Format danych Open XDR
Format danych Open XDR opiera się na schemacie Elastic Common Schema (ECS),, czyli znormalizowanym formacie używanym w ESET Open XDR. ECS upraszcza pisanie zapytań i umożliwia korelację danych między różnymi źródłami danych. Zdarzenia telemetryczne, wskaźniki i incydenty są znormalizowane w tym schemacie w produktach i integracjach, które są częścią platformy Open XDR.
|
Dane Open XDR są dostępne z poziomu komputerów z agentem w wersji ESET Management 13.0+ i złączem ESET Inspect 3.0+. Dowiedz się więcej o unifikowaniu ESET Inspect i ESET PROTECT (Open XDR). |
Zbiory pól
ECS definiuje wiele grup powiązanych pól, zwanych zbiorami pól.
Pola agenta opisują komponent oprogramowania, który zbiera, wykrywa lub obserwuje zdarzenia lub wskaźniki telemetryczne.
|
Podstawowy zbiór pól zawiera wszystkie pola występujące u podstawy zdarzeń. Te pola są wspólne dla wszystkich typów zdarzeń.
|
Zaprojektowany do przechwytywania metadanych dotyczących zasobów działających w środowisku chmurowym.
|
Pola opisujące cyfrową sygnaturę pliku na dysku, pliku wykonywalnego uruchamiającego proces lub dynamicznie ładowanej biblioteki. Wskazują, czy plik został podpisany, kto go podpisał oraz czy sygnatura jest ważna i zaufana. Pola sygnatury kodowej powinny być zagnieżdżone w: •process.* •file.* •dll.*
|
Pola opisujące cel połączenia sieciowego lub transferu danych. Zazwyczaj zawiera szczegóły dotyczące punktu końcowego otrzymującego dane, takie jak adres IP, port, domena.
|
Pola opisujące urządzenie biorące udział w zdarzeniu. Zazwyczaj obejmuje atrybuty, takie jak identyfikatory urządzenia, model, producent, numer seryjny oraz inne cechy pomagające zidentyfikować fizyczne urządzenie generujące lub odbierające dane.
|
Pola opisujące dynamicznie załadowaną bibliotekę biorącą udział w zdarzeniu. Chociaż nazwa jest oparta na systemie Windows, ten zbiór pól obejmuje wiele platform: •Biblioteka dynamicznych łączy (.dll) powszechnie używana w systemie Windows •Obiekt współdzielony (.so) powszechnie używany w systemach operacyjnych podobnych do Unix •Dynamiczna biblioteka (.dylib) powszechnie używana w macOS Następujące zbiory pól można zagnieździć w ramach zbioru pól DLL: •dll.code_signature.* •dll.hash.* •dll.pe.*
|
Metainformacje specyficzne dla ECS.
|
Pola opisujące szczegóły zdarzenia lub aktywności zarejestrowanej przez system lub aplikację. Pola te dostarczają kontekstu, takiego jak kategoria, typ, akcja, wynik oraz znaczniki czasu zdarzenia.
|
Reprezentuje szczegóły dotyczące pliku biorącego udział w zdarzeniu. Następujące zbiory pól można zagnieździć w ramach zbioru pól pliku: •file.code_signature.* •file.hash.* •file.pe.*
|
Zawiera kryptograficzne wartości skrótów, które jednoznacznie identyfikują pliki. Oczekuje się, że pola skrótów będą zagnieżdżone w: •process.hash.* •file.hash.* •dll.hash.* •email.attachments.file.hash.* •eset.executable.hash.* •eset.process.loaded_libraries.hash.*
|
Reprezentuje szczegóły dotyczące hosta (komputera, serwera lub urządzenia), z którego zdarzenie się rozpoczęło lub zostało zaobserwowane. Następujące zbiory pól można zagnieździć w ramach zbioru pól hosta: •host.os.*
|
Reprezentuje szczegóły dotyczące aktywności sieciowej związanej ze zdarzeniem. Pola te opisują protokół, kierunek i identyfikatory ruchu sieciowego.
|
Reprezentuje szczegóły dotyczące systemu operacyjnego działającego na hoście lub urządzeniu. Oczekuje się, że pola systemu operacyjnego będą zagnieżdżone w: •host.os.*
|
Reprezentuje metadane wyodrębnione z pliku Windows Portable Executable (PE), takie jak pliki wykonywalne, pliki DLL i sterowniki. Oczekuje się, że pola PE będą zagnieżdżone w: •dll.pe.* •file.pe.* •process.pe.*
|
Reprezentuje szczegóły dotyczące procesu uruchamianego na hoście powiązanym ze zdarzeniem. Oczekuje się, że pola procesowe będą zagnieżdżone w: •process.parent.* Następujące zbiory pól można zagnieździć w ramach zbioru pól procesowych: •process.code_signature.* •process.hash.* •process.pe.* •process.user.*
|
Zawiera listy identyfikatorów powiązanych ze zdarzeniem. Wartości te pomagają w poruszaniu się między różnymi zdarzeniami, które mogą mieć tę samą wartość w różnych polach, np. process.hash i process.parent.hash.
