A parte operations define quais operações executadas por um processo acionam o indicador. Se estiver vazio, o indicador é acionado quando o processo gera um evento.
As operações são definidas usando um elemento operation com um atributo type e um elemento expression.
<operation type="WriteFile">Expression</operation>
Os componentes a seguir são suportados por todas as operações.
•
DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
BitsJobAddFile
Um arquivo foi adicionado a um trabalho BITS.
Componentes compatíveis:
• BitsJobAddFile
Retorna informações sobre um trabalho BITS.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
FileCount
|
Int
|
Número de arquivos adicionados ao trabalho.
|
1
|
JobTitle
|
String
|
Nome de exibição do trabalho BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Caminho de destino local para o arquivo.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL de origem ou caminho remoto do arquivo.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Conta que possui ou criou o trabalho.
|
|
UserSid
|
String
|
Identificador de Segurança (SID) da conta.
|
|
Operações compatíveis
•BitsJobAddFile |
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
CodeInjection
Um processo foi submetido a alguma forma de injeção de código.
Componentes compatíveis:
• ClientProcessInfo
ClientProcessInfo está disponível apenas em combinação com as operações WmiExecution, WmiQuery e CodeInjection, que possuem um processo de cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para a linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
Operações compatíveis
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Para eventos CodeInjection, ele reporta informações sobre a técnica de injeção de código utilizada.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CodeInjectionType
|
Symbol
|
Técnica de injeção de código usada
|
Os valores possíveis são:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Operações compatíveis
•CodeInjection |
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• Empresa
Fornece uma estatística sobre os módulos na rede monitorada.
Operações compatíveis
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
O ESET LiveGrid é um sistema preventivo que reúne informações sobre ameaças de usuários no mundo todo. O banco de dados do ESET LiveGrid® contém informações de reputação sobre possíveis ameaças. A reputação dos executáveis ajuda você a filtrar os resultados da regra.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
|
|
Você não pode confiar nos valores do ESET LiveGrid® para novos executáveis. Mesmo o executável mais popular e confiável (por exemplo, o instalador de uma nova versão do Google Chrome) tem baixa popularidade e uma reputação desconhecida por algum tempo após seu lançamento.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Retornar as informações sobre o módulo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação do mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações da versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue via RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número da versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
hash md5 do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura não é válida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag específica anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Retorna informações sobre o processo atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Retorna informações sobre o processo de serviço atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é rastreada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
CreateNamedPipe
Um pipe nomeado foi criado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
CreateProcess
Um processo foi criado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• Empresa
Fornece uma estatística sobre os módulos na rede monitorada.
Operações compatíveis
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
O ESET LiveGrid é um sistema preventivo que reúne informações sobre ameaças de usuários no mundo todo. O banco de dados do ESET LiveGrid® contém informações de reputação sobre possíveis ameaças. A reputação dos executáveis ajuda você a filtrar os resultados da regra.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
|
|
Você não pode confiar nos valores do ESET LiveGrid® para novos executáveis. Mesmo o executável mais popular e confiável (por exemplo, o instalador de uma nova versão do Google Chrome) tem baixa popularidade e uma reputação desconhecida por algum tempo após seu lançamento.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Retornar as informações sobre o módulo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação do mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações da versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue via RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número da versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
hash md5 do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura não é válida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag específica anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Retorna informações sobre o processo atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Retorna informações sobre o processo de serviço atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é rastreada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
DeleteFile
Um arquivo foi excluído.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
DeleteVolumeShadowCopy
Uma cópia de sombra de um volume foi excluída.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• VolumeShadowCopyInfo
Retorna informações sobre a criação de cópias de sombra e instantâneos de backup existentes.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
OriginalVolumeName
|
String
|
O nome do volume do qual foi feita a cópia de sombra
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
O nome da máquina que contém o volume original
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
O nome do provedor usado para criar a cópia de sombra
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
O nome do sistema que fornece o serviço de cópia de sombra (geralmente o mesmo que a máquina de origem em backups locais)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
O caminho do dispositivo que representa o instantâneo do volume. O caminho do objeto de dispositivo pode ser considerado a raiz de uma cópia de sombra de um volume. Os solicitantes usarão esse nome de dispositivo ao acessar arquivos em um volume com cópia de sombra com o qual precisam trabalhar.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Operações compatíveis
•DeleteVolumeShadowCopy |
DnsRequest
Uma solicitação DNS foi feita (geralmente IP > domínio, domínio > IP).
