ili isempty za uvjet.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Vraća informacije o trenutnom procesu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje izradu pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete upotrijebiti akcije IncreaseParentRiskScore ili IncreaseRiskScore za povećanje vrijednosti za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Ocjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je proces poslao.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vraća informacije o trenutnom procesu usluge.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje stvaranje pravila za naredbeni redak koja su osjetljiva na velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Policy > ESET Inspect Connector > Advanced settings. Ocjena rizika poništava se nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je poslao proces.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
DeleteFile
Datoteka je izbrisana.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
DeleteVolumeShadowCopy
Izbrisana je kopija u sjeni volumena.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• VolumeShadowCopyInfo
Vraća informacije o stvaranju shadow copy i postojećih backup snapshotova.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
OriginalVolumeName
|
String
|
Naziv volumena za koji je izrađena kopija u sjeni
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Naziv stroja koji sadrži izvorni svezak
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Naziv davatelja koji se koristi za stvaranje kopije u sjeni
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Naziv sustava koji pruža uslugu kopije u sjeni (obično isti kao izvorno računalo kod lokalnih sigurnosnih kopija)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Put uređaja koji predstavlja snimku volumena. Put objekta uređaja može se smatrati korijenom kopije u sjeni volumena. Zahtjevatelji će upotrebljavati ovaj naziv uređaja prilikom pristupa datotekama na volumenu kopiranom u sjeni s kojim trebaju raditi.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Podržane operacije
•DeleteVolumeShadowCopy |
DnsRequest
Upućen je DNS zahtjev (obično IP > domena, domena > IP).
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DnsInfo
DnsInfo sa sljedećim svojstvima:
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DnsQuery
|
String
|
Upit DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
Duljina upita DNS
|
100
|
DnsResponseIpAddressV4
|
Skup IPv4 adresa
|
Zapisi A u odgovoru DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Skup IPv6 adresa
|
Zapisi AAAA u odgovoru DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Skup nizova znakova
|
Zapisi NS, CNAME, PTR ili TXT u odgovoru DNS
|
mobile-google.com
|
DnsResponseType
|
Skup simbola
|
Vrste zapisa prisutnih u odgovoru DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
Ukupna duljina odgovora DNS
|
100
|
Za svojstvo DnsResponseType postoji unaprijed definiran opseg vrijednosti koje se mogu koristiti (bez razlikovanja velikih i malih slova):
Za više informacija o vrijednostima DnsResponseType pogledajte VRSTE zapisa resursa (RR).
Uvjeti podržani za tipove skupova (skup IPv4 adresa, skup IPv6 adresa, skup nizova znakova, skup simbola) navedeni su u tablici Tipovi svojstava & relacije pod skupom vrijednosti.
Primjer
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Podržane operacije
•DnsRequest |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
HttpRequest
Upućen je HTTP zahtjev.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• Mreža
Vraća informacije o mrežnim događajima
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DestinationIpAddressV4
|
Adresa Ipv4
|
Odredišna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresa Ipv6
|
Odredišna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Naziv ciljanog računala.
Podržano je samo s TCP IP događajima.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Veza je dolazna
|
true/false
|
IpAddressV4
|
Adresa Ipv4
|
Ciljna adresa Ipv4 događaja. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
IpAddressV6
|
Adresa Ipv6
|
Ciljna Ipv6 adresa događaja. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Ciljni TCP/UDP priključak
|
8080
|
Protocol
|
String
|
Protokol koji koristi veza
|
HTTP, HTTPS, itd.
|
SourceIpAddressV4
|
Adresa Ipv4
|
Izvorna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresa Ipv6
|
Izvorna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Ako je zahtjev uključivao URL (na primjer, HTTP zahtjev)
Podržano je sa zahtjevima HTTP i Detekcijama.
|
Ciljni URL
|
Primjer
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podržane operacije
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
LoadDLL
Učitan je DLL.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• Poduzeće
Pruža statistiku o modulima u nadziranoj mreži.
Podržane operacije
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid preventivni je sustav koji prikuplja informacije o prijetnjama od korisnika diljem svijeta. Baza podataka LiveGrid sadrži informacije o reputaciji potencijalnih prijetnji. Reputacija izvršnih datoteka pomaže vam filtrirati rezultate pravila.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne prelazi popularnost od 1000 prije nego što bude otkriven.
