La parte operations definisce quali operazioni eseguite da un processo attivano l'indicatore. Se vuoto, l'indicatore viene attivato quando il processo genera un evento.
Le operazioni vengono definite utilizzando un elemento operation con un attributo type e un elemento expression.
<operation type="WriteFile">Expression</operation>
I seguenti componenti sono supportati da tutte le operazioni.
•
DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
BitsJobAddFile
È stato aggiunto un file a un processo BITS.
Componenti supportati:
• BitsJobAddFile
Restituisce informazioni su un processo BITS.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
FileCount
|
Int
|
Numero di file aggiunti al processo.
|
1
|
JobTitle
|
String
|
Nome visualizzato del processo BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Percorso di destinazione locale per il file.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL di origine o percorso remoto del file.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Account che possiede o ha creato il processo.
|
|
UserSid
|
String
|
Identificatore di sicurezza (SID) dell'account.
|
|
Operazioni supportate
•BitsJobAddFile |
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
CodeInjection
Un processo è stato soggetto a una qualche forma di code injection.
Componenti supportati:
• ClientProcessInfo
ClientProcessInfo è disponibile solo in combinazione con le operazioni WmiExecution, WmiQuery e CodeInjection, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando con distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
Operazioni supportate
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Per gli eventi CodeInjection, riporta informazioni relative alla tecnica di iniezione di codice utilizzata.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CodeInjectionType
|
Symbol
|
Tecnica di iniezione di codice utilizzata
|
I valori possibili sono:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Operazioni supportate
•CodeInjection |
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• Enterprise
Fornisce una statistica sui moduli nella rete monitorata.
Operazioni supportate
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid è un sistema preventivo che raccoglie informazioni sulle minacce dagli utenti di tutto il mondo. Il database ESET LiveGrid® contiene informazioni sulla reputazione relative a potenziali minacce. La reputazione degli eseguibili consente di filtrare i risultati delle regole.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all’equivalente della settimana, del mese, del semestre, dell’anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, Sconosciuto (non rilevato da ESET LiveGrid)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
|
|
Non è possibile fare affidamento sui valori ESET LiveGrid® per i nuovi eseguibili. Anche l'eseguibile più diffuso e affidabile (ad esempio, il programma di installazione di una nuova versione di Google Chrome) ha una bassa popolarità e una reputazione sconosciuta per un certo periodo di tempo dopo il suo rilascio.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modulo
Restituisce le informazioni sul modulo corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il numero del punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento è attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato dall'euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è stata revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist di ESET LiveGrid®
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Restituisce informazioni sul processo corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fa distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso per l'esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Restituisce informazioni sul processo del servizio corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fanno distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene il percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo stabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
CreateNamedPipe
È stata creata una named pipe.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
CreateProcess
È stato creato un processo.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• Enterprise
Fornisce una statistica sui moduli nella rete monitorata.
Operazioni supportate
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid è un sistema preventivo che raccoglie informazioni sulle minacce dagli utenti di tutto il mondo. Il database ESET LiveGrid® contiene informazioni sulla reputazione relative a potenziali minacce. La reputazione degli eseguibili consente di filtrare i risultati delle regole.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all’equivalente della settimana, del mese, del semestre, dell’anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, Sconosciuto (non rilevato da ESET LiveGrid)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
|
|
Non è possibile fare affidamento sui valori ESET LiveGrid® per i nuovi eseguibili. Anche l'eseguibile più diffuso e affidabile (ad esempio, il programma di installazione di una nuova versione di Google Chrome) ha una bassa popolarità e una reputazione sconosciuta per un certo periodo di tempo dopo il suo rilascio.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modulo
Restituisce le informazioni sul modulo corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il numero del punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento è attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato dall'euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è stata revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist di ESET LiveGrid®
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Restituisce informazioni sul processo corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fa distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso per l'esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Restituisce informazioni sul processo del servizio corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fanno distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene il percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo stabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
DeleteFile
Un file è stato eliminato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
DeleteVolumeShadowCopy
Una copia shadow di un volume è stata eliminata.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• VolumeShadowCopyInfo
Restituisce informazioni sulla creazione delle copie shadow e sugli snapshot di backup esistenti.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
OriginalVolumeName
|
String
|
Il nome del volume di cui è stata creata la copia shadow
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Il nome della macchina contenente il volume originale
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Nome del provider utilizzato per creare la copia shadow
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Il nome del sistema che fornisce il servizio di copia shadow (solitamente lo stesso della macchina di origine nei backup locali)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Il percorso del dispositivo che rappresenta lo snapshot del volume. Il percorso dell'oggetto dispositivo può essere considerato come la radice di una copia shadow di un volume. I richiedenti utilizzeranno questo nome di dispositivo per accedere ai file su un volume con copia shadow con cui deve lavorare.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Operazioni supportate
•DeleteVolumeShadowCopy |
DnsRequest
È stata effettuata una richiesta DNS (solitamente IP > dominio, dominio > IP).
