operations 부분은 프로세스가 실행하는 작업 중 어떤 작업이 지표를 발생시키는지 정의합니다. 비어 있으면 프로세스가 이벤트를 생성할 때 지표가 트리거됩니다.
연산은 type 속성과 expression 요소를 가진 operation 요소를 사용하여 정의됩니다.
<operation type="WriteFile">Expression</operation>
다음 구성 요소는 모든 작업에서 지원됩니다.
•
DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
BitsJobAddFile
BITS 작업에 파일이 추가되었습니다.
지원되는 구성 요소:
• BitsJobAddFile
BITS 작업에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
FileCount
|
Int
|
작업에 추가된 파일 수.
|
x
|
JobTitle
|
String
|
BITS 작업의 표시 이름입니다.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
파일의 로컬 대상 경로입니다.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
파일의 소스 URL 또는 원격 경로입니다.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
작업을 소유하거나 생성한 계정입니다.
|
|
UserSid
|
String
|
계정의 보안 식별자(SID)입니다.
|
|
지원되는 작업
•BitsJobAddFile |
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
CodeInjection
프로세스가 어떤 형태로든 코드 인젝션의 대상이 되었습니다.
지원되는 구성 요소:
• ClientProcessInfo
ClientProcessInfo은(는) 클라이언트 프로세스가 있는 WmiExecution, WmiQuery 및 CodeInjection 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 생성할 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 값을 설정된 양만큼 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정을 통해 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
지원되는 작업
•Codeinjection
•WmiExecution
•WmiQuery |
• 코드 인젝션 정보
CodeInjection 이벤트의 경우, 사용된 코드 인젝션 기법에 관한 정보를 보고합니다.
속성
|
유형
|
설명
|
예
|
CodeInjectionType
|
Symbol
|
사용된 코드 인젝션 기법
|
가능한 값은 다음과 같습니다:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
지원되는 작업
•CodeInjection |
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• 엔터프라이즈
모니터링 대상 네트워크 내 모듈에 대한 통계를 제공합니다.
지원되는 작업
•CreateProcess
•LoadDLL
•코드 인젝션
•ModuleDrop |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid은(는) 전 세계 사용자로부터 위협에 관한 정보를 수집하는 예방 시스템입니다. ESET LiveGrid® 데이터베이스에는 잠재적 위협에 대한 평판 정보가 포함되어 있습니다. 실행 파일의 평판은 규칙 결과를 필터링하는 데 도움이 됩니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 값으로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®가 실행 파일을 발견한 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
|
|
새 실행 파일에 대해서는 ESET LiveGrid® 값에 의존할 수 없습니다. 가장 인기 있고 신뢰받는 실행 파일(예: 구글 크롬 새 버전 설치 프로그램)조차도 출시 후 일정 기간 동안은 인기도가 낮고 평판이 알려져 있지 않습니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 모듈
현재 모듈에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 니어미스(nearmiss)로 인식된 이후 경과한 일수입니다.
Nearmiss—악성코드로 인해 탐지가 트리거되었지만, 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션 상태(파일이 고급 휴리스틱에 의해 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
바이트 단위의 파일 크기
|
41984
|
FileVersion
|
String
|
버전 정보에서 가져온 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
해당 파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 여부를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일 내 인증서의 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에 있는 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerNamex
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에 기록된, 해당 파일이 함께 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—해당 서명은 OS에서 신뢰됩니다
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않음/손상됨/해지됨
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자의 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 연결된 모듈을 기준으로 필터링할 수 있습니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—이 파일은 ESET LiveGrid®에서 허용 목록에 등록되어 있습니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 해당 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
현재 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정된 양만큼 값을 높일 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
현재 서비스 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행으로 연결되는 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 해당 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정한 양만큼 값을 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
CreateNamedPipe
명명된 파이프가 생성되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
CreateProcess
프로세스가 생성되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• 엔터프라이즈
모니터링 대상 네트워크 내 모듈에 대한 통계를 제공합니다.
지원되는 작업
•CreateProcess
•LoadDLL
•코드 인젝션
•ModuleDrop |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid은(는) 전 세계 사용자로부터 위협에 관한 정보를 수집하는 예방 시스템입니다. ESET LiveGrid® 데이터베이스에는 잠재적 위협에 대한 평판 정보가 포함되어 있습니다. 실행 파일의 평판은 규칙 결과를 필터링하는 데 도움이 됩니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 값으로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®가 실행 파일을 발견한 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
|
|
새 실행 파일에 대해서는 ESET LiveGrid® 값에 의존할 수 없습니다. 가장 인기 있고 신뢰받는 실행 파일(예: 구글 크롬 새 버전 설치 프로그램)조차도 출시 후 일정 기간 동안은 인기도가 낮고 평판이 알려져 있지 않습니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 모듈
현재 모듈에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 니어미스(nearmiss)로 인식된 이후 경과한 일수입니다.