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DnsInfo
DnsInfo com as seguintes propriedades:
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DnsQuery
|
String
|
A consulta DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
O comprimento da consulta DNS
|
100
|
DnsResponseIpAddressV4
|
Conjunto de endereços IPv4
|
Os registros A na resposta DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Conjunto de endereços IPv6
|
Os registros AAAA na resposta DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Conjunto de strings
|
Os registros NS, CNAME, PTR ou TXT na resposta DNS
|
mobile-google.com
|
DnsResponseType
|
Conjunto de símbolos
|
Os tipos de registros presentes na resposta DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
O tamanho total da DNS resposta
|
100
|
Para a propriedade DnsResponseType, há um escopo predefinido de valores que podem ser usados (sem distinção entre maiúsculas e minúsculas):
Para obter mais informações sobre os valores de DnsResponseType, consulte os TIPOS de Registro de Recurso (RR).
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Exemplo
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Operações compatíveis
•DnsRequest |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
HttpRequest
Uma solicitação HTTP foi feita.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• Rede
Retornar informações sobre eventos de rede
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DestinationIpAddressV4
|
Endereço Ipv4
|
O endereço de destino Ipv4 da detecção de firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Endereço Ipv6
|
O endereço de destino Ipv6 da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
O nome do host de destino.
É compatível apenas com eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
A conexão é de entrada
|
true/false
|
IpAddressV4
|
Endereço Ipv4
|
O Ipv4 endereço de destino do evento. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
IpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de destino do evento. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
A porta de destino TCP/UDP
|
8080
|
Protocol
|
String
|
O protocolo usado pela conexão
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Endereço Ipv4
|
O endereço de origem Ipv4 da detecção de Firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de origem da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se a solicitação envolveu uma URL (ou seja, solicitação HTTP)
É compatível com solicitações HTTP e Detecções.
|
A URL de destino
|
Exemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operações compatíveis
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
LoadDLL
Uma DLL foi carregada.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• Empresa
Fornece uma estatística sobre os módulos na rede monitorada.
Operações compatíveis
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
O ESET LiveGrid é um sistema preventivo que reúne informações sobre ameaças de usuários no mundo todo. O banco de dados do ESET LiveGrid® contém informações de reputação sobre possíveis ameaças. A reputação dos executáveis ajuda você a filtrar os resultados da regra.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
|
|
Você não pode confiar nos valores do ESET LiveGrid® para novos executáveis. Mesmo o executável mais popular e confiável (por exemplo, o instalador de uma nova versão do Google Chrome) tem baixa popularidade e uma reputação desconhecida por algum tempo após seu lançamento.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Retornar as informações sobre o módulo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação do mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações da versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue via RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número da versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
hash md5 do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura não é válida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag específica anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Retorna informações sobre o processo atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Retorna informações sobre o processo de serviço atual.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é rastreada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
SentBytes
|
Int
|
Número total de bytes enviados pelo processo.
|
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
LoadDriver
Um driver ou módulo de kernel foi carregado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Módulo
Retornar as informações sobre o módulo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação do mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações da versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue via RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número da versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
hash md5 do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura não é válida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag específica anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
ModuleDrop
Um executável foi implantado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• Empresa
Fornece uma estatística sobre os módulos na rede monitorada.
Operações compatíveis
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
O ESET LiveGrid é um sistema preventivo que reúne informações sobre ameaças de usuários no mundo todo. O banco de dados do ESET LiveGrid® contém informações de reputação sobre possíveis ameaças. A reputação dos executáveis ajuda você a filtrar os resultados da regra.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
|
|
Você não pode confiar nos valores do ESET LiveGrid® para novos executáveis. Mesmo o executável mais popular e confiável (por exemplo, o instalador de uma nova versão do Google Chrome) tem baixa popularidade e uma reputação desconhecida por algum tempo após seu lançamento.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Módulo
Retornar as informações sobre o módulo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação do mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações da versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue via RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número da versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
hash md5 do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 hash do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura não é válida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag específica anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
Operações compatíveis
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
MultipleFilesChanged
O processo modificou vários arquivos.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• ProcessBehavior
Os eventos ProcessBehavior são relatados no Windows. O antivírus rastreia quais arquivos foram acessados e com que frequência. Se o processo acessou mais arquivos do que o definido na barreira em um determinado período de tempo, esse evento é relatado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
FileOperations
|
String
|
Operações e suas barreiras
|
Os valores possíveis são:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Os valores FileOperations são internos e destinam-se a ser usados somente com regras padrão.
|
Operações compatíveis
•MultipleFilesChanged |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
OpenProcess
Adicionado um novo atributo de regra, que é acionado quando um processo é aberto. Apenas o processo aberto para lsass.exe é monitorado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Adicionado um novo atributo de regra, que é acionado quando um processo é aberto.