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DnsInfo
DnsInfo con le seguenti proprietà:
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DnsQuery
|
String
|
La query DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
La lunghezza della query DNS
|
100
|
DnsResponseIpAddressV4
|
Set di indirizzi IPv4
|
I record A nella risposta DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Set di indirizzi IPv6
|
I record AAAA nella risposta DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Set di stringhe
|
I record NS, CNAME, PTR o TXT nella risposta DNS
|
mobile-google.com
|
DnsResponseType
|
Set di simboli
|
I tipi di record presenti nella risposta DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
La lunghezza totale della DNS risposta
|
100
|
Per la proprietà DnsResponseType, esiste un insieme predefinito di valori utilizzabili (senza distinzione tra maiuscole e minuscole):
Per ulteriori informazioni sui valori DnsResponseType, vedere TIPI di record di risorsa (RR).
Le condizioni supportate per i tipi di set (set di indirizzi IPv4, set di indirizzi IPv6, set di stringhe, set di simboli) sono elencate nella tabella Tipi di proprietà e relazioni alla voce set di valori.
Esempio
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Operazioni supportate
•DnsRequest |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
HttpRequest
È stata effettuata una richiesta HTTP.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Rete
Restituisce informazioni sugli eventi di rete
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DestinationIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di destinazione Ipv4 del rilevamento firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
DestinationIpAddressV6
|
Indirizzo Ipv6
|
Indirizzo di destinazione Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Il nome host di destinazione.
È supportato solo con gli eventi TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connessione è in entrata
|
true/false
|
IpAddressV4
|
Indirizzo Ipv4
|
L'indirizzo Ipv4 di destinazione dell'evento. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo Ipv6 di destinazione dell'evento. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
La porta di destinazione TCP/UDP
|
8080
|
Protocol
|
String
|
Il protocollo utilizzato dalla connessione
|
HTTP, HTTPS, ecc.
|
SourceIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di origine Ipv4 del rilevamento del firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
SourceIpAddressV6
|
Indirizzo Ipv6
|
L'indirizzo di origine Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se la richiesta riguardava un URL (ovvero una richiesta HTTP)
È supportato con le richieste HTTP e i Rilevamenti.
|
L'URL di destinazione
|
Esempio
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operazioni supportate
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
LoadDLL
È stata caricata una DLL.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• Enterprise
Fornisce una statistica sui moduli nella rete monitorata.
Operazioni supportate
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid è un sistema preventivo che raccoglie informazioni sulle minacce dagli utenti di tutto il mondo. Il database ESET LiveGrid® contiene informazioni sulla reputazione relative a potenziali minacce. La reputazione degli eseguibili consente di filtrare i risultati delle regole.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all’equivalente della settimana, del mese, del semestre, dell’anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, Sconosciuto (non rilevato da ESET LiveGrid)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
|
|
Non è possibile fare affidamento sui valori ESET LiveGrid® per i nuovi eseguibili. Anche l'eseguibile più diffuso e affidabile (ad esempio, il programma di installazione di una nuova versione di Google Chrome) ha una bassa popolarità e una reputazione sconosciuta per un certo periodo di tempo dopo il suo rilascio.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modulo
Restituisce le informazioni sul modulo corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il numero del punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento è attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato dall'euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è stata revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist di ESET LiveGrid®
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Restituisce informazioni sul processo corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fa distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso per l'esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Restituisce informazioni sul processo del servizio corrente.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando che fanno distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene il percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo stabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
SentBytes
|
Int
|
Numero totale di byte inviati dal processo.
|
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
LoadDriver
È stato caricato un driver o un modulo del kernel.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Modulo
Restituisce le informazioni sul modulo corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il numero del punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento è attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato dall'euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è stata revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist di ESET LiveGrid®
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
ModuleDrop
È stato rilasciato un eseguibile.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• Enterprise
Fornisce una statistica sui moduli nella rete monitorata.