Nearmiss—악성코드로 인해 탐지가 트리거되었지만, 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션 상태(파일이 고급 휴리스틱에 의해 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
바이트 단위의 파일 크기
|
41984
|
FileVersion
|
String
|
버전 정보에서 가져온 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
해당 파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 여부를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일 내 인증서의 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에 있는 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerNamex
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에 기록된, 해당 파일이 함께 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—해당 서명은 OS에서 신뢰됩니다
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않음/손상됨/해지됨
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자의 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 연결된 모듈을 기준으로 필터링할 수 있습니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—이 파일은 ESET LiveGrid®에서 허용 목록에 등록되어 있습니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 해당 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
현재 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정된 양만큼 값을 높일 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
현재 서비스 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행으로 연결되는 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 해당 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정한 양만큼 값을 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
DeleteFile
파일이 제거됨.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
DeleteVolumeShadowCopy
볼륨의 섀도 복사본이 삭제되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• VolumeShadowCopyInfo
섀도우 복사본 생성 및 기존 백업 스냅샷에 관한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
OriginalVolumeName
|
String
|
섀도 복사된 볼륨의 이름
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
원본 볼륨이 있는 시스템의 이름
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
섀도 복사본을 만드는 데 사용된 공급자의 이름입니다
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
섀도 복사본 서비스를 제공하는 시스템의 이름(로컬 백업에서는 일반적으로 원본 컴퓨터와 동일함)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
볼륨의 스냅샷을 나타내는 장치 경로입니다. 장치 개체 경로는 볼륨 섀도 복사본의 루트로 생각할 수 있습니다. 요청자는 작업해야 하는 섀도 복사본 볼륨의 파일에 액세스할 때 이 장치 이름을 사용합니다.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
지원되는 작업
•DeleteVolumeShadowCopy |
DnsRequest
DNS 요청이 이루어졌습니다(일반적으로 IP > 도메인, 도메인 > IP).
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DnsInfo
다음 속성을 가진 DnsInfo:
속성
|
유형
|
설명
|
예
|
DnsQuery
|
String
|
DNS 쿼리
|
www.google.com
|
DnsQueryLength
|
Int
|
DNS 쿼리의 길이
|
100
|
DnsResponseIpAddressV4
|
IPv4 주소 집합
|
DNS 응답의 A 레코드
|
216.58.201.67
|
DnsResponseIpAddressV6
|
IPv6 주소 집합
|
DNS 응답의 AAAA 레코드
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
문자열 집합
|
DNS 응답의 NS, CNAME, PTR 또는 TXT 레코드
|
mobile-google.com
|
DnsResponseType
|
기호 집합
|
DNS 응답에 포함된 레코드 유형
|
HINFO
|
DnsResponsesLength
|
Int
|
DNS 응답의 총 길이
|
100
|
DnsResponseType 속성의 경우 사용할 수 있는 값의 범위가 미리 정의되어 있습니다(대소문자 구분 없음):
DnsResponseType 값에 대한 자세한 내용은 리소스 레코드(RR) 유형을 참조하세요.
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 지원되는 조건은 속성 유형 & 관계 테이블의 값 집합 아래에 나열되어 있습니다.
예
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
지원되는 작업
•DnsRequest |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
HttpRequest
HTTP 요청이 이루어졌습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 네트워크
네트워크 이벤트에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
DestinationIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 목적지 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 목적지 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
대상 호스트 이름.
TCP IP 이벤트에서만 지원됩니다.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
연결이 인바운드입니다
|
true/false
|
IpAddressV4
|
Ipv4 주소
|
이벤트의 Ipv4 주소 대상입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 주소
|
이벤트의 Ipv6 주소 대상입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 대상 포트
|
8080
|
Protocol
|
String
|
연결에서 사용하는 프로토콜
|
HTTP, HTTPS 등
|
SourceIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 원본 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 원본 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
요청에 URL이 포함된 경우(즉, HTTP 요청인 경우)
HTTP 요청 및 탐지에서 지원됩니다.
|
대상 URL
|
예
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
지원되는 작업
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
LoadDLL
DLL이 로드되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• 엔터프라이즈
모니터링 대상 네트워크 내 모듈에 대한 통계를 제공합니다.
지원되는 작업
•CreateProcess
•LoadDLL
•코드 인젝션
•ModuleDrop |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid은(는) 전 세계 사용자로부터 위협에 관한 정보를 수집하는 예방 시스템입니다. ESET LiveGrid® 데이터베이스에는 잠재적 위협에 대한 평판 정보가 포함되어 있습니다. 실행 파일의 평판은 규칙 결과를 필터링하는 데 도움이 됩니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 값으로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®가 실행 파일을 발견한 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
|
|
새 실행 파일에 대해서는 ESET LiveGrid® 값에 의존할 수 없습니다. 가장 인기 있고 신뢰받는 실행 파일(예: 구글 크롬 새 버전 설치 프로그램)조차도 출시 후 일정 기간 동안은 인기도가 낮고 평판이 알려져 있지 않습니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 모듈
현재 모듈에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 니어미스(nearmiss)로 인식된 이후 경과한 일수입니다.
Nearmiss—악성코드로 인해 탐지가 트리거되었지만, 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션 상태(파일이 고급 휴리스틱에 의해 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
바이트 단위의 파일 크기
|
41984
|
FileVersion
|
String
|
버전 정보에서 가져온 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
해당 파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 여부를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일 내 인증서의 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에 있는 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerNamex
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에 기록된, 해당 파일이 함께 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—해당 서명은 OS에서 신뢰됩니다
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않음/손상됨/해지됨
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자의 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 연결된 모듈을 기준으로 필터링할 수 있습니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—이 파일은 ESET LiveGrid®에서 허용 목록에 등록되어 있습니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 해당 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
현재 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정된 양만큼 값을 높일 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
현재 서비스 프로세스에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 만들 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행으로 연결되는 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 해당 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 설정한 양만큼 값을 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정에서 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
SentBytes
|
Int
|
프로세스가 전송한 총 바이트 수입니다.
|
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
LoadDriver
드라이버 또는 커널 모듈이 로드되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 모듈
현재 모듈에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 니어미스(nearmiss)로 인식된 이후 경과한 일수입니다.