|
|
|
|
Ne možete se oslanjati na LiveGrid vrijednosti za nove izvršne datoteke. Čak i najpopularnija i najpouzdanija izvršna datoteka (na primjer, instalacijski program nove verzije preglednika Google Chrome) neko vrijeme nakon objave ima nisku popularnost i nepoznatu reputaciju.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vraća informacije o trenutnom modulu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Broj bodova koji je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti lažno pozitivan rezultat (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0—RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna
|
true/false
|
IsMacho
|
Bool
|
Definira je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva (common name) iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted – Krajnja točka smatra potpis pouzdanim
•80—Valid – Operacijski sustav smatra potpis pouzdanim
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid – Potpis nije valjan/oštećen je/opozvan je
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojemu je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema popisa pouzdanih za ovu datoteku
•1—Authoritative – Datoteku je krajnja točka uvrstila na popis pouzdanih
•2—LiveGrid–Datoteka se nalazi na popisu pouzdanih sustava ESET LiveGrid
•3—Certificate–Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga preporučujemo korištenje vrijednosti isnotempty ili isempty za uvjet.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Vraća informacije o trenutnom procesu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje izradu pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete upotrijebiti akcije IncreaseParentRiskScore ili IncreaseRiskScore za povećanje vrijednosti za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Ocjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je proces poslao.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Vraća informacije o trenutnom procesu usluge.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje stvaranje pravila za naredbeni redak koja su osjetljiva na velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Policy > ESET Inspect Connector > Advanced settings. Ocjena rizika poništava se nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
SentBytes
|
Int
|
Ukupan broj bajtova koje je poslao proces.
|
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
LoadDriver
Učitan je upravljački program ili modul jezgre.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Modul
Vraća informacije o trenutnom modulu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Broj bodova koji je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti lažno pozitivan rezultat (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0—RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna
|
true/false
|
IsMacho
|
Bool
|
Definira je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva (common name) iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted – Krajnja točka smatra potpis pouzdanim
•80—Valid – Operacijski sustav smatra potpis pouzdanim
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid – Potpis nije valjan/oštećen je/opozvan je
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojemu je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema popisa pouzdanih za ovu datoteku
•1—Authoritative – Datoteku je krajnja točka uvrstila na popis pouzdanih
•2—LiveGrid–Datoteka se nalazi na popisu pouzdanih sustava ESET LiveGrid
•3—Certificate–Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga preporučujemo korištenje vrijednosti isnotempty ili isempty za uvjet.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
ModuleDrop
Ispuštena je izvršna datoteka.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• Poduzeće
Pruža statistiku o modulima u nadziranoj mreži.
Podržane operacije
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid preventivni je sustav koji prikuplja informacije o prijetnjama od korisnika diljem svijeta. Baza podataka LiveGrid sadrži informacije o reputaciji potencijalnih prijetnji. Reputacija izvršnih datoteka pomaže vam filtrirati rezultate pravila.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne prelazi popularnost od 1000 prije nego što bude otkriven.
|
|
|
|
Ne možete se oslanjati na LiveGrid vrijednosti za nove izvršne datoteke. Čak i najpopularnija i najpouzdanija izvršna datoteka (na primjer, instalacijski program nove verzije preglednika Google Chrome) neko vrijeme nakon objave ima nisku popularnost i nepoznatu reputaciju.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modul
Vraća informacije o trenutnom modulu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Broj bodova koji je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti lažno pozitivan rezultat (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0—RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna
|
true/false
|
IsMacho
|
Bool
|
Definira je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva (common name) iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted – Krajnja točka smatra potpis pouzdanim
•80—Valid – Operacijski sustav smatra potpis pouzdanim
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid – Potpis nije valjan/oštećen je/opozvan je
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojemu je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema popisa pouzdanih za ovu datoteku
•1—Authoritative – Datoteku je krajnja točka uvrstila na popis pouzdanih
•2—LiveGrid–Datoteka se nalazi na popisu pouzdanih sustava ESET LiveGrid
•3—Certificate–Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga preporučujemo korištenje vrijednosti isnotempty ili isempty za uvjet.
|
Podržane operacije
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
MultipleFilesChanged
Proces je izmijenio više datoteka.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• ProcessBehavior
ProcessBehavior događaji prijavljuju se na sustavu Windows. Antivirusni program prati kojim se datotekama pristupalo i koliko često. Ako je proces pristupio većem broju datoteka od broja postavljenog u barijeri u određenom vremenskom razdoblju, taj se događaj prijavljuje.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
FileOperations
|
String
|
Operacije i njihove prepreke
|
Moguće vrijednosti su:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Vrijednosti FileOperations interne su i namijenjene za korištenje samo sa zadanim pravilima.
|
Podržane operacije
•MultipleFilesChanged |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
OpenProcess
Dodan je novi atribut pravila koji se aktivira kada se proces otvori. Nadzire se samo otvoreni proces prema lsass.exe.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Dodan je novi atribut pravila koji se aktivira kada se proces otvori.