Operazioni supportate
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid è un sistema preventivo che raccoglie informazioni sulle minacce dagli utenti di tutto il mondo. Il database ESET LiveGrid® contiene informazioni sulla reputazione relative a potenziali minacce. La reputazione degli eseguibili consente di filtrare i risultati delle regole.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all’equivalente della settimana, del mese, del semestre, dell’anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, Sconosciuto (non rilevato da ESET LiveGrid)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
|
|
Non è possibile fare affidamento sui valori ESET LiveGrid® per i nuovi eseguibili. Anche l'eseguibile più diffuso e affidabile (ad esempio, il programma di installazione di una nuova versione di Google Chrome) ha una bassa popolarità e una reputazione sconosciuta per un certo periodo di tempo dopo il suo rilascio.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Modulo
Restituisce le informazioni sul modulo corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il numero del punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento è attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato dall'euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è stata revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist di ESET LiveGrid®
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Operazioni supportate
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
MultipleFilesChanged
Il processo ha modificato più file.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Comportamento del processo
Gli eventi ProcessBehavior vengono segnalati su Windows. L'Antivirus tiene traccia dei file a cui è stato effettuato l'accesso e della relativa frequenza. Se il processo ha effettuato l'accesso a un numero di file superiore a quello impostato nella barriera in un determinato periodo di tempo, questo evento viene segnalato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
FileOperations
|
String
|
Le operazioni e le relative barriere
|
I valori possibili sono:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
I valori FileOperations sono interni e sono destinati a essere utilizzati solo con le regole predefinite.
|
Operazioni supportate
•MultipleFilesChanged |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
OpenProcess
Aggiunto un nuovo attributo di regola che si attiva all'apertura di un processo. Viene monitorato solo il processo aperto in lsass.exe.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Aggiunto un nuovo attributo di regola, che si attiva quando viene aperto un processo.
HIPS invia eventi OpenProcess solo per lsass.exe e solo con accesso al processo PROCESS_VM_WRITE e/o PROCESS_VM_READ solo quando si chiama OpenProcess o DuplicateHandle (quando il processo è già aperto con gli accessi menzionati)
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AccessRight
|
Symbol
|
|
I valori possibili sono:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Esempio
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Operazioni supportate
•OpenProcess |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
ReadFile
Attivato quando è stato letto un file monitorato. Per file monitorati si intendono quelli che contengono informazioni sensibili o credenziali memorizzate, ad esempio password del browser memorizzate, password dei client FTP memorizzate, database AD e così via.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
RegDeleteKey
Una chiave del Registro di sistema è stata eliminata.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• RegistryItem
Restituisce le informazioni sugli eventi del Registro di sistema.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Key
|
Path
|
Il percorso della chiave, contiene il Nome valore della chiave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La lunghezza del valore della chiave
|
16
|
StringValue
|
String
|
Il valore di una chiave stringa
|
ValoreEsempio
|
IntValue
|
Int
|
Il valore della chiave int
|
32
|
Esempio
Per la chiave di registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operazioni supportate
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
RegDeleteValue
Il valore del Registro di sistema è stato eliminato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• RegistryItem
Restituisce le informazioni sugli eventi del Registro di sistema.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Key
|
Path
|
Il percorso della chiave, contiene il Nome valore della chiave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La lunghezza del valore della chiave
|
16
|
StringValue
|
String
|
Il valore di una chiave stringa
|
ValoreEsempio
|
IntValue
|
Int
|
Il valore della chiave int
|
32
|
Esempio
Per la chiave di registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operazioni supportate
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
RegRenameKey
Una chiave del Registro di sistema è stata rinominata.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• RegistryItem
Restituisce le informazioni sugli eventi del Registro di sistema.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Key
|
Path
|
Il percorso della chiave, contiene il Nome valore della chiave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La lunghezza del valore della chiave
|
16
|
StringValue
|
String
|
Il valore di una chiave stringa
|
ValoreEsempio
|
IntValue
|
Int
|
Il valore della chiave int
|
32
|
Esempio
Per la chiave di registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operazioni supportate
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
RegSetValue
È stata modificata una chiave del Registro di sistema.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• RegistryItem
Restituisce le informazioni sugli eventi del Registro di sistema.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Key
|
Path
|
Il percorso della chiave, contiene il Nome valore della chiave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
La lunghezza del valore della chiave
|
16
|
StringValue
|
String
|
Il valore di una chiave stringa
|
ValoreEsempio
|
IntValue
|
Int
|
Il valore della chiave int
|
32
|
Esempio
Per la chiave di registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operazioni supportate
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
RenameFile
Un file è stato rinominato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
•
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
ScheduledTaskAdded
È stata aggiunta un'attività pianificata.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Restituisce le informazioni sull'attività pianificata.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Boundary
|
Date
|
Vincoli temporali per la pianificazione: inizio/fine, fuso orario e finestra/regole di ricorrenza.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Indica se l'attività pianificata è attiva e verrà eseguita in base alla pianificazione.
|
true/false
|
Location
|
String
|
Percorso nella struttura ad albero dell'Utilità di pianificazione attività Microsoft a partire dal nodo “Libreria Utilità di pianificazione attività”
|
|
Name
|
String
|
Nome attività
|
|
Type
|
Symbol
|
Tipo di operazione dell'attività pianificata
|
I valori possibili sono:
•0—Create
•1—Unknown |
Operazioni supportate
•ScheduledTaskAdded |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
Scripts
È stato eseguito uno script esposto da AMSI.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Script
Il componente Script consente di creare regole in base alle proprietà dello script eseguito esposte da AMSI.