Nearmiss—악성코드로 인해 탐지가 트리거되었지만, 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션 상태(파일이 고급 휴리스틱에 의해 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
바이트 단위의 파일 크기
|
41984
|
FileVersion
|
String
|
버전 정보에서 가져온 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
해당 파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 여부를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일 내 인증서의 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에 있는 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerNamex
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에 기록된, 해당 파일이 함께 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—해당 서명은 OS에서 신뢰됩니다
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않음/손상됨/해지됨
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자의 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 연결된 모듈을 기준으로 필터링할 수 있습니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—이 파일은 ESET LiveGrid®에서 허용 목록에 등록되어 있습니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 해당 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
ModuleDrop
실행 파일이 드롭되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• 엔터프라이즈
모니터링 대상 네트워크 내 모듈에 대한 통계를 제공합니다.
지원되는 작업
•CreateProcess
•LoadDLL
•코드 인젝션
•ModuleDrop |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid®
ESET LiveGrid은(는) 전 세계 사용자로부터 위협에 관한 정보를 수집하는 예방 시스템입니다. ESET LiveGrid® 데이터베이스에는 잠재적 위협에 대한 평판 정보가 포함되어 있습니다. 실행 파일의 평판은 규칙 결과를 필터링하는 데 도움이 됩니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 값으로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®가 실행 파일을 발견한 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
|
|
새 실행 파일에 대해서는 ESET LiveGrid® 값에 의존할 수 없습니다. 가장 인기 있고 신뢰받는 실행 파일(예: 구글 크롬 새 버전 설치 프로그램)조차도 출시 후 일정 기간 동안은 인기도가 낮고 평판이 알려져 있지 않습니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 모듈
현재 모듈에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 니어미스(nearmiss)로 인식된 이후 경과한 일수입니다.
Nearmiss—악성코드로 인해 탐지가 트리거되었지만, 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션 상태(파일이 고급 휴리스틱에 의해 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
바이트 단위의 파일 크기
|
41984
|
FileVersion
|
String
|
버전 정보에서 가져온 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
해당 파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 여부를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일 내 인증서의 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에 있는 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerNamex
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에 기록된, 해당 파일이 함께 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—해당 서명은 OS에서 신뢰됩니다
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않음/손상됨/해지됨
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자의 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 연결된 모듈을 기준으로 필터링할 수 있습니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—이 파일은 ESET LiveGrid®에서 허용 목록에 등록되어 있습니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 해당 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
지원되는 작업
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
MultipleFilesChanged
프로세스가 여러 파일을 수정했습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 프로세스 동작
ProcessBehavior 이벤트는 Windows에서 보고됩니다. 안티바이러스는 어떤 파일이 언제, 얼마나 자주 접근되었는지 추적합니다. 프로세스가 일정 기간 동안 장벽(barrier)에 설정된 수보다 더 많은 파일에 접근한 경우, 이 이벤트가 보고됩니다.
속성
|
유형
|
설명
|
예
|
FileOperations
|
String
|
운영과 그 장벽
|
가능한 값은 다음과 같습니다:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
FileOperations 값은 내부용이며 기본 규칙에만 사용하도록 되어 있습니다.
|
지원되는 작업
•MultipleFilesChanged |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
OpenProcess
프로세스가 열릴 때 트리거되는 새로운 규칙 속성이 추가되었습니다. lsass.exe에 대한 열린 프로세스만 모니터링됩니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
프로세스가 열릴 때 트리거되는 새로운 규칙 속성을 추가했습니다.
HIPS은(는) OpenProcess 또는 DuplicateHandle을 호출할 때(언급된 접근 권한으로 이미 열려 있는 프로세스인 경우)에만, lsass.exe에 대해서만, 그리고 PROCESS_VM_WRITE 및/또는 PROCESS_VM_READ 프로세스 접근 권한이 있는 경우에만 OpenProcess 이벤트를 전송합니다.