HIPS šalje OpenProcess događaje samo za lsass.exe i to samo s PROCESS_VM_WRITE i/ili PROCESS_VM_READ pristupom procesu te samo pri pozivanju funkcije OpenProcess ili DuplicateHandle (kada je proces već otvoren s navedenim pristupima)
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AccessRight
|
Symbol
|
|
Moguće vrijednosti su:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Primjer
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Podržane operacije
•OpenProcess |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
ReadFile
Pokreće se kad se pročita nadzirana datoteka. Nadzirane datoteke odnose se na one koje sadrže osjetljive informacije ili pohranjene vjerodajnice, primjerice pohranjene lozinke preglednika, pohranjene lozinke FTP klijenata, AD bazu podataka i tako dalje.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
RegDeleteKey
Izbrisan je ključ registra.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• RegistryItem
Vratite informacije o događajima u registru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Key
|
Path
|
Put ključa, sadrži naziv vrijednosti ključa
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Duljina vrijednosti ključa
|
16
|
StringValue
|
String
|
Vrijednost ključa tipa string
|
ExampleValue
|
IntValue
|
Int
|
Vrijednost int ključa
|
32
|
Primjer
Za ključ registra: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podržane operacije
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
RegDeleteValue
Vrijednost registra je izbrisana.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• RegistryItem
Vratite informacije o događajima u registru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Key
|
Path
|
Put ključa, sadrži naziv vrijednosti ključa
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Duljina vrijednosti ključa
|
16
|
StringValue
|
String
|
Vrijednost ključa tipa string
|
ExampleValue
|
IntValue
|
Int
|
Vrijednost int ključa
|
32
|
Primjer
Za ključ registra: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podržane operacije
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
RegRenameKey
Ključ registra je preimenovan.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• RegistryItem
Vratite informacije o događajima u registru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Key
|
Path
|
Put ključa, sadrži naziv vrijednosti ključa
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Duljina vrijednosti ključa
|
16
|
StringValue
|
String
|
Vrijednost ključa tipa string
|
ExampleValue
|
IntValue
|
Int
|
Vrijednost int ključa
|
32
|
Primjer
Za ključ registra: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podržane operacije
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
RegSetValue
Ključ registra je izmijenjen.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• RegistryItem
Vratite informacije o događajima u registru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Key
|
Path
|
Put ključa, sadrži naziv vrijednosti ključa
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Duljina vrijednosti ključa
|
16
|
StringValue
|
String
|
Vrijednost ključa tipa string
|
ExampleValue
|
IntValue
|
Int
|
Vrijednost int ključa
|
32
|
Primjer
Za ključ registra: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Podržane operacije
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
RenameFile
Datoteka je preimenovana.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
ScheduledTaskAdded
Dodan je zakazani zadatak.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Vraća informacije o zakazanom zadatku.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Boundary
|
Date
|
Vremenska ograničenja za raspored: početak/kraj, vremenska zona te prozor/pravila ponavljanja.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Označava je li zakazani zadatak aktivan i hoće li se izvršavati prema svom rasporedu.
|
true/false
|
Location
|
String
|
Put u stablu Microsoft planera zadataka počevši od čvora „Task Scheduler Library“
|
|
Name
|
String
|
Naziv zadatka
|
|
Type
|
Symbol
|
Vrsta operacije planiranog zadatka
|
Moguće vrijednosti su:
•0—Create
•1—Unknown |
Podržane operacije
•ScheduledTaskAdded |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
Scripts
Izvršena je skripta koju je otkrio AMSI.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• Skripte
Komponenta Scripts omogućuje vam stvaranje pravila na temelju svojstava izvršene skripte koja izlaže AMSI.
Svojstvo
|
Vrsta
|
Opis
|
Script
|
String
|
Skripta primljena od ESET PROTECT putem AMSI integracije
|
ScriptLength
|
Int
|
Duljina skripte (broj znakova)
|
ScriptSha1
|
Hash
|
SHA1 hash fragmenta skripte
|
ScriptSha256
|
Hash
|
SHA256 hash fragmenta skripte
|
Primjer
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Podržane operacije
•Scripts |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
ServiceInstalled
Instalirana je usluga.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servis
Komponenta Service omogućuje vam izradu pravila na temelju svojstava Windows usluga i događaja upravljanja uslugama koje izlaže Upravitelj kontrole servisa (SCM).
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
LoadType
|
Symbol
|
Vrsta pokretanja usluge
|
Moguće vrijednosti su:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Interni naziv usluge registriran u SCM-u
|
|
Type
|
Int
|
Označava vrstu usluge koja je registrirana u SCM-u
|
Moguće vrijednosti su:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Podržane operacije
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
ServiceStarted
Pokrenuta je usluga.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servis
Komponenta Service omogućuje vam izradu pravila na temelju svojstava Windows usluga i događaja upravljanja uslugama koje izlaže Upravitelj kontrole servisa (SCM).