Proprietà
|
Tipo
|
Descrizione
|
Script
|
String
|
Script ricevuto da ESET PROTECT tramite l'integrazione AMSI
|
ScriptLength
|
Int
|
Lunghezza dello script (conteggio dei caratteri)
|
ScriptSha1
|
Hash
|
Hash SHA1 del frammento di script
|
ScriptSha256
|
Hash
|
Hash SHA256 del frammento di script
|
Esempio
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Operazioni supportate
•Scripts |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
ServiceInstalled
È stato installato un servizio.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servizio
Il componente Service consente di creare regole basate sulle proprietà dei servizi Windows e sugli eventi di controllo dei servizi esposti da Gestione controllo servizi (SCM).
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
LoadType
|
Symbol
|
Tipo di avvio del servizio
|
I valori possibili sono:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Il nome interno del servizio registrato presso lo SCM
|
|
Type
|
Int
|
Indica il tipo di servizio registrato con SCM
|
I valori possibili sono:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operazioni supportate
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
ServiceStarted
È stato avviato un servizio.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Servizio
Il componente Service consente di creare regole basate sulle proprietà dei servizi Windows e sugli eventi di controllo dei servizi esposti da Gestione controllo servizi (SCM).
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
LoadType
|
Symbol
|
Tipo di avvio del servizio
|
I valori possibili sono:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Il nome interno del servizio registrato presso lo SCM
|
|
Type
|
Int
|
Indica il tipo di servizio registrato con SCM
|
I valori possibili sono:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operazioni supportate
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
SetFileAttribute
È stato impostato un attributo file.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileAttribute
FileAttribute Gli eventi vengono attualmente segnalati solo su Linux. La regola viene attivata quando un attributo viene impostato, ad esempio, dal comando chmod.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Attribute
|
Symbol
|
Attributo di un file
|
I valori possibili sono:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Operazioni supportate
•SetFileAttribute |
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
SystemApiCall
È stata chiamata una funzione di sistema.
Componenti supportati:
• ApiCall
Restituisce informazioni sulle chiamate API.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ApiName
|
Symbol
|
Nome dell'API chiamata dal processo
|
I valori supportati sono:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Solo Linux
Esempio
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Operazioni supportate
•SystemApiCall |
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
TcpIpAccept
È stata accettata una connessione TCP/IP in entrata.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Rete
Restituisce informazioni sugli eventi di rete
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DestinationIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di destinazione Ipv4 del rilevamento firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
DestinationIpAddressV6
|
Indirizzo Ipv6
|
Indirizzo di destinazione Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Il nome host di destinazione.
È supportato solo con gli eventi TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connessione è in entrata
|
true/false
|
IpAddressV4
|
Indirizzo Ipv4
|
L'indirizzo Ipv4 di destinazione dell'evento. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo Ipv6 di destinazione dell'evento. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
La porta di destinazione TCP/UDP
|
8080
|
Protocol
|
String
|
Il protocollo utilizzato dalla connessione
|
HTTP, HTTPS, ecc.
|
SourceIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di origine Ipv4 del rilevamento del firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
SourceIpAddressV6
|
Indirizzo Ipv6
|
L'indirizzo di origine Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se la richiesta riguardava un URL (ovvero una richiesta HTTP)
È supportato con le richieste HTTP e i Rilevamenti.
|
L'URL di destinazione
|
Esempio
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operazioni supportate
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
TcpIpConnect
È stata stabilita una connessione TCP/IP in uscita.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Rete
Restituisce informazioni sugli eventi di rete
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DestinationIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di destinazione Ipv4 del rilevamento firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
DestinationIpAddressV6
|
Indirizzo Ipv6
|
Indirizzo di destinazione Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Il nome host di destinazione.