속성
|
유형
|
설명
|
예
|
AccessRight
|
Symbol
|
|
가능한 값은 다음과 같습니다:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
예
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
지원되는 작업
•OpenProcess |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
ReadFile
모니터링 중인 파일을 읽었을 때 트리거됩니다. 모니터링 대상 파일은 민감한 정보 또는 저장된 자격 증명을 포함하는 파일을 의미하며, 예를 들어 저장된 브라우저 비밀번호, 저장된 FTP 클라이언트 비밀번호, AD 데이터베이스 등이 있습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
RegDeleteKey
레지스트리 키가 삭제되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• RegistryItem
레지스트리 이벤트에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
Key
|
Path
|
키의 경로이며, 키의 값 이름을 포함합니다
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
키 값의 길이
|
16
|
StringValue
|
String
|
문자열 키의 값
|
ExampleValue
|
IntValue
|
Int
|
int 키의 값
|
32
|
예
레지스트리 키의 경우: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
지원되는 작업
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
RegDeleteValue
레지스트리 값이 삭제되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• RegistryItem
레지스트리 이벤트에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
Key
|
Path
|
키의 경로이며, 키의 값 이름을 포함합니다
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
키 값의 길이
|
16
|
StringValue
|
String
|
문자열 키의 값
|
ExampleValue
|
IntValue
|
Int
|
int 키의 값
|
32
|
예
레지스트리 키의 경우: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
지원되는 작업
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
RegRenameKey
레지스트리 키의 이름이 변경되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• RegistryItem
레지스트리 이벤트에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
Key
|
Path
|
키의 경로이며, 키의 값 이름을 포함합니다
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
키 값의 길이
|
16
|
StringValue
|
String
|
문자열 키의 값
|
ExampleValue
|
IntValue
|
Int
|
int 키의 값
|
32
|
예
레지스트리 키의 경우: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
지원되는 작업
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
RegSetValue
레지스트리 키가 변경되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• RegistryItem
레지스트리 이벤트에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
Key
|
Path
|
키의 경로이며, 키의 값 이름을 포함합니다
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
키 값의 길이
|
16
|
StringValue
|
String
|
문자열 키의 값
|
ExampleValue
|
IntValue
|
Int
|
int 키의 값
|
32
|
예
레지스트리 키의 경우: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
지원되는 작업
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
RenameFile
파일 이름이 변경되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
•
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
예약된 작업 추가됨
예약된 작업이 추가되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 예약된 작업
예약된 작업에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
Boundary
|
Date
|
일정의 시간 제약 조건: 시작/종료, 시간대, 반복 기간/규칙.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
예약된 작업이 활성 상태이며 일정에 따라 실행될지 여부를 나타냅니다.
|
true/false
|
Location
|
String
|
Microsoft 작업 스케쥴러 트리에서 "작업 스케쥴러 라이브러리" 노드부터 시작하는 경로
|
|
Name
|
String
|
작업 이름
|
|
Type
|
Symbol
|
예약된 작업 동작 유형
|
가능한 값은 다음과 같습니다:
•0—Create
•1—Unknown |
지원되는 작업
•ScheduledTaskAdded |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
Scripts
AMSI에 의해 노출된 스크립트가 실행되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 스크립트
스크립트 구성 요소를 사용하면 AMSI에서 노출한 실행된 스크립트의 속성을 기반으로 규칙을 만들 수 있습니다.
속성
|
유형
|
설명
|
Script
|
String
|
AMSI 통합을 통해 ESET PROTECT에서 수신한 스크립트
|
ScriptLength
|
Int
|
스크립트 길이(문자 수)
|
ScriptSha1
|
Hash
|
스크립트 조각의 SHA1 해시
|
ScriptSha256
|
Hash
|
스크립트 조각의 SHA256 해시
|
예
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
지원되는 작업
•Scripts |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
ServiceInstalled
서비스가 설치되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 서비스
서비스 구성 요소를 사용하면 Windows 서비스의 속성과 서비스 제어 관리자(SCM)가 노출하는 서비스 제어 이벤트를 기반으로 규칙을 생성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
LoadType
|
Symbol
|
서비스 시작 유형
|
가능한 값은 다음과 같습니다:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
SCM에 등록된 내부 서비스 이름
|
|
Type
|
Int
|
SCM에 등록된 서비스의 유형을 나타냅니다
|
가능한 값은 다음과 같습니다:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
지원되는 작업
•ServiceInstalled
•ServiceStarted |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
ServiceStarted
서비스가 시작되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 서비스
서비스 구성 요소를 사용하면 Windows 서비스의 속성과 서비스 제어 관리자(SCM)가 노출하는 서비스 제어 이벤트를 기반으로 규칙을 생성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
LoadType
|
Symbol
|
서비스 시작 유형
|
가능한 값은 다음과 같습니다:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
SCM에 등록된 내부 서비스 이름
|
|
Type
|
Int
|
SCM에 등록된 서비스의 유형을 나타냅니다
|
가능한 값은 다음과 같습니다:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
지원되는 작업
•ServiceInstalled
•ServiceStarted |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
SetFileAttribute
파일 속성이 설정되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileAttribute
FileAttribute 이벤트는 현재 Linux에서만 보고됩니다. 이 규칙은 예를 들어 chmod 명령에 의해 속성이 설정될 때 트리거됩니다.
속성
|
유형
|
설명
|
예
|
Attribute
|
Symbol
|
파일의 속성
|
가능한 값은 다음과 같습니다:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
지원되는 작업
•SetFileAttribute |
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
SystemApiCall
시스템 함수가 호출되었습니다.
지원되는 구성 요소:
• ApiCall
API 호출에 대한 정보를 반환합니다.
속성
|
유형
|
설명
|
예
|
ApiName
|
Symbol
|
프로세스가 호출한 API의 이름
|
지원되는 값은 다음과 같습니다:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Linux만 해당
예
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
지원되는 작업
•SystemApiCall |
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
TcpIpAccept
수신 TCP/IP 연결이 수락되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 네트워크
네트워크 이벤트에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
DestinationIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 목적지 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 목적지 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
대상 호스트 이름.