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
LoadType
|
Symbol
|
Vrsta pokretanja usluge
|
Moguće vrijednosti su:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Interni naziv usluge registriran u SCM-u
|
|
Type
|
Int
|
Označava vrstu usluge koja je registrirana u SCM-u
|
Moguće vrijednosti su:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Podržane operacije
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
SetFileAttribute
Postavljen je atribut datoteke.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileAttribute
FileAttribute događaji trenutačno se prijavljuju samo na sustavu Linux. Pravilo se pokreće kada se postavi atribut, na primjer, naredbom chmod.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Attribute
|
Symbol
|
Atribut datoteke
|
Moguće vrijednosti su:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Podržane operacije
•SetFileAttribute |
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
SystemApiCall
Pozvana je sistemska funkcija.
Podržane komponente:
• ApiCall
Vraća informacije o API pozivima.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ApiName
|
Symbol
|
Naziv API-ja koji proces poziva
|
Podržane vrijednosti su:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Samo Linux
Primjer
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Podržane operacije
•SystemApiCall |
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
TcpIpAccept
Prihvaćena je dolazna TCP/IP veza.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• Mreža
Vraća informacije o mrežnim događajima
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DestinationIpAddressV4
|
Adresa Ipv4
|
Odredišna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresa Ipv6
|
Odredišna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Naziv ciljanog računala.
Podržano je samo s TCP IP događajima.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Veza je dolazna
|
true/false
|
IpAddressV4
|
Adresa Ipv4
|
Ciljna adresa Ipv4 događaja. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
IpAddressV6
|
Adresa Ipv6
|
Ciljna Ipv6 adresa događaja. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Ciljni TCP/UDP priključak
|
8080
|
Protocol
|
String
|
Protokol koji koristi veza
|
HTTP, HTTPS, itd.
|
SourceIpAddressV4
|
Adresa Ipv4
|
Izvorna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresa Ipv6
|
Izvorna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Ako je zahtjev uključivao URL (na primjer, HTTP zahtjev)
Podržano je sa zahtjevima HTTP i Detekcijama.
|
Ciljni URL
|
Primjer
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podržane operacije
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
TcpIpConnect
Uspostavljena je odlazna TCP/IP veza.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• Mreža
Vraća informacije o mrežnim događajima
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DestinationIpAddressV4
|
Adresa Ipv4
|
Odredišna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresa Ipv6
|
Odredišna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Naziv ciljanog računala.
Podržano je samo s TCP IP događajima.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Veza je dolazna
|
true/false
|
IpAddressV4
|
Adresa Ipv4
|
Ciljna adresa Ipv4 događaja. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
IpAddressV6
|
Adresa Ipv6
|
Ciljna Ipv6 adresa događaja. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Ciljni TCP/UDP priključak
|
8080
|
Protocol
|
String
|
Protokol koji koristi veza
|
HTTP, HTTPS, itd.
|
SourceIpAddressV4
|
Adresa Ipv4
|
Izvorna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresa Ipv6
|
Izvorna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Ako je zahtjev uključivao URL (na primjer, HTTP zahtjev)
Podržano je sa zahtjevima HTTP i Detekcijama.
|
Ciljni URL
|
Primjer
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podržane operacije
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
TcpIpProtocolIdentified
Povrh TCP/IP veze, opisuje korišteni protokol.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• Mreža
Vraća informacije o mrežnim događajima
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DestinationIpAddressV4
|
Adresa Ipv4
|
Odredišna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
DestinationIpAddressV6
|
Adresa Ipv6
|
Odredišna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Naziv ciljanog računala.
Podržano je samo s TCP IP događajima.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Veza je dolazna
|
true/false
|
IpAddressV4
|
Adresa Ipv4
|
Ciljna adresa Ipv4 događaja. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
IpAddressV6
|
Adresa Ipv6
|
Ciljna Ipv6 adresa događaja. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Ciljni TCP/UDP priključak
|
8080
|
Protocol
|
String
|
Protokol koji koristi veza
|
HTTP, HTTPS, itd.
|
SourceIpAddressV4
|
Adresa Ipv4
|
Izvorna Ipv4 adresa detekcije firewalla. Podržava maske.
|
192.168.0.1, podržava maske - 192.168.0.0/16
|
SourceIpAddressV6
|
Adresa Ipv6
|
Izvorna Ipv6 adresa detekcije firewalla. Podržava maske.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, podržava maske - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Ako je zahtjev uključivao URL (na primjer, HTTP zahtjev)
Podržano je sa zahtjevima HTTP i Detekcijama.