HIPS envia eventos OpenProcess apenas para lsass.exe e somente com acesso ao processo PROCESS_VM_WRITE e/ou PROCESS_VM_READ apenas ao chamar OpenProcess ou DuplicateHandle (quando o processo já aberto com os acessos mencionados)
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AccessRight
|
Symbol
|
|
Os valores possíveis são:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Exemplo
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Operações compatíveis
•OpenProcess |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
ReadFile
Acionado quando um arquivo monitorado foi lido. Arquivos monitorados são aqueles que contêm informações confidenciais ou credenciais armazenadas, por exemplo, senhas de navegador armazenadas, senhas de clientes FTP armazenadas, banco de dados do AD e assim por diante.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
RegDeleteKey
Uma chave do Registro foi excluída.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• RegistryItem
Retorna as informações sobre os eventos de registro.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Key
|
Path
|
O caminho da chave, contém o Nome do Valor da chave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
O comprimento do valor da chave
|
16
|
StringValue
|
String
|
O valor de uma chave de string
|
ValorExemplo
|
IntValue
|
Int
|
O valor da chave int
|
32
|
Exemplo
Para a chave de registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operações compatíveis
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
RegDeleteValue
O valor do registro foi excluído.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• RegistryItem
Retorna as informações sobre os eventos de registro.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Key
|
Path
|
O caminho da chave, contém o Nome do Valor da chave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
O comprimento do valor da chave
|
16
|
StringValue
|
String
|
O valor de uma chave de string
|
ValorExemplo
|
IntValue
|
Int
|
O valor da chave int
|
32
|
Exemplo
Para a chave de registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operações compatíveis
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
RegRenameKey
Uma chave do Registro foi renomeada.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• RegistryItem
Retorna as informações sobre os eventos de registro.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Key
|
Path
|
O caminho da chave, contém o Nome do Valor da chave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
O comprimento do valor da chave
|
16
|
StringValue
|
String
|
O valor de uma chave de string
|
ValorExemplo
|
IntValue
|
Int
|
O valor da chave int
|
32
|
Exemplo
Para a chave de registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operações compatíveis
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
RegSetValue
Uma chave do Registro foi alterada.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• RegistryItem
Retorna as informações sobre os eventos de registro.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Key
|
Path
|
O caminho da chave, contém o Nome do Valor da chave
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
O comprimento do valor da chave
|
16
|
StringValue
|
String
|
O valor de uma chave de string
|
ValorExemplo
|
IntValue
|
Int
|
O valor da chave int
|
32
|
Exemplo
Para a chave de registro: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Operações compatíveis
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
RenameFile
Um arquivo foi renomeado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
•
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
ScheduledTaskAdded
Uma tarefa agendada foi adicionada.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Retorna as informações sobre a tarefa agendada.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Boundary
|
Date
|
Restrições de tempo para o agendamento: início/término, fuso horário e janela/regras de recorrência.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Indica se a tarefa agendada está ativa e será executada conforme sua programação.
|
true/false
|
Location
|
String
|
Caminho na árvore do Agendador de Tarefas da Microsoft a partir do nó "Biblioteca do Agendador de Tarefas"
|
|
Name
|
String
|
Nome da tarefa
|
|
Type
|
Symbol
|
Tipo de operação de tarefa agendada
|
Os valores possíveis são:
•0—Create
•1—Unknown |
Operações compatíveis
•ScheduledTaskAdded |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
Scripts
Um script exposto pelo AMSI foi executado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• Scripts
O componente Scripts permite criar regras com base nas propriedades do script executado expostas pelo AMSI.