TCP IP 이벤트에서만 지원됩니다.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
연결이 인바운드입니다
|
true/false
|
IpAddressV4
|
Ipv4 주소
|
이벤트의 Ipv4 주소 대상입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 주소
|
이벤트의 Ipv6 주소 대상입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 대상 포트
|
8080
|
Protocol
|
String
|
연결에서 사용하는 프로토콜
|
HTTP, HTTPS 등
|
SourceIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 원본 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 원본 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
요청에 URL이 포함된 경우(즉, HTTP 요청인 경우)
HTTP 요청 및 탐지에서 지원됩니다.
|
대상 URL
|
예
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
지원되는 작업
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
TcpIpConnect
아웃바운드 TCP/IP 연결이 이루어졌습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 네트워크
네트워크 이벤트에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
DestinationIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 목적지 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 목적지 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
대상 호스트 이름.
TCP IP 이벤트에서만 지원됩니다.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
연결이 인바운드입니다
|
true/false
|
IpAddressV4
|
Ipv4 주소
|
이벤트의 Ipv4 주소 대상입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 주소
|
이벤트의 Ipv6 주소 대상입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 대상 포트
|
8080
|
Protocol
|
String
|
연결에서 사용하는 프로토콜
|
HTTP, HTTPS 등
|
SourceIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 원본 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 원본 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
요청에 URL이 포함된 경우(즉, HTTP 요청인 경우)
HTTP 요청 및 탐지에서 지원됩니다.
|
대상 URL
|
예
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
지원되는 작업
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
TcpIpProtocolIdentified
TCP/IP 연결 위에서 사용되는 프로토콜을 설명합니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• 네트워크
네트워크 이벤트에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
DestinationIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 목적지 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 목적지 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
대상 호스트 이름.
TCP IP 이벤트에서만 지원됩니다.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
연결이 인바운드입니다
|
true/false
|
IpAddressV4
|
Ipv4 주소
|
이벤트의 Ipv4 주소 대상입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 주소
|
이벤트의 Ipv6 주소 대상입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 대상 포트
|
8080
|
Protocol
|
String
|
연결에서 사용하는 프로토콜
|
HTTP, HTTPS 등
|
SourceIpAddressV4
|
Ipv4 주소
|
방화벽 탐지의 Ipv4 원본 주소입니다. 마스크를 지원합니다.
|
192.168.0.1, 마스크 지원 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 주소
|
방화벽 탐지의 Ipv6 원본 주소입니다. 마스크를 지원합니다.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, 마스크 지원 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
요청에 URL이 포함된 경우(즉, HTTP 요청인 경우)
HTTP 요청 및 탐지에서 지원됩니다.
|
대상 URL
|
예
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
지원되는 작업
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
TruncateFile
파일이 잘렸습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
UnloadDriver
드라이버 또는 커널 모듈이 언로드되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
UserActivate
사용자가 활성화되었음
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
사용자가 그룹에 추가되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• 사용자 그룹 데이터
UserLogonData와 동일하지만 그룹에 대한 데이터에 속성이 지정됩니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
새 사용자가 생성되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
해당 사용자가 비활성화되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
사용자가 로그인했습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• 사용자 로그온 데이터
사용자 활동과 관련된 이벤트(사용자 생성, 로그인 등) 및 해당 이벤트에 대한 정보.
속성
|
유형
|
설명
|
예
|
Hostname
|
String
|
로그온 시도가 수행된 컴퓨터 이름
|
|
IpAddressV4
|
Ipv4 주소
|
로그온을 시도한 컴퓨터의 IPv4 주소
|
|
IpAddressV6
|
Ipv6 주소
|
로그온 시도가 수행된 컴퓨터의 IPv6 주소
|
|
LogonType
|
Symbol
|
로그인 유형
|
가능한 값은 다음과 같습니다:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
원격 컴퓨터에서 시도된 로그온에 사용된 소스 포트
|
|
지원되는 작업
•UserLogin
•UserLogout |
UserLogout
사용자가 로그아웃했습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• 사용자 로그온 데이터
사용자 활동과 관련된 이벤트(사용자 생성, 로그인 등) 및 해당 이벤트에 대한 정보.
속성
|
유형
|
설명
|
예
|
Hostname
|
String
|
로그온 시도가 수행된 컴퓨터 이름
|
|
IpAddressV4
|
Ipv4 주소
|
로그온을 시도한 컴퓨터의 IPv4 주소
|
|
IpAddressV6
|
Ipv6 주소
|
로그온 시도가 수행된 컴퓨터의 IPv6 주소
|
|
LogonType
|
Symbol
|
로그인 유형
|
가능한 값은 다음과 같습니다:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
원격 컴퓨터에서 시도된 로그온에 사용된 소스 포트
|
|
지원되는 작업
•UserLogin
•UserLogout |
UserRemove
사용자가 제거되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
사용자가 그룹에서 제거되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• DoneByUser
표적이 된 사용자입니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• TargetUser
표적이 된 사용자.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)는 누구인가
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 일으킨 사용자(계정 이름)
|
|
지원되는 작업
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
UserLogonData와 동일하지만 그룹에 대한 데이터에 속성이 지정됩니다.
속성
|
유형
|
설명
|
예
|
Sid
|
String
|
해당 이벤트를 발생시킨 사용자(계정 SID)
|
|
SidNameUse
|
Symbol
|
해당 이벤트의 배후에 어떤 그룹(SID 유형)이 있는지
|
그룹은 다음과 같습니다:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
해당 이벤트를 발생시킨 사용자(계정 이름)
|
|
지원되는 작업
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
VirtualDiskMount의 이벤트가 실행되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
WmiExecution
WMI(Windows Management Instrumentation) 실행 이벤트가 트리거되었습니다.