|
Ciljni URL
|
Primjer
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Podržane operacije
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
TruncateFile
Datoteka je skraćena.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
UnloadDriver
Upravljački program ili modul jezgre je uklonjen iz memorije.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
UserActivate
Korisnik je aktiviran.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Korisnik je dodan u grupu.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Isto kao UserLogonData, ali sa svojstvima za podatke o grupama.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Stvoren je novi korisnik.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Korisnik je onemogućen.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Korisnik se prijavio.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Događaji povezani s aktivnostima korisnika (kreiran korisnik, prijavljen, ...), informacije o tim događajima.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Hostname
|
String
|
Naziv računala s kojeg je izvršen pokušaj prijave
|
|
IpAddressV4
|
Adresa Ipv4
|
IPv4 adresa računala s kojeg je izvršen pokušaj prijave
|
|
IpAddressV6
|
Adresa Ipv6
|
IPv6 adresa računala s kojeg je izvršen pokušaj prijave
|
|
LogonType
|
Symbol
|
Vrsta prijave
|
Moguće vrijednosti su:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Izvorni port koji je korišten za pokušaj prijave s udaljenog računala
|
|
Podržane operacije
•UserLogin
•UserLogout |
UserLogout
Korisnik se odjavio.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Događaji povezani s aktivnostima korisnika (kreiran korisnik, prijavljen, ...), informacije o tim događajima.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Hostname
|
String
|
Naziv računala s kojeg je izvršen pokušaj prijave
|
|
IpAddressV4
|
Adresa Ipv4
|
IPv4 adresa računala s kojeg je izvršen pokušaj prijave
|
|
IpAddressV6
|
Adresa Ipv6
|
IPv6 adresa računala s kojeg je izvršen pokušaj prijave
|
|
LogonType
|
Symbol
|
Vrsta prijave
|
Moguće vrijednosti su:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Izvorni port koji je korišten za pokušaj prijave s udaljenog računala
|
|
Podržane operacije
•UserLogin
•UserLogout |
UserRemove
Korisnik je uklonjen.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Korisnik je uklonjen iz grupe.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• DoneByUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• TargetUser
Korisnik koji je bio meta.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza danog događaja
|
|
Podržane operacije
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Isto kao UserLogonData, ali sa svojstvima za podatke o grupama.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Sid
|
String
|
Koji korisnik (SID računa) stoji iza danog događaja
|
|
SidNameUse
|
Symbol
|
Koja grupa (njezin tip SID-a) stoji iza danog događaja
|
Grupe su:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Koji korisnik (naziv računa) stoji iza zadanog događaja
|
|
Podržane operacije
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Izvršen je događaj iz VirtualDiskMount.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
WmiExecution
Pokrenut je Windows Management Instrumentation događaj izvršavanja.
Podržane komponente:
• ClientEnterprise
ClientEnterprise dostupno je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio metodu Windows Management Instrumentation.
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem dostupna je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS putanje
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Ekstenzija datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s ekstenzijom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez datotečnog nastavka
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno kod zlonamjernog softvera koji sam sebe briše)
|
true/false
|
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid dostupna je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio metodu Windows Management Instrumentation.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne premaši popularnost od 1000 prije nego što bude otkriven.
|
|
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule dostupno je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Brojčana ocjena koju je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti riječ o lažno pozitivnom rezultatu (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0–RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna datoteka
|
true/false
|
IsMacho
|
Bool
|
Određuje je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted–Krajnja točka smatra potpis pouzdanim
•80—Valid–OS vjeruje potpisu
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid–Potpis nije valjan/oštećen/opozvan
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojem je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema stavljanja na popis pouzdanih za ovu datoteku
•1—Authoritative– Datoteka je na popisu pouzdanih na krajnjoj točki
•2—LiveGrid–Datoteka je na popisu pouzdanih u sustavu ESET LiveGrid
•3—Certificate – Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga za uvjet preporučujemo korištenje vrijednosti isnotempty ili isempty.
|
Uvjeti podržani za tipove skupova (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava & odnosi pod skup vrijednosti.
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo dostupno je samo u kombinaciji s operacijama WmiExecution, WmiQuery i CodeInjection, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje kreiranje pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Procjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
Podržane operacije
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• WmiExecutionInfo
Događaj izvršavanja alata Windows Management Instrumentation (WMI) događa se samo kada se pozove WMI metoda Win32_process.create().