Propriedade
|
Tipo
|
Descrição
|
Script
|
String
|
Script recebido por ESET PROTECT via integração AMSI
|
ScriptLength
|
Int
|
Comprimento do script (contagem de caracteres)
|
ScriptSha1
|
Hash
|
Hash SHA1 do fragmento de script
|
ScriptSha256
|
Hash
|
Hash SHA256 do fragmento de script
|
Exemplo
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Operações compatíveis
•Scripts |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
ServiceInstalled
Um serviço foi instalado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Serviço
O componente Serviço permite criar regras com base em propriedades de serviços do Windows e em eventos de controle de serviço expostos pelo Gerenciador de Controle de Serviço (SCM).
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
LoadType
|
Symbol
|
O tipo de inicialização do serviço
|
Os valores possíveis são:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
O nome interno do serviço registrado no SCM
|
|
Type
|
Int
|
Indica o tipo de serviço que foi registrado no SCM
|
Os valores possíveis são:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operações compatíveis
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
ServiceStarted
Um serviço foi iniciado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Serviço
O componente Serviço permite criar regras com base em propriedades de serviços do Windows e em eventos de controle de serviço expostos pelo Gerenciador de Controle de Serviço (SCM).
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
LoadType
|
Symbol
|
O tipo de inicialização do serviço
|
Os valores possíveis são:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
O nome interno do serviço registrado no SCM
|
|
Type
|
Int
|
Indica o tipo de serviço que foi registrado no SCM
|
Os valores possíveis são:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Operações compatíveis
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
SetFileAttribute
Um atributo de arquivo foi definido.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileAttribute
Os eventos FileAttribute são atualmente relatados apenas no Linux. A regra é acionada quando um atributo é definido, por exemplo, pelo comando chmod.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Attribute
|
Symbol
|
Atributo de um arquivo
|
Os valores possíveis são:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Operações compatíveis
•SetFileAttribute |
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
SystemApiCall
Uma função do sistema foi chamada.
Componentes compatíveis:
• ApiCall
Retorna informações sobre chamadas de API.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ApiName
|
Symbol
|
Nome da API chamada pelo processo
|
Os valores compatíveis são:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Somente Linux
Exemplo
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Operações compatíveis
•SystemApiCall |
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
TcpIpAccept
Uma conexão TCP/IP de entrada foi aceita.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• Rede
Retornar informações sobre eventos de rede
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DestinationIpAddressV4
|
Endereço Ipv4
|
O endereço de destino Ipv4 da detecção de firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Endereço Ipv6
|
O endereço de destino Ipv6 da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
O nome do host de destino.
É compatível apenas com eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
A conexão é de entrada
|
true/false
|
IpAddressV4
|
Endereço Ipv4
|
O Ipv4 endereço de destino do evento. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
IpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de destino do evento. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
A porta de destino TCP/UDP
|
8080
|
Protocol
|
String
|
O protocolo usado pela conexão
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Endereço Ipv4
|
O endereço de origem Ipv4 da detecção de Firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de origem da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se a solicitação envolveu uma URL (ou seja, solicitação HTTP)
É compatível com solicitações HTTP e Detecções.
|
A URL de destino
|
Exemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operações compatíveis
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
TcpIpConnect
Uma conexão TCP/IP de saída foi estabelecida.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• Rede
Retornar informações sobre eventos de rede
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DestinationIpAddressV4
|
Endereço Ipv4
|
O endereço de destino Ipv4 da detecção de firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Endereço Ipv6
|
O endereço de destino Ipv6 da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
O nome do host de destino.
É compatível apenas com eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
A conexão é de entrada
|
true/false
|
IpAddressV4
|
Endereço Ipv4
|
O Ipv4 endereço de destino do evento. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
IpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de destino do evento. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
A porta de destino TCP/UDP
|
8080
|
Protocol
|
String
|
O protocolo usado pela conexão
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Endereço Ipv4
|
O endereço de origem Ipv4 da detecção de Firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de origem da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se a solicitação envolveu uma URL (ou seja, solicitação HTTP)
É compatível com solicitações HTTP e Detecções.
|
A URL de destino
|
Exemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operações compatíveis
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
TcpIpProtocolIdentified
Sobre a conexão TCP/IP, descreve o protocolo utilizado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• Rede
Retornar informações sobre eventos de rede
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DestinationIpAddressV4
|
Endereço Ipv4
|
O endereço de destino Ipv4 da detecção de firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
DestinationIpAddressV6
|
Endereço Ipv6
|
O endereço de destino Ipv6 da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
O nome do host de destino.