지원되는 구성 요소:
• ClientEnterprise
ClientEnterprise은(는) 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 조합하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행한 경우 트리거됩니다(악성코드가 자신을 삭제할 때 흔히 나타남)
|
true/false
|
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 단위로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®에서 실행 파일이 발견된 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사의 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 nearmiss로 인식된 이후 경과 일수입니다.
Nearmiss(니어미스)—악성코드로 인해 탐지가 발생하지만 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션의 상태(고급 휴리스틱으로 파일이 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
파일 크기(바이트)
|
41984
|
FileVersion
|
String
|
버전 정보에 있는 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 아닌지를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일의 인증서에서 추출한 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에서 가져온 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에서 가져온, 해당 파일이 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—서명이 OS에서 신뢰됨
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않거나 손상되었거나 취소되었습니다
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 첨부된 모듈을 기준으로 필터링할 수 있도록 합니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—ESET LiveGrid®에서 허용 목록에 등록된 파일입니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나열되어 있습니다.
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo은(는) 클라이언트 프로세스가 있는 WmiExecution, WmiQuery 및 CodeInjection 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 생성할 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 값을 설정된 양만큼 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정을 통해 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
지원되는 작업
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• WmiExecutionInfo
WMI(Windows Management Instrumentation) 실행 이벤트는 WMI 메서드인 Win32_process.create()가 호출될 때만 발생합니다.
속성
|
유형
|
설명
|
ClassName
|
String
|
트리거된 메서드를 포함하는 클래스
|
ClientMachineFQDN
|
String
|
클라이언트 컴퓨터의 정규화된 도메인 이름
|
CommandLine
|
String
|
인수 목록으로 메서드에 전송되는 명령줄
|
IsLocal
|
Bool
|
메서드가 로컬로 호출되었는지 원격으로 호출되었는지 확인합니다
|
MethodName
|
String
|
트리거된 메서드
|
예
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
지원되는 작업
•WmiExecution |
WmiPersistence
이 이벤트는 소비자가 필터에 바인딩할 때 생성됩니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• WmiPersistenceInfo
이 이벤트는 소비자가 필터에 바인딩할 때 생성됩니다.
속성
|
유형
|
설명
|
EventConsumerName
|
String
|
특정 이벤트가 도착하면 작업을 트리거하는 소비자(consumer)의 이름
|
EventFilterName
|
String
|
사용된 EventFilter의 이름
|
Handler
|
String
|
이벤트 소비자가 실행한 명령줄
|
Query
|
String
|
작업을 실행해야 하는 이벤트를 캡처하는 이벤트 필터 내 쿼리
|
TriggeringUserName
|
String
|
필터와 일치하는 이벤트를 트리거한 사용자의 이름
|
TriggeringUserSid
|
String
|
사용자의 보안 ID 트리거
|
TriggeringUserSidNameUse
|
Int
|
사용자의 SID 유형 트리거
|
예
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
지원되는 작업
•WmiPersistence |
WmiQuery
컴퓨터에서 WMI(Windows Management Instrumentation) 쿼리가 실행되었습니다.
지원되는 구성 요소:
• ClientEnterprise
ClientEnterprise은(는) 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 조합하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행한 경우 트리거됩니다(악성코드가 자신을 삭제할 때 흔히 나타남)
|
true/false
|
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
Age
|
Int
|
실행 파일이 ESET LiveGrid®에서 처음 확인된 이후 경과된 일수입니다. 이 수치는 일주일, 한 달, 반년, 1년 등에 해당하는 단위로 반올림됩니다.
|
|
Reputation
|
Int
|
평판 척도상의 숫자입니다. 높을수록 더 신뢰할 수 있음
|
가능한 값은 다음과 같습니다:
•9, 8—신뢰됨
•7, 6—확인
•5, 4—위험
•3—PUA, 알 수 없음(ESET LiveGrid®에서 확인되지 않음)
•2, 1—악성코드 |
Popularity
|
Int
|
ESET LiveGrid®에서 실행 파일이 발견된 컴퓨터의 수입니다. 10, 100, 1000, 10000 등과 같은 숫자로 반올림됩니다. 악성코드는 일반적으로 탐지되기 전까지 인기도 1000을 초과하지 않습니다.
|
|
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule는 클라이언트 프로세스가 있는 WmiExecution 및 WmiQuery 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
AugurScore
|
Int
|
ESET 머신러닝 엔진에서 산출한 점수입니다. 가능한 값은 0부터 99까지입니다
|
67
|
CompanyName
|
String
|
버전 정보에서 가져온, 파일을 제작한 회사의 이름
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
파일이 nearmiss로 인식된 이후 경과 일수입니다.