|
Reprezentuje szczegóły dotyczące wskaźnika. Pola te pomagają identyfikować, kategoryzować i korelować wskaźniki na podstawie logiki detekcji, która je wywołała.
|
Pola opisujące źródło połączenia sieciowego lub transferu danych. Zazwyczaj obejmuje szczegóły dotyczące punktu końcowego wysyłającego dane, takie jak adres IP, port, domena.
|
Reprezentuje szczegóły dotyczące adresu URL biorącego udział w zdarzeniu. Pola te opisują strukturę i komponenty adresu URL.
|
Reprezentuje szczegóły dotyczące użytkownika powiązanego ze zdarzeniem. Oczekuje się, że pola użytkownika będą zagnieżdżone w: •process.user.*
|
Rozszerzenia
Niestandardowe rozszerzenia ECS to dodatkowe zbiory pól wprowadzone przez integracje w celu przechwytywania danych, które nie są objęte standardowym schematem Elastic Common Schema. Pola te zapewniają bogatszy kontekst i atrybuty specyficzne dla dostawcy, jednocześnie zachowując kompatybilność z ECS. Rozszerzenia muszą być zgodne z konwencjami nazewnictwa ECS i być grupowane w ramach wyraźnej przestrzeni nazw, aby uniknąć konfliktów ze standardowymi polami ECS.
Rozszerzenie ESET
Rozszerzenie ESET standaryzuje dane z produktów ESET poprzez mapowanie wykryć przez program antywirusowy i wskaźników zachowań do niestandardowych pól ECS w ramach przestrzeni nazw ESET.
Oczekuje się, że pola rozszerzenia ESET będą zagnieżdżone w:
•eset.*
Podstawowy zbiór pól ESET zawiera wszystkie pola występujące u podstawy eset.* namespace.
|
Przedstawia szczegóły dotyczące procesów przodków. Oczekuje się, że pola przodków będą zagnieżdżone w: •eset.process.ancestors.* Oczekuje się, że następujące pliki ECS będą zagnieżdżone w ramach eset.executable: •hash.*
|
Przedstawia szczegóły dotyczące procesów przodków. Oczekuje się, że pola potomne będą zagnieżdżone w: •eset.process.children.* Oczekuje się, że następujące pliki ECS będą zagnieżdżone w ramach eset.executable: •hash.*
|
Zapewnia informacje o pliku wykonywalnym powiązanym ze zdarzeniem. Gdy to pole pojawia się w ramach eset.process.*, odnosi się konkretnie do pliku wykonywalnego procesu uruchamianego na hoście w związku ze zdarzeniem. Oczekuje się, że pola wykonywalne ESET będą zagnieżdżone w: •eset.dll.* •eset.file.* •eset.process.executable.* •eset.process.loaded_libraries.* Oczekuje się, że następujące pola ECS będą zagnieżdżone w ramach eset.executable: •code_signature.* •hash.* Oczekuje się, że następujące pola rozszerzeń ESET będą zagnieżdżone w ramach eset.executable: •livegrid_findings.*
|
Zapewnia informacje o danych LiveGrid® powiązanych z plikiem wykonywalnym. Oczekuje się, że pola poszukiwań ESET LiveGrid będą zagnieżdżone w: •eset.executable.*
|
Dostarcza informacji o załadowanych bibliotekach wczytanych w procesie w momencie tworzenia wskaźnika. Oczekuje się, że pola poszukiwań ESET LiveGrid będą zagnieżdżone w: •eset.process.loaded_libraries.* Oczekuje się, że następujące zbiory pól będą zagnieżdżone w ramach zbioru pól eset.loaded_libraries: •eset.executable.*
|
Reprezentuje szczegóły dotyczące procesu uruchamianego na hoście powiązanym ze zdarzeniem. Następujące zbiory pól można zagnieździć w ramach zbioru pól eset.process: •process.ancestors.* •process.children.* •eset.executable.* •eset.loaded_libraries.*
|
Reprezentuje zadanie wykonywane w odpowiedzi na wywołanie reguły EDR mające na celu złagodzenie lub zneutralizowanie potencjalnego zagrożenia dla bezpieczeństwa. Oczekuje się, że pola działań naprawczych ESET będą zagnieżdżone w: •eset.*
|
Reprezentuje informacje o zdarzeniu wyzwalającym regułę. Oczekuje się, że pola wyzwalającego zdarzenia będą zagnieżdżone w: •eset.triggering_event.*
|
Rozszerzenie metadanych ESET standaryzuje metadane specyficzne dla ESET dla zdarzeń dotyczących bezpieczeństwa. Rejestruje ono dane dotyczące klienta, usług i wdrożeń, aby ułatwić priorytetyzację i routowanie incydentów w ESET Security Operations Centers (SoC). Oczekuje się, że pola metadanych ESET będą zagnieżdżone w: •eset_metadata.*
|