Svojstvo
|
Vrsta
|
Opis
|
ClassName
|
String
|
Klasa koja sadrži okidanu metodu
|
ClientMachineFQDN
|
String
|
Potpuno kvalificirani naziv domene klijentskog računala
|
CommandLine
|
String
|
Naredbeni redak poslan metodi kao popis argumenata
|
IsLocal
|
Bool
|
Određuje je li metoda pozvana lokalno ili udaljeno
|
MethodName
|
String
|
Metoda koja je pokrenuta
|
Primjer
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Podržane operacije
•WmiExecution |
WmiPersistence
Događaj se generira kada se potrošač poveže s filtrom.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• WmiPersistenceInfo
Događaj se generira kada se potrošač poveže s filtrom.
Svojstvo
|
Vrsta
|
Opis
|
EventConsumerName
|
String
|
Naziv potrošača koji pokreće radnju kada stigne određeni događaj
|
EventFilterName
|
String
|
Naziv korištenog EventFilter
|
Handler
|
String
|
Naredbeni redak koji je izvršio potrošač događaja
|
Query
|
String
|
Upit u filtru događaja koji obuhvaća događaje koji bi trebali izvršiti akciju
|
TriggeringUserName
|
String
|
Ime korisnika koji je pokrenuo događaj koji se podudara s filtrom
|
TriggeringUserSid
|
String
|
Pokretanje sigurnosnog ID-a korisnika
|
TriggeringUserSidNameUse
|
Int
|
Pokretanje tipa SID-a korisnika
|
Primjer
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Podržane operacije
•WmiPersistence |
WmiQuery
Windows Management Instrumentation upit izvršen je na računalu.
Podržane komponente:
• ClientEnterprise
ClientEnterprise dostupno je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio metodu Windows Management Instrumentation.
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem dostupna je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS putanje
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Ekstenzija datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s ekstenzijom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez datotečnog nastavka
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno kod zlonamjernog softvera koji sam sebe briše)
|
true/false
|
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid dostupna je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio metodu Windows Management Instrumentation.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
Age
|
Int
|
Broj dana od kada je izvršna datoteka prvi put viđena u LiveGrid. Broj se zaokružuje na ekvivalent tjedna, mjeseca, polovice godine, godine itd.
|
|
Reputation
|
Int
|
Broj na ljestvici reputacije. Što više, to pouzdanije
|
Moguće vrijednosti su:
•9, 8 – Pouzdano
•7, 6 – OK
•5, 4 – Rizično
•3 – PUA, nepoznato (nije zabilježeno u ESET LiveGridu)
•2, 1 – Zlonamjerni softver |
Popularity
|
Int
|
Broj računala na kojima je LiveGrid uočio izvršnu datoteku. Zaokružuje se na brojeve poput 10, 100, 1000, 10000 itd. Zlonamjerni softver obično ne premaši popularnost od 1000 prije nego što bude otkriven.
|
|
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule dostupno je samo u kombinaciji s operacijama WmiExecution i WmiQuery, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
AugurScore
|
Int
|
Brojčana ocjena koju je dodijelio ESET-ov mehanizam strojnog učenja. Moguće vrijednosti su od 0 do 99
|
67
|
CompanyName
|
String
|
Iz informacija o verziji, naziv tvrtke koja je izradila datoteku
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Broj dana otkako je datoteka prepoznata kao nearmiss.
Nearmiss – detekcija je aktivirana zbog zlonamjernog softvera, ali može biti riječ o lažno pozitivnom rezultatu (ne možemo jamčiti da je riječ o zlonamjernom softveru)
|
|
EmulationStatus
|
Int
|
Status emulacije datoteke (ako je datoteka emulirana naprednom heuristikom)
|
0 – Nije emulirano
1 – Emulirano
|
FileDescription
|
String
|
Iz informacija o verziji, opis datoteke prikazan korisnicima
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Datoteka isporučena putem RDP-a
|
Moguće vrijednosti su:
0–RDP
|
FileSize
|
Int
|
Veličina datoteke u bajtovima
|
41984
|
FileVersion
|
String
|
Iz informacija o verziji, broj verzije datoteke
|
"10.0.14393.0"
|
InternalName
|
String
|
Iz informacija o verziji, interni naziv datoteke
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Datoteka je PE DLL
|
true/false
|
IsElf
|
Bool
|
Datoteka je ELF datoteka
|