Nearmiss(니어미스)—악성코드로 인해 탐지가 발생하지만 오탐지일 수 있습니다(악성코드임을 보장할 수 없습니다)
|
|
EmulationStatus
|
Int
|
파일 에뮬레이션의 상태(고급 휴리스틱으로 파일이 에뮬레이션된 경우)
|
0—에뮬레이션되지 않음
1—에뮬레이션됨
|
FileDescription
|
String
|
버전 정보에서 가져온, 사용자에게 표시되는 파일 설명
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
RDP를 통해 전달된 파일
|
가능한 값은 다음과 같습니다:
0—RDP
|
FileSize
|
Int
|
파일 크기(바이트)
|
41984
|
FileVersion
|
String
|
버전 정보에 있는 파일의 버전 번호
|
"10.0.14393.0"
|
InternalName
|
String
|
버전 정보에서 가져온 파일의 내부 이름
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
파일은 PE DLL입니다
|
true/false
|
IsElf
|
Bool
|
이 파일은 ELF 파일입니다
|
true/false
|
IsExe
|
Bool
|
이 파일은 실행 파일입니다
|
true/false
|
IsMacho
|
Bool
|
파일이 Mach-O(macOS) 파일인지 아닌지를 정의합니다
|
true/false
|
IsNative
|
Bool
|
이 파일은 네이티브 PE 실행 파일입니다
|
true/false
|
isPe
|
Bool
|
이 파일은 Windows 실행 파일입니다
|
true/false
|
MD5
|
Hash
|
실행 파일의 md5 해시
|
|
MachoIsProtected
|
Bool
|
모듈은 보호된 Mach-O 실행 파일입니다
|
|
MachoSignatureId
|
String
|
서명에 포함된 Mach-O 파일의 식별자
|
"com.apple.ls"
|
MachoSignerCns
|
문자열 집합
|
Mach-O 파일의 인증서에서 추출한 일반 이름(Common Name) 집합
|
|
MachoUserId
|
String
|
Apple이 할당한 고유 개발자 ID
|
|
OriginalFileName
|
String
|
버전 정보에서 가져온 파일의 원본 이름
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
패커의 이름
|
"UPX"
|
ProductName
|
String
|
버전 정보에서 가져온, 해당 파일이 배포되는 제품의 이름
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
버전 정보에서 가져온, 해당 파일이 함께 배포되는 제품의 버전 번호
|
"10.0.14393"
|
SFXName
|
String
|
sfx 패커의 이름
|
"Zip"
|
Sha1
|
Hash
|
실행 파일의 sha1 해시
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
실행 파일의 sha256 해시
|
|
SignatureType
|
Symbol
|
실행 파일의 서명 유형
|
가능한 값은 다음과 같습니다:
•90—Trusted—엔드포인트에서 서명을 신뢰합니다
•80—Valid—서명이 OS에서 신뢰됨
•75—Adhoc—인증서가 자체 서명되었습니다
•70—None—파일에 서명이 없습니다
•60—Invalid—서명이 유효하지 않거나 손상되었거나 취소되었습니다
•50—Present—서명은 있지만 인증서 상태를 알 수 없습니다
•50—Unknown—인증서를 확인하지 못했습니다 |
SignerName
|
String
|
서명자 이름(있는 경우)
|
"Microsoft Windows"
|
Tags
|
String
|
사용자가 지정된 태그가 첨부된 모듈을 기준으로 필터링할 수 있도록 합니다
|
|
Whitelist
|
Symbol
|
실행 파일의 허용 목록 유형
|
가능한 값은 다음과 같습니다:
•0—None—이 파일에 대한 허용 목록 등록 없음
•1—Authoritative—이 파일은 엔드포인트에서 허용 목록에 등록되어 있습니다
•2—LiveGrid—ESET LiveGrid®에서 허용 목록에 등록된 파일입니다
•3—Certificate—파일 인증서가 허용 목록에 등록되어 있습니다 |
|
|
1패커의 이름은 향후 변경될 수 있습니다. 따라서 조건에는 isnotempty 또는 isempty 값을 사용하는 것을 권장합니다.
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나열되어 있습니다.
지원되는 작업
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo은(는) 클라이언트 프로세스가 있는 WmiExecution, WmiQuery 및 CodeInjection 작업과 함께 사용하는 경우에만 사용할 수 있습니다. 클라이언트 프로세스는 실제로 WMI(Windows Management Instrumentation) 메서드를 실행한 프로세스입니다.
속성
|
유형
|
설명
|
예
|
CaseSensitiveCommandLine
|
String
|
대소문자를 구분하는 명령줄에 대한 규칙을 생성할 수 있습니다
|
|
CommandLine
|
String
|
프로세스 명령줄
|
file.txt
|
CommandLineLength
|
Int
|
명령줄 길이
|
123
|
Compromised
|
Bool
|
프로세스가 MarkAsCompromised 동작을 사용하는 규칙에 의해 손상된 것으로 표시되었습니다
|
true/false 또는 1/0
|
IntegrityLevel
|
Symbol
|
프로세스의 무결성 수준입니다.
|
가능한 값은 다음과 같습니다:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
바로 가기 실행 경로를 포함합니다
|
|
ProcessDistance
|
Int
|
현재 프로세스로부터 해당 프로세스까지의 거리
|
123
|
ProcessLevel
|
Int
|
프로세스 계층 구조에서 프로세스의 깊이
|
123
|
ProcessOwner
|
String
|
프로세스를 생성한 사용자
|
|
RiskScore
|
Int
|
점수는 엔드포인트의 각 프로세스에 대해 추적됩니다. 작업 IncreaseParentRiskScore 또는 IncreaseRiskScore를 사용하여 값을 설정된 양만큼 늘릴 수 있습니다. 위험 점수 임계값에 도달하면 KillParentProcess 또는 KillProcess 작업이 트리거됩니다. 정책 > ESET Inspect Connector > 고급 설정을 통해 위험 점수 임계값을 지정할 수 있습니다. 위험 점수는 일정 시간이 지나면 초기화되며, 기본값은 6시간입니다.
|
1000
|
지원되는 작업
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
• WmiQueryInfo
WMI(Windows Management Instrumentation) 쿼리 이벤트는 사용자 또는 서비스가 시스템에서 쿼리를 트리거할 때 발생합니다.