É compatível apenas com eventos TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
A conexão é de entrada
|
true/false
|
IpAddressV4
|
Endereço Ipv4
|
O Ipv4 endereço de destino do evento. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
IpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de destino do evento. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
A porta de destino TCP/UDP
|
8080
|
Protocol
|
String
|
O protocolo usado pela conexão
|
HTTP, HTTPS, etc.
|
SourceIpAddressV4
|
Endereço Ipv4
|
O endereço de origem Ipv4 da detecção de Firewall. Suporta máscaras.
|
192.168.0.1, suporta máscaras - 192.168.0.0/16
|
SourceIpAddressV6
|
Endereço Ipv6
|
O Ipv6 endereço de origem da detecção de Firewall. Suporta máscaras.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, suporta máscaras - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Se a solicitação envolveu uma URL (ou seja, solicitação HTTP)
É compatível com solicitações HTTP e Detecções.
|
A URL de destino
|
Exemplo
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Operações compatíveis
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
TruncateFile
Um arquivo foi truncado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
UnloadDriver
Um driver ou módulo de kernel foi descarregado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
UserActivate
O usuário foi ativado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
O usuário foi adicionado ao grupo.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• Dados do Grupo de Usuários
O mesmo que UserLogonData, mas com propriedades para dados sobre grupos.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Um novo usuário foi criado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
O usuário foi desativado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
O usuário fez login.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventos relacionados às atividades do Usuário (usuário criado, login realizado, ...), informações sobre esses eventos.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Hostname
|
String
|
Nome da máquina a partir da qual uma tentativa de logon foi realizada
|
|
IpAddressV4
|
Endereço Ipv4
|
Endereço IPv4 da máquina a partir da qual a tentativa de logon foi realizada
|
|
IpAddressV6
|
Endereço Ipv6
|
Endereço IPv6 da máquina a partir da qual a tentativa de logon foi realizada
|
|
LogonType
|
Symbol
|
Tipo de login
|
Os valores possíveis são:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
A porta de origem que foi usada para a tentativa de logon a partir da máquina remota
|
|
Operações compatíveis
•UserLogin
•UserLogout |
UserLogout
O usuário efetuou logout.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Eventos relacionados às atividades do Usuário (usuário criado, login realizado, ...), informações sobre esses eventos.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Hostname
|
String
|
Nome da máquina a partir da qual uma tentativa de logon foi realizada
|
|
IpAddressV4
|
Endereço Ipv4
|
Endereço IPv4 da máquina a partir da qual a tentativa de logon foi realizada
|
|
IpAddressV6
|
Endereço Ipv6
|
Endereço IPv6 da máquina a partir da qual a tentativa de logon foi realizada
|
|
LogonType
|
Symbol
|
Tipo de login
|
Os valores possíveis são:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
A porta de origem que foi usada para a tentativa de logon a partir da máquina remota
|
|
Operações compatíveis
•UserLogin
•UserLogout |
UserRemove
O usuário foi removido.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
O usuário foi removido do grupo.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• DoneByUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• TargetUser
O usuário que foi alvo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento fornecido
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• Dados do Grupo de Usuários
O mesmo que UserLogonData, mas com propriedades para dados sobre grupos.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Sid
|
String
|
Qual usuário (SID da conta) está por trás do evento em questão
|
|
SidNameUse
|
Symbol
|
Qual grupo (seu tipo de SID) está por trás do evento em questão
|
Os grupos são:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Qual usuário (nome da conta) está por trás do evento em questão
|
|
Operações compatíveis
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Um evento do VirtualDiskMount foi executado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
WmiExecution
O evento de execução da Instrumentação de gerenciamento do Windows foi acionado.
Componentes compatíveis:
• ClientEnterprise
ClientEnterprise está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid® detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação pelo mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações de versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue por meio de RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número de versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
md5 hash do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura é inválida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag especificada anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo está disponível apenas em combinação com as operações WmiExecution, WmiQuery e CodeInjection, que possuem um processo de cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para a linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
Operações compatíveis
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• WmiExecutionInfo
O evento de execução da Instrumentação de gerenciamento do Windows ocorre apenas quando o método da Instrumentação de gerenciamento do Windows, Win32_process.create() é chamado.