È supportato solo con gli eventi TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connessione è in entrata
|
true/false
|
IpAddressV4
|
Indirizzo Ipv4
|
L'indirizzo Ipv4 di destinazione dell'evento. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo Ipv6 di destinazione dell'evento. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
La porta di destinazione TCP/UDP
|
8080
|
Protocol
|
String
|
Il protocollo utilizzato dalla connessione
|
HTTP, HTTPS, ecc.
|
SourceIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di origine Ipv4 del rilevamento del firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
SourceIpAddressV6
|
Indirizzo Ipv6
|
L'indirizzo di origine Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se la richiesta riguardava un URL (ovvero una richiesta HTTP)
È supportato con le richieste HTTP e i Rilevamenti.
|
L'URL di destinazione
|
Esempio
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operazioni supportate
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
TcpIpProtocolIdentified
Al di sopra della connessione TCP/IP, descrive il protocollo utilizzato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• Rete
Restituisce informazioni sugli eventi di rete
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DestinationIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di destinazione Ipv4 del rilevamento firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
DestinationIpAddressV6
|
Indirizzo Ipv6
|
Indirizzo di destinazione Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Il nome host di destinazione.
È supportato solo con gli eventi TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
La connessione è in entrata
|
true/false
|
IpAddressV4
|
Indirizzo Ipv4
|
L'indirizzo Ipv4 di destinazione dell'evento. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo Ipv6 di destinazione dell'evento. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
La porta di destinazione TCP/UDP
|
8080
|
Protocol
|
String
|
Il protocollo utilizzato dalla connessione
|
HTTP, HTTPS, ecc.
|
SourceIpAddressV4
|
Indirizzo Ipv4
|
Indirizzo di origine Ipv4 del rilevamento del firewall. Supporta le maschere.
|
192.168.0.1, supporta le maschere - 192.168.0.0/16
|
SourceIpAddressV6
|
Indirizzo Ipv6
|
L'indirizzo di origine Ipv6 del rilevamento firewall. Supporta le maschere.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, supporta le maschere - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se la richiesta riguardava un URL (ovvero una richiesta HTTP)
È supportato con le richieste HTTP e i Rilevamenti.
|
L'URL di destinazione
|
Esempio
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operazioni supportate
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
TruncateFile
Un file è stato troncato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
UnloadDriver
È stato scaricato un driver o un modulo del kernel.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
UserActivate
L'utente è stato attivato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
L'utente è stato aggiunto al gruppo.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Come UserLogonData ma con proprietà per i dati sui gruppi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
È stato creato un nuovo utente.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
L'utente è stato disabilitato.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
L'utente ha effettuato l'accesso.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventi relativi alle attività dell'utente (utente creato, accesso effettuato, ...), informazioni su tali eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Hostname
|
String
|
Nome del computer da cui è stato effettuato un tentativo di accesso
|
|
IpAddressV4
|
Indirizzo Ipv4
|
Indirizzo IPv4 della macchina dalla quale è stato effettuato il tentativo di accesso
|
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo IPv6 del computer da cui è stato effettuato il tentativo di accesso
|
|
LogonType
|
Symbol
|
Tipo di accesso
|
I valori possibili sono:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
La porta di origine utilizzata per il tentativo di accesso dal computer remoto
|
|
Operazioni supportate
•UserLogin
•UserLogout |
UserLogout
L'utente ha effettuato la disconnessione.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventi relativi alle attività dell'utente (utente creato, accesso effettuato, ...), informazioni su tali eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Hostname
|
String
|
Nome del computer da cui è stato effettuato un tentativo di accesso
|
|
IpAddressV4
|
Indirizzo Ipv4
|
Indirizzo IPv4 della macchina dalla quale è stato effettuato il tentativo di accesso
|
|
IpAddressV6
|
Indirizzo Ipv6
|
Indirizzo IPv6 del computer da cui è stato effettuato il tentativo di accesso
|
|
LogonType
|
Symbol
|
Tipo di accesso
|
I valori possibili sono:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
La porta di origine utilizzata per il tentativo di accesso dal computer remoto
|
|
Operazioni supportate
•UserLogin
•UserLogout |
UserRemove
L'utente è stato rimosso.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
L’utente è stato rimosso dal gruppo.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• DoneByUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• TargetUser
L'utente preso di mira.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID dell'account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Come UserLogonData ma con proprietà per i dati sui gruppi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Sid
|
String
|
Quale utente (SID account) è all'origine dell'evento specificato
|
|
SidNameUse
|
Symbol
|
Quale gruppo (il relativo tipo di SID) è all'origine dell'evento specificato
|
I gruppi sono:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Quale utente (nome account) è all'origine dell'evento specificato
|
|
Operazioni supportate
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
È stato eseguito un evento da VirtualDiskMount.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
WmiExecution
È stato attivato l'evento di esecuzione Strumentazione gestione Windows.