속성
|
유형
|
설명
|
ClientMachineFQDN
|
String
|
클라이언트 컴퓨터의 정규화된 도메인 이름
|
IsLocal
|
Bool
|
false이면 원격 컴퓨터에서 쿼리가 호출된 것입니다(예: WbemTest 사용).
|
Query
|
String
|
시스템에서 쿼리가 트리거되었습니다
|
예
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
지원되는 작업
•WmiQuery |
WriteFile
파일에 기록되었습니다.
지원되는 구성 요소:
• DateTime
지정된 시간에만 트리거되는 규칙을 작성할 수 있습니다.
속성
|
유형
|
설명
|
예
|
DayOfWeek
|
Int
|
특정 요일에만 규칙 트리거
|
가능한 값은 다음과 같습니다:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다. 가능한 값은 0부터 23까지입니다
|
12
|
Minute
|
Int
|
하루 중 특정 시간대에만 규칙을 트리거합니다.
가능한 값은 0부터 59까지입니다
|
30
|
예
이 규칙은 월요일부터 금요일까지 오전 9시에서 오후 5시 사이에 메모장이 열릴 때마다 트리거됩니다.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
지원되는 작업
DateTime 구성 요소는 모든 작업에서 지원됩니다.
|
• EnterpriseInspector
커넥터에 대한 정보를 제공합니다.
속성
|
유형
|
설명
|
예
|
VersionString
|
String
|
커넥터의 버전 문자열입니다.
|
1.9.2385
|
VersionMajor
|
Int
|
커넥터의 주 버전입니다.
|
1
|
VersionMinor
|
Int
|
커넥터의 부 버전입니다.
|
9
|
BuildNumber
|
Int
|
커넥터의 빌드 번호입니다.
|
2385
|
지원되는 작업
EnterpriseInspector 구성 요소는 모든 작업에서 지원됩니다.
|
• FileItem
현재 파일에 대한 정보를 반환합니다
속성
|
유형
|
설명
|
예
|
ADS
|
String
|
경로의 ADS 부분
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
파일 확장자
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
파일 확장자를 포함한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
파일 확장자를 제외한 파일 이름
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
파일 이름을 포함한 파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
이름의 길이
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
파일 경로
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
파일이 자기 자신에 대해 해당 작업을 수행하는 경우 트리거됩니다(악성코드가 스스로를 삭제할 때 흔히 발생).
|
true/false
|
카나리아 파일
경로 속성에는 카나리아 파일을 위한 특수 변수가 있습니다. 카나리아 파일의 경로를 지정하는 값은 %CanaryFile%입니다.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
지원되는 작업
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
이벤트가 발생한 시스템에 대한 정보입니다.
속성
|
유형
|
설명
|
예
|
isServer
|
Bool
|
시스템이 서버인지 여부를 나타냅니다
|
거짓—서버가 아님
참—서버
|
SystemArchitecture
|
Symbol
|
시스템 아키텍처의 유형
|
32비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•32
•32bit
•x86
•0
64비트 아키텍처에 맞추려면 다음 중 하나를 사용하십시오:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
어떤 유형의 운영체제가 이벤트를 유발했는지
|
Windows 시스템에 맞추려면 다음 중 하나를 사용하세요:
•Windows
•Win
•0
MacOS 시스템에 맞추려면 다음 중 하나를 사용하십시오:
•macOs
•macOsx
•Osx
•1
리눅스 시스템에 맞추려면 다음을 사용하세요:
•2 |
SystemVersion
|
String
|
주 버전 번호와 부 버전 번호를 포함한 전체 시스템 버전
|
|
Tags
|
문자열 집합
|
해당 특정 시스템에 할당된 태그
|
|
집합 유형(IPv4 주소 집합, IPv6 주소 집합, 문자열 집합, 심볼 집합)에 대해 지원되는 조건은 속성 유형 & 관계 표의 값 집합 항목에 나와 있습니다.
지원되는 작업
SystemInfo 구성 요소는 모든 작업에서 지원됩니다.
|
|
|
이전 버전의 Windows는 WMI(Windows Management Instrumentation) 이벤트를 생성하지 않습니다. 이 기능은 Windows 10 버전 1803부터 사용할 수 있습니다.
일부 이벤트는 부분적인 정보만 제공합니다:
•파일 쓰기 이벤트—첫 번째 파일 변경만 기록됩니다(프로세스별로 적용됩니다. 두 프로세스가 동일한 파일을 변경하면 두 변경 사항이 모두 기록됩니다)
•레지스트리 관련 이벤트—첫 번째 레지스트리 키 변경만 기록됩니다(프로세스에 의한 최초 변경)
•DLLLoad—AV의 허용 목록에 등록되지 않은 DLL만 기록됩니다
•TcpIp 이벤트—첫 번째 연결만 기록됩니다(프로세스별 최초 1회)
•Http 이벤트—첫 번째 요청만 기록됨(프로세스별 최초 1회)
•ModuleDrop(일명 PEDrop) — 지정된 모듈의 최초 드롭(해당 컴퓨터에서 처음 발생한 경우)에 대해서만 보고됩니다
•AmsiTriggerEvent—첫 번째 실행만 기록됩니다(컴퓨터에서 처음 실행되는 경우) |