Propriedade
|
Tipo
|
Descrição
|
ClassName
|
String
|
Uma classe que contém um método disparado
|
ClientMachineFQDN
|
String
|
Nome do domínio totalmente qualificado da máquina cliente
|
CommandLine
|
String
|
Uma linha de comando enviada para um método como uma lista de argumentos
|
IsLocal
|
Bool
|
Determina se um método foi chamado local ou remotamente
|
MethodName
|
String
|
Um método que foi acionado
|
Exemplo
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Operações compatíveis
•WmiExecution |
WmiPersistence
O evento é gerado quando um consumidor se vincula a um filtro.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• WmiPersistenceInfo
O evento é gerado quando um consumidor se vincula a um filtro.
Propriedade
|
Tipo
|
Descrição
|
EventConsumerName
|
String
|
O nome de um consumidor que aciona uma ação quando um evento específico chega
|
EventFilterName
|
String
|
Nome do EventFilter usado
|
Handler
|
String
|
Linha de comando executada por um consumidor de eventos
|
Query
|
String
|
Uma consulta em um filtro de eventos que captura eventos que devem executar uma ação
|
TriggeringUserName
|
String
|
Um nome de um usuário que acionou um evento correspondente a um filtro
|
TriggeringUserSid
|
String
|
Acionando o ID de segurança do usuário
|
TriggeringUserSidNameUse
|
Int
|
Acionando o tipo de SID do usuário
|
Exemplo
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Operações compatíveis
•WmiPersistence |
WmiQuery
Uma consulta de Instrumentação de gerenciamento do Windows foi executada em um computador.
Componentes compatíveis:
• ClientEnterprise
ClientEnterprise está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
Age
|
Int
|
O número de dias desde que o executável foi visto pela primeira vez no ESET LiveGrid®. O número é arredondado para o equivalente a semana, mês, metade do ano, ano, etc.
|
|
Reputation
|
Int
|
O número na escala de reputação. Quanto maior, mais confiável
|
Os valores possíveis são:
•9, 8—Confiável
•7, 6—OK
•5, 4—Arriscado
•3—PUA, Desconhecido (não visto pelo ESET LiveGrid®)
•2, 1—Malware |
Popularity
|
Int
|
O número de computadores nos quais o ESET LiveGrid® detectou um executável. É arredondado para números como 10, 100, 1000, 10000, etc. Normalmente, o malware não ultrapassa a popularidade de 1000 até ser detectado.
|
|
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule está disponível apenas em combinação com as operações WmiExecution e WmiQuery, que possuem um processo cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
AugurScore
|
Int
|
O número da pontuação pelo mecanismo de aprendizado de máquina da ESET. Os valores possíveis são de 0 a 99
|
67
|
CompanyName
|
String
|
Das informações de versão, nome da empresa que produziu o arquivo
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Número de dias desde que o arquivo foi reconhecido como nearmiss.
Nearmiss — a detecção é acionada devido a malware, mas pode ser um falso positivo (não podemos garantir que seja malware)
|
|
EmulationStatus
|
Int
|
O status da emulação do arquivo (se o arquivo foi emulado por heurística avançada)
|
0—Não foi emulado
1—Foi emulado
|
FileDescription
|
String
|
Das informações de versão, descrição do arquivo exibida aos usuários
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Arquivo entregue por meio de RDP
|
Os valores possíveis são:
0—RDP
|
FileSize
|
Int
|
Tamanho do arquivo em bytes
|
41984
|
FileVersion
|
String
|
Das informações de versão, o número de versão do arquivo
|
"10.0.14393.0"
|
InternalName
|
String
|
Das informações de versão, nome interno do arquivo
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
O arquivo é uma DLL PE
|
true/false
|
IsElf
|
Bool
|
O arquivo é um arquivo ELF
|
true/false
|
IsExe
|
Bool
|
O arquivo é um executável
|
true/false
|
IsMacho
|
Bool
|
Define se um arquivo é um arquivo Mach-O (macOS) ou não
|
true/false
|
IsNative
|
Bool
|
O arquivo é um executável PE nativo
|
true/false
|
isPe
|
Bool
|
O arquivo é um executável do Windows
|
true/false
|
MD5
|
Hash
|
md5 hash do executável
|
|
MachoIsProtected
|
Bool
|
O módulo é um executável Mach-O protegido
|
|
MachoSignatureId
|
String
|
Identificador de um arquivo Mach-O presente na assinatura
|
"com.apple.ls"
|