Componenti supportati:
• ClientEnterprise
ClientEnterprise è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La parte ADS del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (è comune che il malware si elimini da solo)
|
true/false
|
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all'equivalente della settimana, del mese, del semestre, dell'anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, sconosciuto (non rilevato da ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo di Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento viene attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato tramite euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist da ESET LiveGrid
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Le condizioni supportate per i tipi di set (set di indirizzi IPv4, set di indirizzi IPv6, set di stringhe, set di simboli) sono elencate nella tabella Tipi di proprietà e relazioni alla voce set di valori.
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo è disponibile solo in combinazione con le operazioni WmiExecution, WmiQuery e CodeInjection, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando con distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
Operazioni supportate
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• WmiExecutionInfo
L'evento di esecuzione di Strumentazione gestione Windows si verifica solo quando viene chiamato il metodo di Strumentazione gestione Windows Win32_process.create().
Proprietà
|
Tipo
|
Descrizione
|
ClassName
|
String
|
Una classe contenente un metodo attivato
|
ClientMachineFQDN
|
String
|
Nome di dominio completo del computer client
|
CommandLine
|
String
|
Una riga di comando inviata a un metodo come elenco di argomenti
|
IsLocal
|
Bool
|
Determina se un metodo è stato chiamato localmente o in remoto
|
MethodName
|
String
|
Un metodo che è stato attivato
|
Esempio
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Operazioni supportate
•WmiExecution |
WmiPersistence
L'evento viene generato quando un consumer si associa a un filtro.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• WmiPersistenceInfo
L'evento viene generato quando un consumer si associa a un filtro.
Proprietà
|
Tipo
|
Descrizione
|
EventConsumerName
|
String
|
Nome di un consumatore che attiva un'azione all'arrivo di un evento specifico
|
EventFilterName
|
String
|
Nome dell'EventFilter utilizzato
|
Handler
|
String
|
Riga di comando eseguita da un consumer di eventi
|
Query
|
String
|
Una query in un filtro eventi che acquisisce gli eventi che devono eseguire un'azione
|
TriggeringUserName
|
String
|
Nome di un utente che ha attivato un evento corrispondente a un filtro
|
TriggeringUserSid
|
String
|
Attivazione dell'ID di sicurezza dell'utente
|
TriggeringUserSidNameUse
|
Int
|
Attivazione del tipo di SID dell'utente
|
Esempio
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Operazioni supportate
•WmiPersistence |
WmiQuery
La query Strumentazione gestione Windows è stata eseguita su un computer.
Componenti supportati:
• ClientEnterprise
ClientEnterprise è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La parte ADS del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (è comune che il malware si elimini da solo)
|
true/false
|
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
Age
|
Int
|
Numero di giorni trascorsi da quando l’eseguibile è stato visto per la prima volta in ESET LiveGrid®. Il numero è arrotondato all'equivalente della settimana, del mese, del semestre, dell'anno, ecc.
|
|
Reputation
|
Int
|
Il numero sulla scala della reputazione. Più è alto, più è attendibile
|
I valori possibili sono:
•9, 8—Attendibile
•7, 6—OK
•5, 4—Rischioso
•3—PUA, sconosciuto (non rilevato da ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
Numero di computer su cui ESET LiveGrid® ha rilevato un eseguibile. È arrotondato a numeri come 10, 100, 1000, 10000, ecc. Di solito il malware non supera la popolarità di 1000 finché non viene rilevato.
|
|
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule è disponibile solo in combinazione con le operazioni WmiExecution e WmiQuery, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo di Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
AugurScore
|
Int
|
Il punteggio assegnato dal motore di machine learning ESET. I valori possibili sono compresi tra 0 e 99
|
67
|
CompanyName
|
String
|
Dalle informazioni sulla versione, nome della società che ha prodotto il file
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Numero di giorni trascorsi da quando il file è stato riconosciuto come nearmiss.