true/false
|
IsExe
|
Bool
|
Datoteka je izvršna datoteka
|
true/false
|
IsMacho
|
Bool
|
Određuje je li datoteka Mach-O (macOS) datoteka ili nije
|
true/false
|
IsNative
|
Bool
|
Datoteka je nativna PE izvršna datoteka
|
true/false
|
isPe
|
Bool
|
Datoteka je izvršna datoteka za Windows
|
true/false
|
MD5
|
Hash
|
md5 hash izvršne datoteke
|
|
MachoIsProtected
|
Bool
|
Modul je zaštićena Mach-O izvršna datoteka
|
|
MachoSignatureId
|
String
|
Identifikator Mach-O datoteke prisutan u potpisu
|
"com.apple.ls"
|
MachoSignerCns
|
Skup nizova znakova
|
Skup uobičajenih naziva iz certifikata u Mach-O datoteci
|
|
MachoUserId
|
String
|
Jedinstveni ID programera koji dodjeljuje Apple
|
|
OriginalFileName
|
String
|
Iz informacija o verziji, izvorni naziv datoteke
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Naziv packer programa
|
"UPX"
|
ProductName
|
String
|
Iz informacija o verziji, naziv proizvoda s kojim se datoteka distribuira
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Iz informacija o verziji, broj verzije proizvoda s kojim se datoteka distribuira
|
"10.0.14393"
|
SFXName
|
String
|
Naziv packer programa sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash izvršne datoteke
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash izvršne datoteke
|
|
SignatureType
|
Symbol
|
Vrsta potpisa izvršne datoteke
|
Moguće vrijednosti su:
•90—Trusted–Krajnja točka smatra potpis pouzdanim
•80—Valid–OS vjeruje potpisu
•75—Adhoc – Certifikat je samopotpisan
•70—None–U datoteci nema potpisa
•60—Invalid–Potpis nije valjan/oštećen/opozvan
•50—Present – Potpis je prisutan, ali status certifikata nije poznat
•50—Unknown – Provjera certifikata nije uspjela |
SignerName
|
String
|
Ime potpisnika, ako postoji
|
"Microsoft Windows"
|
Tags
|
String
|
Omogućuje korisniku filtriranje prema modulu kojem je pridružena određena oznaka
|
|
Whitelist
|
Symbol
|
Vrsta popisa pouzdanih za izvršnu datoteku
|
Moguće vrijednosti su:
•0—None – Nema stavljanja na popis pouzdanih za ovu datoteku
•1—Authoritative– Datoteka je na popisu pouzdanih na krajnjoj točki
•2—LiveGrid–Datoteka je na popisu pouzdanih u sustavu ESET LiveGrid
•3—Certificate – Certifikat datoteke nalazi se na popisu pouzdanih |
|
|
1Nazivi packer programa mogu se u budućnosti promijeniti. Stoga za uvjet preporučujemo korištenje vrijednosti isnotempty ili isempty.
|
Uvjeti podržani za tipove skupova (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava & odnosi pod skup vrijednosti.
Podržane operacije
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo dostupno je samo u kombinaciji s operacijama WmiExecution, WmiQuery i CodeInjection, koje imaju klijentski proces. Klijentski proces je proces koji je zapravo izvršio Windows Management Instrumentation metodu.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
CaseSensitiveCommandLine
|
String
|
Omogućuje kreiranje pravila za naredbeni redak koja razlikuju velika i mala slova
|
|
CommandLine
|
String
|
Naredbeni redak postupka
|
file.txt
|
CommandLineLength
|
Int
|
Duljina naredbenog retka
|
123
|
Compromised
|
Bool
|
Proces je označen kao kompromitiran pravilom s akcijom MarkAsCompromised
|
true/false ili 1/0
|
IntegrityLevel
|
Symbol
|
Razina integriteta procesa
|
Moguće vrijednosti su:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Sadrži putanju do izvršavanja prečaca
|
|
ProcessDistance
|
Int
|
Udaljenost procesa od trenutnog procesa
|
123
|
ProcessLevel
|
Int
|
Dubina procesa u hijerarhiji procesa
|
123
|
ProcessOwner
|
String
|
Korisnik koji je stvorio proces
|
|
RiskScore
|
Int
|
Rezultat se prati za svaki proces na krajnjoj točki. Možete koristiti akcije IncreaseParentRiskScore ili IncreaseRiskScore kako biste povećali vrijednost za zadani iznos. Kada se dosegne prag ocjene rizika, pokreće se radnja KillParentProcess ili KillProcess. Prag ocjene rizika možete odrediti putem Pravilo > ESET Inspect Connector > Napredne postavke. Procjena rizika ponovno se postavlja nakon određenog vremenskog razdoblja, prema zadanim postavkama nakon 6 sati.
|
1000
|
Podržane operacije
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
• WmiQueryInfo
Događaji Windows Management Instrumentation upita događaju se kada korisnik ili usluga pokrene upit na sustavu.