MachoSignerCns
|
Conjunto de strings
|
Conjunto de nomes comuns de certificados no arquivo Mach-O
|
|
MachoUserId
|
String
|
ID de desenvolvedor exclusivo atribuído pela Apple
|
|
OriginalFileName
|
String
|
Das informações de versão, nome original do arquivo
|
"RdrLeakDiag.exe"
|
1
|
String
|
Nome do compactador
|
"UPX"
|
ProductName
|
String
|
Das informações de versão, nome do produto com o qual o arquivo é distribuído
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Das informações de versão, o número da versão do produto com o qual o arquivo é distribuído
|
"10.0.14393"
|
SFXName
|
String
|
Nome do compactador sfx
|
"Zip"
|
Sha1
|
Hash
|
hash sha1 do executável
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
hash sha256 do executável
|
|
SignatureType
|
Symbol
|
Tipo de assinatura do executável
|
Os valores possíveis são:
•90—Trusted—A assinatura é confiável para o Endpoint
•80—Valid—A assinatura é confiável para o sistema operacional
•75—Adhoc—O certificado é autoassinado
•70—None—Não há assinatura no arquivo
•60—Invalid—A assinatura é inválida/está corrompida/foi revogada
•50—Present—A assinatura está presente, mas o status do certificado é desconhecido
•50—Unknown—Falha ao verificar o certificado |
SignerName
|
String
|
Nome do signatário, se houver
|
"Microsoft Windows"
|
Tags
|
String
|
Permite que um usuário filtre por um módulo que tenha uma tag especificada anexada
|
|
Whitelist
|
Symbol
|
Tipo de lista de permissões do executável
|
Os valores possíveis são:
•0—None—Sem lista de permissões para este arquivo
•1—Authoritative—O arquivo está na lista de permissões do Endpoint
•2—LiveGrid—O arquivo está na lista de permissões do ESET LiveGrid
•3—Certificate—O certificado do arquivo está na lista de permissões |
|
|
1Os nomes dos compactadores podem mudar no futuro. Portanto, recomendamos usar o valor isnotempty ou isempty para a condição.
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo está disponível apenas em combinação com as operações WmiExecution, WmiQuery e CodeInjection, que possuem um processo de cliente. Um processo cliente é um processo que realmente executou um método de Instrumentação de gerenciamento do Windows.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
CaseSensitiveCommandLine
|
String
|
Permite criar regras para a linha de comando que diferenciam maiúsculas de minúsculas
|
|
CommandLine
|
String
|
Linha de comando do processo
|
file.txt
|
CommandLineLength
|
Int
|
Comprimento da linha de comando
|
123
|
Compromised
|
Bool
|
Se verdadeiro, o processo foi marcado como comprometido por uma regra com ação MarkAsCompromised
|
true/false ou 1/0
|
IntegrityLevel
|
Symbol
|
Nível de integridade do processo.
|
Os valores possíveis são:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Contém um caminho para a execução de um atalho
|
|
ProcessDistance
|
Int
|
A distância do processo em relação ao processo atual
|
123
|
ProcessLevel
|
Int
|
Profundidade do processo na hierarquia de processos
|
123
|
ProcessOwner
|
String
|
O usuário que criou o processo
|
|
RiskScore
|
Int
|
A pontuação é monitorada para cada processo no Endpoint. Você pode usar as ações IncreaseParentRiskScore ou IncreaseRiskScore para aumentar o valor em uma quantidade definida. Quando o limite de pontuação de risco é atingido, a ação KillParentProcess ou KillProcess é acionada. Você pode especificar o limite da pontuação de risco em Política > ESET Inspect Connector > Configurações avançadas. A pontuação de risco é redefinida após um determinado período de tempo, por padrão, 6 horas.
|
1000
|
Operações compatíveis
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
• WmiQueryInfo
Os eventos de consulta da Instrumentação de gerenciamento do Windows ocorrem quando um usuário ou um serviço aciona uma consulta em um sistema.
Propriedade
|
Tipo
|
Descrição
|
ClientMachineFQDN
|
String
|
Nome do domínio totalmente qualificado da máquina cliente
|
IsLocal
|
Bool
|
Se for falso, uma consulta foi chamada de uma máquina remota (por exemplo, usando WbemTest)
|
Query
|
String
|
Uma consulta foi acionada em um sistema
|
Exemplo
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Operações compatíveis
•WmiQuery |
WriteFile
Um arquivo foi gravado.