Nearmiss: il rilevamento viene attivato a causa di malware, ma potrebbe trattarsi di un falso positivo (non possiamo garantire che si tratti di malware)
|
|
EmulationStatus
|
Int
|
Stato dell'emulazione del file (se il file è stato emulato tramite euristica avanzata)
|
0—Non è stato emulato
1—È stato emulato
|
FileDescription
|
String
|
Dalle informazioni sulla versione, descrizione del file mostrata agli utenti
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
File recapitato tramite RDP
|
I valori possibili sono:
0—RDP
|
FileSize
|
Int
|
Dimensione del file in byte
|
41984
|
FileVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del file
|
"10.0.14393.0"
|
InternalName
|
String
|
Dalle informazioni sulla versione, nome interno del file
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Il file è una DLL PE
|
true/false
|
IsElf
|
Bool
|
Il file è un file ELF
|
true/false
|
IsExe
|
Bool
|
Il file è un eseguibile
|
true/false
|
IsMacho
|
Bool
|
Definisce se un file è o meno un file Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Il file è un eseguibile PE nativo
|
true/false
|
isPe
|
Bool
|
Il file è un eseguibile di Windows
|
true/false
|
MD5
|
Hash
|
md5 hash dell'eseguibile
|
|
MachoIsProtected
|
Bool
|
Il modulo è un eseguibile Mach-O protetto
|
|
MachoSignatureId
|
String
|
Identificatore di un file Mach-O presente nella firma
|
"com.apple.ls"
|
MachoSignerCns
|
Set di stringhe
|
Set di nomi comuni dai certificati nel file Mach-O
|
|
MachoUserId
|
String
|
ID sviluppatore univoco assegnato da Apple
|
|
OriginalFileName
|
String
|
Dalle informazioni sulla versione, nome originale del file
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Nome del packer
|
"UPX"
|
ProductName
|
String
|
Dalle informazioni sulla versione, nome del prodotto con cui viene distribuito il file
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Dalle informazioni sulla versione, il numero di versione del prodotto con cui viene distribuito il file
|
"10.0.14393"
|
SFXName
|
String
|
Nome del packer sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 hash dell'eseguibile
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash dell'eseguibile
|
|
SignatureType
|
Symbol
|
Tipo di firma dell'eseguibile
|
I valori possibili sono:
•90—Trusted—La firma è considerata attendibile da Endpoint
•80—Valid—La firma è considerata attendibile dal sistema operativo
•75—Adhoc—Il certificato è autofirmato
•70—None—Nel file non è presente alcuna firma
•60—Invalid—La firma non è valida/è danneggiata/è revocata
•50—Present—La firma è presente, ma lo stato del certificato è sconosciuto
•50—Unknown—Impossibile verificare il certificato |
SignerName
|
String
|
Nome del firmatario, se presente
|
"Microsoft Windows"
|
Tags
|
String
|
Consente a un utente di filtrare in base a un modulo a cui è associato un tag specificato
|
|
Whitelist
|
Symbol
|
Tipo di whitelist dell'eseguibile
|
I valori possibili sono:
•0—None—Nessun inserimento in whitelist per questo file
•1—Authoritative—Il file è inserito nella whitelist da Endpoint
•2—LiveGrid—Il file è inserito nella whitelist da ESET LiveGrid
•3—Certificate—Il certificato del file è inserito nella whitelist |
|
|
1I nomi dei packer potrebbero cambiare in futuro. Pertanto si consiglia di utilizzare il valore isnotempty o isempty per la condizione.
|
Le condizioni supportate per i tipi di set (set di indirizzi IPv4, set di indirizzi IPv6, set di stringhe, set di simboli) sono elencate nella tabella Tipi di proprietà e relazioni alla voce set di valori.
Operazioni supportate
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo è disponibile solo in combinazione con le operazioni WmiExecution, WmiQuery e CodeInjection, che dispongono di un processo client. Un processo client è un processo che ha effettivamente eseguito un metodo Strumentazione gestione Windows.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
CaseSensitiveCommandLine
|
String
|
Consente di creare regole per la riga di comando con distinzione tra maiuscole e minuscole
|
|
CommandLine
|
String
|
Riga di comando processo
|
file.txt
|
CommandLineLength
|
Int
|
Lunghezza della riga di comando
|
123
|
Compromised
|
Bool
|
Il processo è stato contrassegnato come compromesso da una regola con azione MarkAsCompromised
|
true/false o 1/0
|
IntegrityLevel
|
Symbol
|
Livello di integrità del processo.
|
I valori possibili sono:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contiene un percorso di esecuzione di un collegamento
|
|
ProcessDistance
|
Int
|
La distanza del processo dal processo corrente
|
123
|
ProcessLevel
|
Int
|
Profondità del processo nella gerarchia dei processi
|
123
|
ProcessOwner
|
String
|
L'utente che ha creato il processo
|
|
RiskScore
|
Int
|
Il punteggio viene monitorato per ogni processo sull'endpoint. È possibile usare le azioni IncreaseParentRiskScore o IncreaseRiskScore per aumentare il valore di un importo prestabilito. Quando viene raggiunta la soglia del punteggio di rischio, viene attivata l'azione KillParentProcess o KillProcess. È possibile specificare la soglia del punteggio di rischio tramite Criterio > ESET Inspect Connector > Impostazioni avanzate. Il punteggio di rischio si azzera dopo un determinato periodo di tempo, per impostazione predefinita 6 ore.
|
1000
|
Operazioni supportate
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
• WmiQueryInfo
Gli eventi di query di Strumentazione gestione Windows si verificano quando un utente o un servizio attiva una query su un sistema.