Svojstvo
|
Vrsta
|
Opis
|
ClientMachineFQDN
|
String
|
Potpuno kvalificirani naziv domene klijentskog računala
|
IsLocal
|
Bool
|
Ako je netočno, upit je pozvan s udaljenog računala (na primjer, pomoću alata WbemTest)
|
Query
|
String
|
U sustavu je pokrenut upit
|
Primjer
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Podržane operacije
•WmiQuery |
WriteFile
U datoteku je zapisano.
Podržane komponente:
• DateTime
Omogućuje vam pisanje pravila koja se pokreću samo u određeno vrijeme.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
DayOfWeek
|
Int
|
Aktiviraj pravilo samo određenim danima u tjednu
|
Moguće vrijednosti su:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana. Moguće vrijednosti su od 0 do 23
|
12
|
Minute
|
Int
|
Aktivirajte pravilo samo u određenim dijelovima dana.
Moguće vrijednosti su od 0 do 59
|
30
|
Primjer
Ovo se pravilo aktivira svaki put kada se Notepad otvori od ponedjeljka do petka između 9 i 17 sati.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Podržane operacije
DateTime komponentu podržavaju sve operacije.
|
• EnterpriseInspector
Pruža informacije o Connectoru.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
VersionString
|
String
|
Niz verzije konektora.
|
1.9.2385
|
VersionMajor
|
Int
|
Glavna verzija Connectora.
|
1
|
VersionMinor
|
Int
|
Radna verzija Connectora.
|
9
|
BuildNumber
|
Int
|
Broj međuverzije konektora.
|
2385
|
Podržane operacije
EnterpriseInspector komponentu podržavaju sve operacije.
|
• FileItem
Vraća informacije o trenutnoj datoteci
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
ADS
|
String
|
Dio ADS staze
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Nastavak datoteke
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Naziv datoteke s nastavkom datoteke
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Naziv datoteke bez nastavka datoteke
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Putanja datoteke uključujući naziv datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Duljina imena
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Put datoteke
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aktivira se ako datoteka izvrši operaciju nad samom sobom (uobičajeno za zlonamjerni softver koji briše sam sebe)
|
true/false
|
Lažna datoteka
Svojstva putanje imaju posebnu varijablu za lažne datoteke. Vrijednost za određivanje puta do lažne datoteke je %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Podržane operacije
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informacije o sustavu iz kojeg dolaze događaji.
Svojstvo
|
Vrsta
|
Opis
|
Primjer
|
isServer
|
Bool
|
Označava je li sustav poslužitelj
|
Netočno – nije poslužitelj
Točno – Poslužitelj
|
SystemArchitecture
|
Symbol
|
Vrsta arhitekture sustava
|
Za podudaranje s 32-bitnom arhitekturom upotrijebite jedno od sljedećeg:
•32
•32bit
•x86
•0
Da biste uskladili 64-bitnu arhitekturu, upotrijebite jedno od sljedećeg:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Koja vrsta operativnog sustava je pokrenula događaj
|
Za podudaranje sa sustavom Windows upotrijebite jedno od sljedećeg:
•Windows
•Win
•0
Za podudaranje sa sustavom MacOS upotrijebite jedno od sljedećeg:
•macOs
•macOsx
•Osx
•1
Za podudaranje s Linux sustavom koristite sljedeće:
•2 |
SystemVersion
|
String
|
Cijela verzija sustava s glavnim i sporednim brojevima
|
|
Tags
|
Skup nizova znakova
|
Oznake dodijeljene tom specifičnom sustavu
|
|
Uvjeti podržani za skupovne tipove (Skup IPv4 adresa, Skup IPv6 adresa, Skup nizova znakova, Skup simbola) navedeni su u tablici Tipovi svojstava i odnosi pod skup vrijednosti.
Podržane operacije
SystemInfo komponentu podržavaju sve operacije.
|
|
|
Ranije verzije Windows ne proizvode Windows Management Instrumentation događaje. Ova je funkcionalnost dostupna od Windows 10 verzije 1803.
Neki od događaja pružaju samo djelomične informacije:
•Događaji zapisivanja u datoteku – bilježi se samo prva promjena datoteke (ovo je po procesu. Ako dva procesa promijene istu datoteku, bilježe se obje promjene)
•Događaji povezani s registrom – bilježi se samo prva promjena ključa registra (prvi put kada je izvrši proces)
•DLLLoad—bilježe se samo DLL-ovi koji nisu na bijeloj listi od strane AV-a
•TcpIp događaji – bilježi se samo prva veza (prvi put po procesu)
•Http događaji – bilježi se samo prvi zahtjev (prvi put po procesu)
•ModuleDrop (poznat i kao PEDrop) – prijavljuje se samo za prvo ispuštanje (drop) određenog modula (prvi put na računalu)
•AmsiTriggerEvent – bilježi se samo prvo izvršavanje (prvi put na računalu) |