Componentes compatíveis:
• DateTime
Permite que você escreva regras que são acionadas apenas em um momento especificado.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
DayOfWeek
|
Int
|
Acionar a regra apenas em determinados dias da semana
|
Os valores possíveis são:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Acione a regra apenas em determinados períodos do dia. Os valores possíveis são de 0 a 23
|
12
|
Minute
|
Int
|
Acione a regra apenas em determinados períodos do dia.
Os valores possíveis são de 0 a 59
|
30
|
Exemplo
Essa regra é acionada toda vez que o Bloco de Notas é aberto de segunda a sexta-feira, das 9h às 17h.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Operações compatíveis
O componente DateTime é suportado por todas as operações.
|
• EnterpriseInspector
Fornece informações sobre o Conector.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
VersionString
|
String
|
String de versão do Conector.
|
1.9.2385
|
VersionMajor
|
Int
|
Versão principal do Conector.
|
1
|
VersionMinor
|
Int
|
Versão secundária do Connector.
|
9
|
BuildNumber
|
Int
|
Número de compilação do Conector.
|
2385
|
Operações compatíveis
O componente EnterpriseInspector é suportado por todas as operações.
|
• FileItem
Retorna as informações sobre o arquivo atual
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
ADS
|
String
|
A parte ADS do caminho
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
A extensão do arquivo
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
O nome do arquivo com a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Nome do arquivo sem a extensão do arquivo
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
O caminho do arquivo, incluindo o nome do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
O comprimento do nome
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
O caminho do arquivo
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Aciona se a operação for realizada pelo arquivo sobre si mesmo (comum em malwares que se autoexcluem)
|
true/false
|
Arquivo canário
As propriedades de caminho têm uma variável especial para arquivos canário. O valor para especificar o caminho do arquivo canário é %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Operações compatíveis
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Informações sobre o sistema de onde os eventos estão vindo.
Propriedade
|
Tipo
|
Descrição
|
Exemplo
|
isServer
|
Bool
|
Indica se o sistema é um servidor
|
Falso—Não é um servidor
Verdadeiro—Servidor
|
SystemArchitecture
|
Symbol
|
O tipo de arquitetura do sistema
|
Para corresponder à arquitetura de 32 bits, use uma das seguintes opções:
•32
•32bit
•x86
•0
Para corresponder à arquitetura de 64 bits, use uma das seguintes opções:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Que tipo de sistema operacional acionou o evento
|
Para corresponder ao sistema Windows, use uma das seguintes opções:
•Windows
•Win
•0
Para corresponder ao sistema MacOS, use um dos seguintes:
•macOs
•macOsx
•Osx
•1
Para corresponder ao sistema Linux, use o seguinte:
•2 |
SystemVersion
|
String
|
A versão completa do sistema com os números de versão principal e secundária
|
|
Tags
|
Conjunto de strings
|
Tags atribuídas a esse sistema específico
|
|
As condições suportadas para tipos de conjunto (Conjunto de endereços IPv4, Conjunto de endereços IPv6, Conjunto de strings, Conjunto de símbolos) estão listadas na tabela Tipos de propriedade & Relações em conjunto de valores.
Operações compatíveis
O componente SystemInfo é suportado por todas as operações.
|
|
|
Versões anteriores do Windows não produzem eventos de Instrumentação de gerenciamento do Windows. Essa funcionalidade está disponível desde o Windows 10 versão 1803.
Alguns dos eventos fornecem apenas informações parciais:
•Eventos de gravação de arquivo — somente a primeira alteração de arquivo é registrada (isso é por processo. Se dois processos alterarem o mesmo arquivo, ambas as alterações serão registradas)
•Eventos relacionados ao registro — somente a primeira alteração de chave do registro é gravada (primeira vez por um processo)
•DLLLoad—somente DLLs que não estão na lista de permissões do AV são registradas
•Eventos TcpIp — somente a primeira conexão é registrada (primeira vez por um processo)
•Eventos HTTP — somente a primeira solicitação é registrada (primeira vez por um processo)
•ModuleDrop (também conhecido como PEDrop) — é relatado apenas para o primeiro drop de um determinado módulo (primeira vez em um computador)
•AmsiTriggerEvent — apenas a primeira execução é registrada (primeira vez em um computador) |