Proprietà
|
Tipo
|
Descrizione
|
ClientMachineFQDN
|
String
|
Nome di dominio completo del computer client
|
IsLocal
|
Bool
|
Se false, una query è stata chiamata da un computer remoto (ad esempio, utilizzando WbemTest)
|
Query
|
String
|
È stata attivata una query in un sistema
|
Esempio
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Operazioni supportate
•WmiQuery |
WriteFile
È stata eseguita una scrittura su un file.
Componenti supportati:
• DateTime
Consente di scrivere regole che vengono attivate solo a un orario specificato.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
DayOfWeek
|
Int
|
Attiva la regola solo in determinati giorni della settimana
|
I valori possibili sono:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Attiva la regola solo in determinati momenti della giornata. I valori possibili sono compresi tra 0 e 23
|
12
|
Minute
|
Int
|
Attiva la regola solo in determinati momenti della giornata.
I valori possibili sono compresi tra 0 e 59
|
30
|
Esempio
Questa regola viene attivata ogni volta che il Blocco note viene aperto dal lunedì al venerdì dalle 9:00 alle 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operazioni supportate
Il componente DateTime è supportato da tutte le operazioni.
|
• EnterpriseInspector
Fornisce informazioni sul connettore.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
VersionString
|
String
|
Stringa della versione del connettore.
|
1.9.2385
|
VersionMajor
|
Int
|
Versione principale del connettore.
|
1
|
VersionMinor
|
Int
|
Versione secondaria del connettore.
|
9
|
BuildNumber
|
Int
|
Numero di build del connettore.
|
2385
|
Operazioni supportate
EnterpriseInspector è un componente supportato da tutte le operazioni.
|
• FileItem
Restituisce le informazioni sul file corrente
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
ADS
|
String
|
La ADS parte del percorso
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
L'estensione del file
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Il nome del file con l'estensione del file
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome del file senza l'estensione
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Il percorso del file, incluso il nome del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
La lunghezza del nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Il percorso del file
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Si attiva se l'operazione viene eseguita dal file su se stesso (comune nel caso di malware che si eliminano da soli)
|
true/false
|
File canary
Le proprietà del percorso hanno una variabile speciale per i file Canary. Il valore per specificare il percorso del file Canary è %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operazioni supportate
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informazioni sul sistema da cui provengono gli eventi.
Proprietà
|
Tipo
|
Descrizione
|
Esempio
|
isServer
|
Bool
|
Indica se il sistema è un server
|
Falso—Non è un server
Vero—Server
|
SystemArchitecture
|
Symbol
|
Il tipo di architettura del sistema
|
Per trovare una corrispondenza con l'architettura a 32 bit, utilizzare uno dei seguenti:
•32
•32bit
•x86
•0
Per la corrispondenza con l'architettura a 64 bit, utilizzare una delle seguenti opzioni:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Tipo di sistema operativo che ha attivato l'evento
|
Per la corrispondenza con il sistema Windows, utilizzare una delle seguenti opzioni:
•Windows
•Win
•0
Per trovare una corrispondenza con il sistema MacOS, utilizzare una delle seguenti opzioni:
•macOs
•macOsx
•Osx
•1
Per la corrispondenza con il sistema Linux, utilizzare quanto segue:
•2 |
SystemVersion
|
String
|
La versione completa del sistema con numeri major e minor
|
|
Tags
|
Set di stringhe
|
Tag assegnati a quel sistema specifico
|
|
Le condizioni supportate per i tipi set (Set di indirizzi IPv4, Set di indirizzi IPv6, Set di stringhe, Set di simboli) sono elencate nella tabella Tipi di proprietà & Relazioni alla voce set di valori.
Operazioni supportate
Il componente SystemInfo è supportato da tutte le operazioni.
|
|
|
Le versioni precedenti di Windows non producono eventi di Strumentazione gestione Windows. Questa funzionalità è disponibile a partire da Windows 10 versione 1803.
Alcuni eventi forniscono solo informazioni parziali:
•Eventi di scrittura file—viene registrata solo la prima modifica del file (Questo vale per ogni processo. Se due processi modificano lo stesso file, vengono registrate entrambe le modifiche)
•Eventi relativi al registro di sistema—viene registrata solo la prima modifica della chiave di registro (la prima volta da parte di un processo)
•DLLLoad: vengono registrate solo le DLL non incluse nella whitelist dall'antivirus
•Eventi TcpIp: viene registrata solo la prima connessione (la prima volta da parte di un processo)
•Eventi Http: viene registrata solo la prima richiesta (la prima volta da parte di un processo)
•ModuleDrop (noto anche come PEDrop): viene segnalato solo per il primo rilascio di un determinato modulo (la prima volta su un computer)
•AmsiTriggerEvent—viene registrata solo la prima esecuzione (la prima volta su un computer) |
